新加坡受訪者在辨識AI生成釣魚郵件方面高於全球平均，卻也回報了受調查市場中最高的AI釣魚攻擊成功率。這組看似矛盾的數字，點出一個關鍵：認得出威脅，不代表組織就能阻止攻擊得手。23

Yubico與Okta的2026年《全球身分驗證現況調查》還呈現另一項挑戰：企業即使廣泛部署多因素驗證（MFA），員工實際使用的登入方式仍可能相當多元；當AI代理開始代替員工執行工作，如何確認代理身分、限制權限，也成了新的安全課題。這些數據來自專業人士的調查回覆，並非對新加坡所有組織進行的稽核結果。2

辨識率高，不代表攻擊風險低

有58%的新加坡受訪者表示，其組織在過去12個月內至少遭遇一次成功的AI釣魚攻擊，高於全球的44%，也是受調查市場中最高的比例。另一方面，59%的新加坡受訪者能正確辨識AI生成的釣魚郵件，高於全球的53%；另有78%表示釣魚攻擊嘗試有所增加。23

這些數字衡量的是不同面向：受訪者辨識釣魚的能力、他們觀察到的攻擊嘗試變化，以及組織是否曾有攻擊得手。它們說明，提升辨識能力本身並不足以構成完整防線；但調查並未說明攻擊為何成功，也不能據此判定每家新加坡企業的風險程度。

MFA涵蓋廣，不等於登入方式一致

有81%的受訪者表示，所屬組織在所有應用程式與服務上強制使用MFA。不過，涵蓋範圍廣，不代表每種驗證方式都同樣能抵禦釣魚，也不代表員工在不同服務上的登入體驗一致。23

調查顯示，受訪者所屬組織使用的方式不一：49%採用手機上的限時一次性密碼（TOTP）或推播驗證器應用程式，41%仍使用帳號密碼。其他方式還包括簡訊驗證、裝置綁定通行密鑰、硬體安全金鑰，以及可跨裝置同步的通行密鑰。另有72%表示，組織在不同應用程式上使用不同的驗證方式。2

登入流程因服務而異，可能讓員工在工作中面對多套不同步驟。Yubico的整體調查指出，資安知識與日常實踐之間存在落差；Okta的分析則提到，驗證流程帶來的不便也是推動採用時必須面對的問題。16

新進員工的帳號開通流程也值得檢視。調查中有58%的受訪者表示，新員工會取得傳統的帳號密碼。這顯示，即使組織採用其他驗證方式，密碼仍可能出現在初始設定中；但單憑這項數據，無法判斷這些帳密之後被使用的範圍。2

AI代理上工，身分與核准機制不能缺席

調查也詢問受訪者對AI代理代表員工執行工作的看法。98%認為確認代理的身分與真實性很重要，95%重視代理採取行動前的審查與核准。另一方面，51%表示願意把低風險的營運決策交由代理處理，60%則能接受代理代表自己與同事或客戶溝通。2

這些比例反映的是受訪者的看法與接受程度，不代表組織已實際建置身分驗證或核准機制。但它們帶出一個實務問題：若AI代理能代為行動或溝通，企業就需要清楚掌握代理使用何種身分、獲准執行哪些任務，以及何時必須由員工核准下一步。Yubico也將AI描述為逐漸擴大的數位工作力量，提醒企業在管理人員身分之外，也要納入機器身分的考量。1

調查結果帶來的實務提醒

調查最值得注意的訊息，是把身分驗證視為整體防護設計，而不只是增加登入選項，或要求員工多留意可疑訊息。企業可檢視容易遭釣魚利用的驗證方式，究竟已被取代，還是仍與新方式並存；也可確認新進員工的預設帳號設定，是否符合組織希望落實的安全標準。12

對AI代理而言，原則相同：明確設定代理身分與權限，並依其可執行的工作訂定核准要求。調查顯示，受訪者重視驗證與審查；同時，不少人也接受委派任務，因此更應分清楚受訪者認為應有的保障，與組織實際已落實的控制措施。2

整體而言，新加坡調查結果呈現出一項落差：受訪者自認具備不錯的釣魚辨識能力，組織也廣泛使用MFA，但AI釣魚攻擊仍屢有得手。這些數據提醒企業檢視驗證機制與AI代理控管在實際運作中的效果，而不是把調查結果當成每家組織的安全評分。

新加坡受訪者在辨識AI生成釣魚郵件方面高於全球平均，卻也回報了受調查市場中最高的AI釣魚攻擊成功率。這組看似矛盾的數字，點出一個關鍵：認得出威脅，不代表組織就能阻止攻擊得手。23

Yubico與Okta的2026年《全球身分驗證現況調查》還呈現另一項挑戰：企業即使廣泛部署多因素驗證（MFA），員工實際使用的登入方式仍可能相當多元；當AI代理開始代替員工執行工作，如何確認代理身分、限制權限，也成了新的安全課題。這些數據來自專業人士的調查回覆，並非對新加坡所有組織進行的稽核結果。2

辨識率高，不代表攻擊風險低

有58%的新加坡受訪者表示，其組織在過去12個月內至少遭遇一次成功的AI釣魚攻擊，高於全球的44%，也是受調查市場中最高的比例。另一方面，59%的新加坡受訪者能正確辨識AI生成的釣魚郵件，高於全球的53%；另有78%表示釣魚攻擊嘗試有所增加。23

這些數字衡量的是不同面向：受訪者辨識釣魚的能力、他們觀察到的攻擊嘗試變化，以及組織是否曾有攻擊得手。它們說明，提升辨識能力本身並不足以構成完整防線；但調查並未說明攻擊為何成功，也不能據此判定每家新加坡企業的風險程度。

MFA涵蓋廣，不等於登入方式一致

有81%的受訪者表示，所屬組織在所有應用程式與服務上強制使用MFA。不過，涵蓋範圍廣，不代表每種驗證方式都同樣能抵禦釣魚，也不代表員工在不同服務上的登入體驗一致。23

調查顯示，受訪者所屬組織使用的方式不一：49%採用手機上的限時一次性密碼（TOTP）或推播驗證器應用程式，41%仍使用帳號密碼。其他方式還包括簡訊驗證、裝置綁定通行密鑰、硬體安全金鑰，以及可跨裝置同步的通行密鑰。另有72%表示，組織在不同應用程式上使用不同的驗證方式。2

登入流程因服務而異，可能讓員工在工作中面對多套不同步驟。Yubico的整體調查指出，資安知識與日常實踐之間存在落差；Okta的分析則提到，驗證流程帶來的不便也是推動採用時必須面對的問題。16

新進員工的帳號開通流程也值得檢視。調查中有58%的受訪者表示，新員工會取得傳統的帳號密碼。這顯示，即使組織採用其他驗證方式，密碼仍可能出現在初始設定中；但單憑這項數據，無法判斷這些帳密之後被使用的範圍。2

AI代理上工，身分與核准機制不能缺席

調查也詢問受訪者對AI代理代表員工執行工作的看法。98%認為確認代理的身分與真實性很重要，95%重視代理採取行動前的審查與核准。另一方面，51%表示願意把低風險的營運決策交由代理處理，60%則能接受代理代表自己與同事或客戶溝通。2

這些比例反映的是受訪者的看法與接受程度，不代表組織已實際建置身分驗證或核准機制。但它們帶出一個實務問題：若AI代理能代為行動或溝通，企業就需要清楚掌握代理使用何種身分、獲准執行哪些任務，以及何時必須由員工核准下一步。Yubico也將AI描述為逐漸擴大的數位工作力量，提醒企業在管理人員身分之外，也要納入機器身分的考量。1

調查結果帶來的實務提醒

調查最值得注意的訊息，是把身分驗證視為整體防護設計，而不只是增加登入選項，或要求員工多留意可疑訊息。企業可檢視容易遭釣魚利用的驗證方式，究竟已被取代，還是仍與新方式並存；也可確認新進員工的預設帳號設定，是否符合組織希望落實的安全標準。12

對AI代理而言，原則相同：明確設定代理身分與權限，並依其可執行的工作訂定核准要求。調查顯示，受訪者重視驗證與審查；同時，不少人也接受委派任務，因此更應分清楚受訪者認為應有的保障，與組織實際已落實的控制措施。2

整體而言，新加坡調查結果呈現出一項落差：受訪者自認具備不錯的釣魚辨識能力，組織也廣泛使用MFA，但AI釣魚攻擊仍屢有得手。這些數據提醒企業檢視驗證機制與AI代理控管在實際運作中的效果，而不是把調查結果當成每家組織的安全評分。