新加坡受訪者一方面表示較多人能辨認AI生成的釣魚電郵，另一方面，稱所屬機構曾遭成功AI釣魚攻擊的比例，亦是受訪市場中最高。Yubico與Okta的2026年《全球身份驗證狀況調查》呈現出一個關鍵落差：識別威脅，不等於攻擊就一定無法得逞。23

調查亦帶出另外兩個問題：機構即使廣泛使用多重驗證（MFA），員工實際登入時仍可能要面對多種不同方法；而當AI代理開始代員工執行工作，身份核實和行動審批亦變得重要。要留意，以下數字來自專業人士的調查回答，並非對新加坡每間機構進行的安全審核。2

認得出釣魚電郵，仍然可能中招

58%新加坡受訪者表示，所屬機構過去12個月曾遭至少一次成功的AI釣魚攻擊，全球比例為44%；新加坡亦是受訪市場中比例最高的地區。同時，59%受訪者能正確辨認AI生成的釣魚電郵，高於全球的53%。另外，78%表示釣魚攻擊嘗試有所增加。23

這幾個數字量度的是不同事情：受訪者能否辨認釣魚電郵、他們察覺到的攻擊嘗試有否增加，以及機構有否曾被成功攻擊。辨認能力強，並不足以單獨保障機構安全；而調查數字本身亦無法說明攻擊為何成功，或代表每間新加坡機構的風險水平。

MFA覆蓋廣，不代表登入方式一致

有81%受訪者表示，所屬機構要求所有應用程式及服務使用MFA。不過，覆蓋範圍廣，不等於每種驗證方法都同樣能抵禦釣魚攻擊，也不代表員工登入不同服務時會有一致的體驗。23

受訪者提到的登入方式亦相當多元：49%使用手機上的基於時間的一次性密碼（TOTP）或推送式驗證器程式，41%仍使用用戶名稱及密碼。其他方法包括短訊驗證、綁定裝置的通行密鑰、硬件安全密鑰，以及可在裝置間同步的通行密鑰。另有72%表示，機構在不同應用程式使用不同驗證方法。2

實際操作上，員工可能每換一個服務，就要適應另一套登入步驟。Yubico的整體調查亦指出，安全知識與日常做法之間存在落差；Okta則提到，登入流程帶來的不便亦是推行新方法時要面對的問題。16

新員工入職時的設定亦值得留意：58%受訪者表示，新員工會獲發傳統用戶名稱及密碼。這反映密碼登入仍可能是入職流程的一部分，但單憑這個數字，不能判斷員工之後使用這些登入資料的頻率或範圍。2

AI代理代辦工作，身份和審批要跟上

調查亦關注代表員工行事的AI代理。98%受訪者認為，核實AI代理的身份及真確性很重要；95%認為代理採取行動前應先經審查和批准。同時，51%受訪者表示，願意讓AI代理處理低風險的營運決定；60%則接受代理代自己與同事或客戶溝通。2

這些比例反映受訪者的看法和接受程度，並不證明機構已經設立身份核實或審批措施。不過，它們點出一個實際的管治問題：如果AI代理可以代人採取行動或對外溝通，機構就要清楚知道代理使用甚麼身份、獲准做甚麼，以及哪些步驟必須由人批准。Yubico亦將AI視為逐漸擴大的數碼工作隊伍，指出機構需要把機器身份與員工身份一併納入考慮。1

調查結果帶來甚麼提醒？

調查最值得留意的訊息，是身份驗證不應只靠增加登入選項，或要求員工更加留神可疑電郵。機構可以檢視容易受釣魚影響的登入方法，究竟正逐步被取代，還是只與新方法並存；亦可檢查入職時預設的登入方式，是否符合機構想推行的安全標準。12

對AI代理而言，原則相近：界定代理身份和權限，並按其可執行的操作訂明審批要求。受訪者普遍重視核實及審批；而不少人亦願意讓代理代辦工作，兩者合起來更凸顯一點：有意採取保障措施，與實際已設立管控，並不是同一回事。2

簡單來說，調查呈現出一個落差：新加坡受訪者表示有一定能力辨認AI釣魚，機構亦普遍推行MFA，但成功AI釣魚攻擊仍相當常見。這些數字提醒機構檢視身份驗證和AI代理管控在實際運作中的成效，並不是對每間機構的安全狀況作出定論。

新加坡受訪者一方面表示較多人能辨認AI生成的釣魚電郵，另一方面，稱所屬機構曾遭成功AI釣魚攻擊的比例，亦是受訪市場中最高。Yubico與Okta的2026年《全球身份驗證狀況調查》呈現出一個關鍵落差：識別威脅，不等於攻擊就一定無法得逞。23

調查亦帶出另外兩個問題：機構即使廣泛使用多重驗證（MFA），員工實際登入時仍可能要面對多種不同方法；而當AI代理開始代員工執行工作，身份核實和行動審批亦變得重要。要留意，以下數字來自專業人士的調查回答，並非對新加坡每間機構進行的安全審核。2

認得出釣魚電郵，仍然可能中招

58%新加坡受訪者表示，所屬機構過去12個月曾遭至少一次成功的AI釣魚攻擊，全球比例為44%；新加坡亦是受訪市場中比例最高的地區。同時，59%受訪者能正確辨認AI生成的釣魚電郵，高於全球的53%。另外，78%表示釣魚攻擊嘗試有所增加。23

這幾個數字量度的是不同事情：受訪者能否辨認釣魚電郵、他們察覺到的攻擊嘗試有否增加，以及機構有否曾被成功攻擊。辨認能力強，並不足以單獨保障機構安全；而調查數字本身亦無法說明攻擊為何成功，或代表每間新加坡機構的風險水平。

MFA覆蓋廣，不代表登入方式一致

有81%受訪者表示，所屬機構要求所有應用程式及服務使用MFA。不過，覆蓋範圍廣，不等於每種驗證方法都同樣能抵禦釣魚攻擊，也不代表員工登入不同服務時會有一致的體驗。23

受訪者提到的登入方式亦相當多元：49%使用手機上的基於時間的一次性密碼（TOTP）或推送式驗證器程式，41%仍使用用戶名稱及密碼。其他方法包括短訊驗證、綁定裝置的通行密鑰、硬件安全密鑰，以及可在裝置間同步的通行密鑰。另有72%表示，機構在不同應用程式使用不同驗證方法。2

實際操作上，員工可能每換一個服務，就要適應另一套登入步驟。Yubico的整體調查亦指出，安全知識與日常做法之間存在落差；Okta則提到，登入流程帶來的不便亦是推行新方法時要面對的問題。16

新員工入職時的設定亦值得留意：58%受訪者表示，新員工會獲發傳統用戶名稱及密碼。這反映密碼登入仍可能是入職流程的一部分，但單憑這個數字，不能判斷員工之後使用這些登入資料的頻率或範圍。2

AI代理代辦工作，身份和審批要跟上

調查亦關注代表員工行事的AI代理。98%受訪者認為，核實AI代理的身份及真確性很重要；95%認為代理採取行動前應先經審查和批准。同時，51%受訪者表示，願意讓AI代理處理低風險的營運決定；60%則接受代理代自己與同事或客戶溝通。2

這些比例反映受訪者的看法和接受程度，並不證明機構已經設立身份核實或審批措施。不過，它們點出一個實際的管治問題：如果AI代理可以代人採取行動或對外溝通，機構就要清楚知道代理使用甚麼身份、獲准做甚麼，以及哪些步驟必須由人批准。Yubico亦將AI視為逐漸擴大的數碼工作隊伍，指出機構需要把機器身份與員工身份一併納入考慮。1

調查結果帶來甚麼提醒？

調查最值得留意的訊息，是身份驗證不應只靠增加登入選項，或要求員工更加留神可疑電郵。機構可以檢視容易受釣魚影響的登入方法，究竟正逐步被取代，還是只與新方法並存；亦可檢查入職時預設的登入方式，是否符合機構想推行的安全標準。12

對AI代理而言，原則相近：界定代理身份和權限，並按其可執行的操作訂明審批要求。受訪者普遍重視核實及審批；而不少人亦願意讓代理代辦工作，兩者合起來更凸顯一點：有意採取保障措施，與實際已設立管控，並不是同一回事。2

簡單來說，調查呈現出一個落差：新加坡受訪者表示有一定能力辨認AI釣魚，機構亦普遍推行MFA，但成功AI釣魚攻擊仍相當常見。這些數字提醒機構檢視身份驗證和AI代理管控在實際運作中的成效，並不是對每間機構的安全狀況作出定論。