Singpass Passkey 點運作？邊啲人而家用得？

Singpass 的 Passkey（通行密鑰），係一種可選擇使用、毋須輸入密碼的新登入方式。用戶唔需要再輸入 Singpass 密碼、SMS 一次性密碼（OTP），亦唔一定要掃描 QR code 再批准登入。呢項功能由 2026 年 7 月 1 日開始測試，首階段開放予使用手機瀏覽器的 iPhone／iOS 用戶；Android 及桌面電腦支援會喺之後階段推出。

重點唔只係「多一條密碼」，而係將認證改為一個綁定喺裝置上的加密憑證。呢個憑證只會對應真正的 Singpass 登入服務，因此比傳統密碼、OTP 或 QR 登入更能抵抗釣魚攻擊。

Passkey 取代咗乜嘢？

傳統登入方法通常涉及一些可以被複製、轉發或者重用的資料：

• 密碼可以被騙徒套取；
• OTP 可以被即時轉發；
• QR code 可能被調包，誘使用戶批准由騙徒發起的登入。

Passkey 的做法唔同：登入時，網站唔會要求用戶輸入或傳送密碼及 OTP。用戶只需要喺自己部手機上，以生物認證或裝置密碼確認操作。Singpass 收到的是一段可以驗證、但唔可以當成密碼再次使用的加密回應。

Face ID、Touch ID 或指紋資料唔會傳畀 Singpass，手機內的私鑰亦唔會離開裝置；Singpass 只會收到用作驗證的密碼學結果。

公鑰同私鑰點樣合作？

登記 Passkey 時，iPhone 會產生一對獨有的公鑰同私鑰：

• 私鑰：留喺已登記的 iPhone 內，用來產生數碼簽署；
• 公鑰：登記喺 Singpass 系統，用來核實簽署係咪正確；
• 登入時，Singpass 會發出一次性的挑戰訊息；
• 用戶以 Face ID、Touch ID、指紋或 Singpass App 六位數密碼批准後，手機先會用私鑰簽署該挑戰；
• Singpass 再用已保存的公鑰核對回應。

嚴格嚟講，呢個唔係簡單的「交換加密匙」，而係以公開密鑰加密技術進行身份認證。私鑰唔會傳畀 Singpass，而單靠公鑰亦唔可以冒認用戶。

按照 FIDO 及 WebAuthn 所採用的「來源綁定」認證模式，Passkey 會同真正服務的網域掛鈎。即使騙徒整咗一個外觀幾乎一模一樣的 Singpass 登入頁面，假網站都攞唔到一段可供 Singpass 使用的認證回應。

所以，對使用 Passkey 的人嚟講，複製 Singpass 登入頁面的價值會低好多：假網站無法收集一組可以重用的密碼、OTP、QR 批准，或者有效的加密認證結果。

首階段邊啲裝置用得？

目前推出安排係分階段進行：

• iPhone／iOS：由 2026 年 7 月 1 日起支援，首階段限於手機瀏覽器；
• Android：預計喺下一階段支援；
• 手提電腦及桌面電腦：桌面瀏覽器登入同樣押後至之後階段。

因此，即使你有 iPhone，都唔代表每一個 Singpass 服務、每一種瀏覽器或每部裝置即刻都有 Passkey 選項。實際上，仍然要視乎相關服務係咪已納入今次分階段推出範圍。

點樣登記 Singpass Passkey？

首階段 iPhone 用戶可以喺 Singpass 手機 App 登記：

1. 將 Singpass App 更新至最新版本；
2. 開啟 App，喺主頁點擊 Passkey 橫額；
3. 按畫面指示完成建立 Passkey。

登記完成後，登入時可以按裝置支援情況，使用 Face ID、Touch ID、指紋，或者 Singpass App 六位數密碼確認。用戶唔需要喺參與服務的網站輸入 Singpass 密碼。

用另一部 iPhone 登入，點解要驗證藍牙距離？

如果用戶係用一部裝置開啟登入頁面，再用另一部已登記 Passkey 的 iPhone 認證，風險會有所不同：騙徒可能控制住一部電腦或手機，然後喺遠處游說受害人批准登入。

針對跨裝置登入，Singpass 可以透過短距離藍牙檢查，確認持有 Passkey 的手機係咪實際上就在要求登入的裝置附近。

藍牙近距離檢查唔係取代公私鑰驗證，而係額外確認「持有 Passkey 的手機就在附近」。咁樣可以令純粹遙距操控的騙局更難進行，例如騙徒傳一個 QR code 畀受害人，再逐步教對方批准一個其實由騙徒喺另一處發起的登入。

點解密碼、QR code 等舊方法仲未取消？

Passkey 係測試階段新增的登入選項，唔係即時全面取代現有方法。未有合資格 iPhone、尚未登記 Passkey，或者使用尚未支援 Passkey 的服務及裝置的人，仍然需要其他登入方式。

保留舊方法亦有助照顧裝置覆蓋及使用需要。不過，密碼、OTP 同 QR 登入對用戶判斷及操作安全的依賴較高：用戶可能被人說服透露密碼或 OTP、掃描假 QR code，或者批准一個自己意料之外的登入要求。

新加坡警方亦繼續提醒市民，唔好向陌生人透露 Singpass 密碼或 2FA 資料，因為相關資料可能被用來登入不同數碼服務，甚至開設銀行戶口、電子錢包、加密貨幣戶口或電話號碼。

Passkey 可以大幅減少可供釣魚的認證資料，但唔代表所有騙案都會消失。騙徒仍然可以冒充機構、施壓套取個人資料，或者針對帳戶復原及接管程序落手。

同 FIDO 開放標準有咩關係？

Singpass Passkey 採用 FIDO／WebAuthn 類型的來源綁定公鑰加密模式。FIDO2（Fast IDentity Online 2）係一套開放認證標準，目標係以較難被釣魚的加密憑證，取代可被騙取及重用的秘密資料。

FIDO 標準由業界組織 FIDO Alliance 推動，重點係令 Passkey 可以喺更廣泛的網站、App、手機、電腦及硬件安全密鑰之間互通；實際支援範圍就要視乎各服務的技術實作及推出進度。

對 Singpass 用戶而言，最實際的安全好處係網域綁定：認證器預期只會對真正的 Singpass 服務作出有效回應，而唔係對一個視覺上相似的釣魚網域回應。

2025 年新加坡釣魚騙案有幾嚴重？

新加坡 2025 年一共錄得 37,308 宗騙案，騙案損失約 9.131 億新加坡元。呢兩個數字係所有類型騙案的總和，唔係單指釣魚騙案；因此，唔可以解讀成所有損失都同 Singpass 憑證被盜有關。

官方年度資料另外列出，2025 年有 6,264 宗釣魚騙案，涉及損失約 3,990 萬新加坡元。 釣魚騙案係整體騙案問題的重要一環，但仍然只係其中一類。

所以，Singpass 推出 Passkey 的針對性相當清楚：令騙徒較難喺釣魚網站階段捕捉、轉發及重用登入憑證。用戶仍然要核實網址、拒絕無預警的登入要求，亦唔好向任何人透露 Singpass 資料，尤其係現有較易受社交工程影響的登入方式仍然並存期間。