# 怎样保护官方账户、身份资料和隐私？

> 一起设置登录、备援与恢复方式，识别资料收集用途，并找到适用的隐私投诉入口。

---

LLMS 索引： [llms.txt](/llms.txt)

---

保护账户要同时照顾密码、第二项验证和失去验证工具后的恢复方式。每个重要账户使用独立凭据，开启可用的多因素认证，并在换电话或停用旧设备前安排备援。隐私方面，先确认谁收集什么、用来做什么，再判断适用的法律和投诉机构；政府服务与商业应用并不是同一个隐私制度。[Get Cyber Safe账户安全](https://www.getcybersafe.gc.ca/en/secure-your-accounts)、[OPC加拿大隐私法分工](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/02_05_d_15/)

## 登录工具和政府服务不是同一件事

一项服务可能允许用自己的用户名、银行登录伙伴或省级凭据进入；失去凭据，应找管理该凭据的机构。以CRA为例，银行伙伴的用户名／密码由金融机构管理，省级伙伴凭据由相应省级伙伴管理；CRA自己的用户名／密码及账户内安全设置另有入口。[CRA账户安全设置与登录方式](https://www.canada.ca/en/revenue-agency/services/e-services/cra-login-services/help-cra-sign-in-services/keep-sign-in-services-secure.html)

可以记一份账户清单：服务名称、自己使用的登录方式、官方网址、已设的验证与备援方式、恢复入口。清单不需要记录密码、验证码或完整SIN。办理地址变化还要逐机构更新，不能因为几个服务都在Canada.ca，就认为资料已经自动同步。[迁居与地址更新](/book/life/documents/address-change/)

## 密码、第二因素与备援一起维护

不同账户使用独立、复杂的密码或密码短语，避免一个凭据泄漏后牵连多个账户。密码管理器可帮助保存不同账户凭据；选择时看是否支持多因素认证、弱密码／重复密码提醒，以及设备兼容，并保护管理器本身的主密码。[Get Cyber Safe独立凭据建议](https://www.getcybersafe.gc.ca/en/secure-your-accounts)、[密码管理器指引](https://www.getcybersafe.gc.ca/en/secure-your-accounts/password-managers)

多因素认证（multi-factor authentication，MFA）在登录中增加验证环节，例如用手机、硬件或生物特征辅助验证。它增加保护，也让备援与恢复变得必要；不要把所有设备或机构支持的方式想成一样。[Get Cyber Safe MFA说明](https://www.getcybersafe.gc.ca/en/secure-your-accounts/multi-factor-authentication)

### CRA实例：换号码前先检查设置

CRA账户帮助列有三种MFA方式：第三方认证应用、可保存／打印的passcode grid（验证码网格），以及接收短信或语音电话的号码。认证应用或网格不需要靠电话接收验证码；电话方式的号码及服务有适用范围，海外号码不能一概假定可用。[CRA MFA方式及限制](https://www.canada.ca/en/revenue-agency/services/e-services/cra-login-services/help-cra-sign-in-services/multi-factor-authentication.html)

对使用CRA用户名或银行登录伙伴的读者，可以按官方帮助这样检查：

1. 从自己保存的官方入口登录，在Welcome页进入**Security settings → Multi-factor authentication**。
2. 查看所登记的方式，增加仍能使用的备援，或更新电话号码。验证码网格须妥善保存；认证应用也要考虑换机后怎样继续使用。
3. 根据页面指示完成设置；在停用旧号码或设备前确认新方式可用。以后号码丢失或收不到验证码，优先使用已经登记的其他方式。
4. 所有登记方式都无法使用时，通过官方CRA联系方式请求恢复，按客服要求核实身份；不要持续猜验证码或把账号另交他人尝试。省级伙伴登录者的设置位置可能不同，按相应凭据帮助办理。

[CRA MFA设置／收不到验证码帮助](https://www.canada.ca/en/revenue-agency/services/e-services/cra-login-services/help-cra-sign-in-services/multi-factor-authentication.html)、[不同登录方式的设置边界](https://www.canada.ca/en/revenue-agency/services/e-services/cra-login-services/help-cra-sign-in-services/keep-sign-in-services-secure.html)

CRA公布过真实的**备援MFA门户示例**，提供Authenticator app、Passcode grid与Set up a backup option later三个选项，可帮助识别这些字段。具体提示和是否可跳过，应按自己的当次账户页面与官方帮助确认；主动备援能减少丢失主要方式后的恢复困难。[官方门户示例说明](https://www.canada.ca/en/revenue-agency/news/newsroom/tax-tips/tax-tips-2026/cra-account-users-encouraged-add-backup-multi-factor-authentication-option.html)

## 收到登录提醒或验证码，先确认来源

不要向打来电话或发短信索要验证码的人提供代码。CRA明确不会打电话向你索要一次性验证码；若是你自己通过官方渠道致电CRA，身份核实过程可能允许你把代码提供给其语音系统或服务代表。来电索要与主动致电核实是不同情境。[CRA验证码安全规则](https://www.canada.ca/en/revenue-agency/services/e-services/cra-login-services/help-cra-sign-in-services/multi-factor-authentication.html)

以下为**教学虚构**的可疑消息：

> Your account will be closed today. Reply with your password and verification code. 今天将关闭账户，请回复密码和验证码。

不要沿消息中的联系方式核实。另行打开已知官方入口或使用官网公布的联系方式，查看账户状态并询问机构。语言流畅、看起来像官方的图标或发件人名称，不能代替独立核实。[Get Cyber Safe钓鱼消息说明](https://www.getcybersafe.gc.ca/en/blogs/signs-phishing-campaign-how-keep-yourself-safe)、[冒充机构与诈骗核实](/book/life/digital/scam-verification/)

## 给资料前，确认用途和管辖机构

隐私政策（privacy policy）可用来查：收集哪些资料、用途与共享对象、保留方式、保护措施、能否查阅／更正，以及负责人的联系方式。某个表格问更多资料时，可先问与服务有什么关系，区分必需字段和自愿用途；不要假设所有资料收集都必须以同一形式征得同意。[OPC隐私政策识读](https://www.priv.gc.ca/en/privacy-topics/information-and-advice-for-individuals/your-privacy-rights/02_05_d_71_pp/)

| 涉及的机构 | 先确认的制度和入口 |
|---|---|
| 联邦政府机构 | Privacy Act处理其记录中的个人资料；先找该机构的Access to Information and Privacy（ATIP）协调员。 |
| 商业组织 | 查PIPEDA或适用的省级商业隐私法。AB、BC、QC有相应省法；联邦监管企业及商业资料跨省／跨国流动，仍须核实PIPEDA适用。 |
| 省／地区／市政府、学校、医疗等 | 查相应地方或行业制度及负责人，不能直接把联邦政府规则搬过去。 |

[OPC隐私法分工](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/02_05_d_15/)、[联邦政府与个人资料](https://www.priv.gc.ca/en/privacy-topics/information-and-advice-for-individuals/your-privacy-rights/the-federal-government-and-your-personal-information/)

认为资料被错误收集、使用或披露时，先向组织的隐私负责人说明日期、资料类别、问题和希望得到的答复，保留通信。联邦政府问题找ATIP，企业找privacy officer；仍未解决，再按适用法找隐私主管。OPC说明省、地区和市级政府问题不属于其管辖，可用其分流工具寻找正确机构。[OPC提出隐私问题与分流](https://www.priv.gc.ca/en/privacy-topics/information-and-advice-for-individuals/your-privacy-rights/raise-privacy-concern/)

无法完成数字办理时，先问负责服务的机构是否有电话、纸本、现场或正式代表授权渠道，确认该事务的期限仍怎样计算。家人协助可以用于准备资料；需要代表办理时按授权流程确认，避免直接交出本人登录凭据。[SIN用途与保护](/book/life/documents/sin/)

---

反链：

- [数字生活、通信与信息判断](/book/life/digital/)
- [文件怎样翻译、认证并保存办理记录？](/book/life/documents/translation-and-records/)
- [分居、育儿安排与关系安全怎样分路处理？](/book/people/family/separation-safety/)
- [遇到霸凌、威胁与网络伤害，怎样求助？](/book/people/school/youth-safety/)
- [权利、个人信息与投诉怎样找对机构](/book/rights/legal/rights-privacy/)
- [首次抵达：把生活入口接起来](/docs/routes/arrival/)