结论先行：多因素校验挡住的是一部分入口，不是全部入口。2026 年 10 月发布的一次攻击手法框架更新里，新增了一项被单独归类的技术——攻击者通过钓鱼、生成或窃取「应用专用密码」，无需完成常规的多因素校验就能访问账户。企业要核的不是「有没有开多因素」，而是「哪些入口还没有覆盖到」。
新版本里两个与身份有关的条目
据该框架的官方发布说明，以及多家安全媒体 2026 年 10 月的报道，这次更新在通用技术项下新增了九项技术，其中两项与访问控制直接相关。
- 窃取应用专用密码。被归为独立技术。描述是：攻击者通过钓鱼、生成或窃取这类密码，绕过常规的多因素校验直接访问账户。它针对的正是那些无法使用标准多因素校验的老版本应用与设备。
- 反自动化规避。包含两个子项：用自动化工具或人工打码服务完成人机校验，以及伪装成正常浏览行为以避免触发人机校验。
同一次更新还扩展了工控与移动端的覆盖范围，并配套增加了若干检测策略。需要说清楚的是：把某种行为写进技术清单，并不代表出现了新的漏洞，它更像是给防御方一套统一的说法，用来记录已经观察到的行为、找出自己的覆盖缺口。以上为该框架公开信息的转述。
「应用专用密码」为什么能绕过第二因子
这类密码不是后门，它本来是为兼容性设计的：一些老版本客户端、部分邮件与目录协议、以及不方便做交互式校验的设备，没法走标准的第二因子流程，只能用一串长期有效的专用口令来完成认证。它解决的是「让这些系统还能连上」的问题。
问题出在它同时绕开了第二因子。第二因子的前提是「认证过程里有一个只有本人才有的交互动作」，而应用专用密码把这个交互动作提前固化进了一串字符里——谁拿到这串字符，谁就能通过认证，且不会触发任何额外的校验。它本质上是一张不记名的长期通行证。
这也解释了为什么它会被单独列为一项技术：它的利用成本低、收益确凿，而且很多企业根本不清楚自己网络里还开着多少这样的入口。以下为编辑部判断。
该核的是入口清单，不是开关状态
多数企业已经做过一轮「有没有开多因素」的核查，这类核查的结论通常是「已经开了」。但覆盖范围这件事，按开关状态是核不出来的。可行的做法是反过来做——先列入口，再逐个标状态：
- 把入口按协议列全。除了网页登录，还包括邮件收发协议、文件共享、远程接入、目录服务、以及各类带管理界面的设备与系统。同一套系统往往同时开着好几个入口，网页端开了多因素，不代表其它入口也开了。
- 标出每个入口支持的校验方式。能不能走标准第二因子、是不是只能用长期口令、口令能不能单独吊销。三项里只要有一项答不上来，这个入口就应该先按高风险处理。
- 把不支持标准校验的入口分类处置。可以限来源的限来源、能下线的下线、必须保留的缩短口令有效期并单独登记归属人。
- 把专用口令纳入定期轮换。这类口令的典型问题是长期不变、多系统复用、人员变动后无人回收。把它和账号清单放在同一张表里对账，比单独管一套流程要现实得多。
人机校验挡不住自动化，别把它算进防护
更新里的另一项技术值得单独说。它把「自动完成人机校验」和「规避人机校验触发」分成了两个子项——前者是用工具或打码服务直接解开校验，后者是让自动化操作看起来像人，从源头上不触发校验。两者指向同一个结论：人机校验能拖慢自动化，但不足以构成一道独立的防护。
对企业来说，这条判断的用处在于避免高估自己。人机校验放在表单与登录页上防止批量提交是有价值的，但它不能替代接口层的限速、鉴权与来源限制。把校验当作防护能力写进方案，会在评审时给出一个偏乐观的印象。
顺手要补的两件底层事
这次更新里提到的绕过手法，最终都要落到「凭据被拿走」这一步。所以有两件事值得一并做掉。
- 凭据的存储方式。口令文件用什么算法存、能不能被离线批量还原，决定了泄露一次的后果是「控制在一台设备」还是「扩散到整个范围」。存量系统的改造需要排期，优先从暴露面大的那部分开始。
- 访问来源的限制。管理入口与专用口令入口能否限定来源网段或运维通道，能不能只从跳板进来。这一步不依赖产品升级，投入产出比通常比换算法更快见效。
边界与前提
三点需要说明。其一，本文讨论的是认证方式的覆盖范围问题，与终端上的权限管控、网络层面的隔离是三件事，不能互相替代。其二，缩短专用口令有效期会带来兼容性影响，改动前要先盘清依赖这些入口的业务，避免影响正常的系统对接。其三，攻击手法框架的版本更新节奏较快，把它当作一份对标的参照即可，不必要把每条技术都当成必须立刻处置的事项——先按自身暴露面排序。深圳市奇摩计算机有限公司在为企业做访问关系梳理时，通常先把入口清单与账号归属对齐，再按暴露程度排改造顺序。
需要核一遍自家还有哪些入口没有覆盖到第二因子，欢迎 预约咨询。