幹壞事是進步最大的原動力
如標題的問題，因為 token 可以將 secret key 實體隔離開。
可以讀看看最近這篇報導：「Zitmo Trojan Variant Eurograbber Beats Two-Factor Authentication to Steal Millions」，其中這段：
To date, the researchers said, Eurograbber has infected more than 30,000 users and stolen an estimated 36 million Euros.
對於開發木馬的人，銀行服務算是「經濟效益」最高的「投資」...
用簡訊也有類似的問題，實體的 OTP 算是目前最能抵抗這類攻擊的方式了...
到 24h 上買完東西後會有個提示頁面，最下面會列出常見詐騙手法：(常常買但都沒看 XD 這次停下來看一下...)
其中正看到這條：
來電顯示開頭為「+」者，是國際電話，有可能就是詐騙電話！
然後就收到簡訊就送來：
...............................
在 Twitter 上被丟了訊息，這類訊息通常就是看看而已... 但是連上去看了以後發現價錢相當便宜：「Nexmo - Pricing」，台灣的簡訊是每則 EUR$0.011，相當於 NTD$0.45...
用 Perl 寫了程式測，測了兩次都很快收到，大約五秒鐘內吧。不過發現中文還是有問題：(這是「中文測試」四個字)
丟回去給丟我 Twitter 的人了，不知道會不會解...
Update：是我程式的問題 (少了指定 type=unicode)，不是對方的 API 有問題：
來把一些東西丟上去玩看看...
Facebook 在美國開始支援 OTP over SMS：「More Ways to Stay Secure」。
在美國的手機號碼，先認證手機號碼並開啟 OTP over SMS 的功能，接下來在每次要登入時以簡訊送 "otp" 到 32665，就會收到一組 20 分鐘內有效的 token 讓你登入到 Facebook。
簡訊便宜的國家才有機會開發這種功能... :o