伺服器如何偵測並阻止《英雄聯盟》登入異常

你在離家很遠的飯店房間裡打開《英雄聯盟》。用戶端要求你先驗證身分，才能進入遊戲。這個提示並非偶然出現。

伺服器會將每一次登入與你的個人基線進行比對：你通常從哪裡連線、使用什麼裝置，以及你平時的行為方式。當某些地方看起來異常時，自動化防禦機制就會介入，要求額外驗證、終止工作階段，或暫時鎖定帳號。

想知道伺服器究竟是如何偵測異常並將其攔截的嗎？這篇幕後解析將帶你了解從發現第一個訊號到最終執行鎖定的完整「偵測—攔截」流程，並說明這些安全措施如何保護你的帳號。

伺服器如何偵測異常並將其阻止？

每一次登入都會產生一串訊號，伺服器會把這些訊號整合成一個統一的風險分數。低分表示可以正常放行；高分則會觸發攔截動作，例如要求驗證身分或暫時鎖定帳號。這就是「伺服器如何偵測異常並阻止它」的簡短答案：偵測結果驅動評分，評分結果驅動回應。

位置與 IP 基線

你的帳號會保留一段登入地點歷史。伺服器會把每一次新的身分驗證嘗試與你個人的歷史基線進行比較，檢查來源 IP、解析出的國家或地區，以及所使用的 ISP。安全團隊將這種方法稱為行為分析。系統會先建立「對你而言什麼是正常」的輪廓，然後標記任何偏離，例如你在陌生裝置上從一個新城市登入。SearchInform 就是這樣描述的。

把一個 IP 解析到具體地點並不是一件簡單的事。商業服務供應商會彙整 WHOIS 註冊資訊和使用者提交的資料，形成查詢表。研究型系統則會從分散式測量節點發出 ping 和 traceroute，再依據延遲三角定位。更新一些的模型會把 IP 位址視作一個序列，並加入網路營運商中繼資料，以區分全球雲端服務供應商和本地 ISP。

分析人員還會綜合情境來判斷。地理位置不符本身就是一個危險訊號。使用 VPN、代理或 Tor 可能會提高風險分數，而較差的 IP 信譽則暗示該位址曾與惡意活動相關，Didit 就提到過這一點。再看 SearchInform 記錄的一個案例：一家國際物流公司發現某員工帳號從其從未去過的外國發起登入警報，團隊隨即鎖定帳號，並確認該嘗試未經授權。

裝置指紋

僅靠位置還不夠，因此伺服器還會識別你的硬體裝置。裝置指紋會收集螢幕尺寸、作業系統、瀏覽器版本、已安裝字型、時區和語言等屬性，然後將這些資訊雜湊成一個穩定的裝置 ID。根據 Stytch 的說法，這個識別碼比 Cookie 和 IP 位址更持久。

當你登入時，平台會將當前傳入的雜湊值與你已建立的常用裝置基線進行比對。Seon 指出，如果一個未識別裝置還伴隨遠端存取工具使用跡象，就可能觸發更高級別的身分驗證，甚至直接阻斷工作階段。完全精確比對在現實中經常會失敗，因為瀏覽器和作業系統本來就會不斷更新。因此系統通常採用相似度評分：如果大部分特徵與某台已知裝置一致，那麼它很可能仍是同一台裝置，只是發生了輕微變化，FraudLogix 就提到了這一點。Oracle 的文件還指出，新裝置在系統穩定識別之前，可能會先被賦予一個短期的臨時 ID。

這些訊號會一起匯入風險分數。位置、裝置和行為同時不符時，分數就會高到足以在登入真正進入你的帳號之前，先把這次嘗試識別出來並阻止掉。

行為訊號與登入速度

你的使用習慣本身就能說明很多問題，而伺服器會讀取這些資訊。異常偵測會將每次身分驗證的來源 IP、解析出的國家或地區以及 ISP，與帳號自己的歷史基線進行比較。RocketMeUpCybersecurity 指出，分析人員還會追蹤登入頻率、工作階段持續時間和頁面導覽路徑。登入頻率突然升高，或工作階段時間異常短，都可能意味著帳號已被入侵。arXiv 上的一些傳統機器學習方法，會先提取登入頻率、檔案存取次數等統計特徵，再用邏輯迴歸、隨機森林等分類器識別異常行為。

識別「不可能旅行」

速度分析則加入了一項「物理規律測試」。系統會記錄每次登入的時間戳記和地點，計算連續兩次事件之間的距離，再除以其間隔時間，從而得到一個隱含的移動速度。Fingerprint.com 給出過一個例子：某使用者上午 9:00 在舊金山登入，上午 9:45 又在新加坡登入。兩地相距超過 8000 英里，而間隔只有 45 分鐘，換算下來平均速度超過每小時 10000 英里。商業航班的最高速度通常只有每小時 500 到 600 英里，因此這個事件顯然無法成立。WorkOS 同時提醒，地理定位並不完美，因為 VPN 和行動網路都可能製造「瞬間跳躍」的假象。因此，在做出判斷前，應將速度分析與裝置訊號結合使用。

風險評分與閾值

每一個訊號都會送入風險引擎。Okta 會綜合 IP 位址、行為模式和此前失敗嘗試等因素，將風險劃分為 HIGH、MEDIUM 或 LOW。Rublon 進一步解釋了不同結果對應的處理方式：低風險直接放行，中等風險觸發追加驗證，高風險則阻止存取或要求人工審核。固定閾值可能會給正常玩家帶來過多摩擦，或漏掉真正的威脅，因此 Gruve.ai 建議使用會隨著行為變化而調整的自適應閾值。持續監控則能確保這些閾值長期保持有效。

阻止異常：伺服器如何回應

如果只有偵測而沒有動作，偵測就沒有意義。一旦伺服器將某次登入判定為高風險，它會立即採取措施，並把情況告知你。可疑嘗試會被中止，同時系統會向真正的帳號擁有者發送提醒，請其確認這次活動是否為本人操作。

每一次回應也都會生成一個安全事件記錄。這個記錄會保存後續審查所需的情境和細節：來源位址、裝置特徵、發生時間以及採取的動作。支援團隊和自動化系統會利用這些事件，在大量登入嘗試中識別共通模式。

追加驗證

追加驗證意味著在密碼之外，再要求你提供額外證明。系統只會在風險較高時啟用這一步，因此日常登入仍然可以保持順暢。AuthX 解釋說，即使攻擊者已經取得了登入憑證，沒有通過額外驗證，他們也無法執行關鍵操作。該來源還指出，設計欠佳的系統可能會給企業帶來重大風險，因此挑戰機制的價值，取決於其易用性以及是否能基於情境觸發。

遊戲服務通常會提供多種驗證方式。以 Activision 為例，它支援 Authy、Duo Mobile、Google Authenticator 或 Microsoft Authenticator 等身分驗證器應用程式，也支援向已綁定手機號碼發送簡訊驗證碼，或向綁定電子郵件發送郵件驗證碼。下表總結了這些選項。

這種雙重身分驗證流程會在你輸入密碼後再增加一道驗證畫面。Activision 指出，電子郵件驗證會自動讓帳號加入電子郵件 2FA，帳號仍然可以繼續新增應用程式或簡訊方式，並可將任一選項設為主要方式。MiniOrange 建議團隊持續測試、監控並最佳化：檢查成功與失敗的挑戰、完成率和可疑活動，再調整那些要麼製造過多摩擦、要麼對敏感操作保護不足的策略。

工作階段終止與帳號鎖定

當風險持續升高時，伺服器會直接終止目前工作階段。你可能會看到用戶端被關閉，或者帳號出現暫時鎖定，直到你完成身分驗證。這是最嚴厲的一種回應方式，而它的存在有充分理由：被盜工作階段往往只需幾秒鐘就能造成損害。

伺服器還會監控你在線期間是否出現第二次登入。如果另一個人在你遊戲進行中登入，那麼目前正在遊戲中的人會被用戶端踢下線。這條規則既保護真正的帳號擁有者，也能打擊帳號共享濫用。

那麼，伺服器在實際運作中究竟是如何偵測異常並阻止它的？答案是：它會比較各種訊號、評估風險分數，並選擇合適的回應。輕微不符會觸發驗證挑戰，嚴重異常則會直接導致鎖定。一旦系統偵測到異常，事件日誌就會保留相關證據，供後續審核人員確認這次活動是否出自你本人。理解伺服器如何偵測異常並加以阻止，有助於你把每一次提示都看作保護，而不是懲罰。

玩家通知與復原

攔截只有在你知情時才真正有用。遊戲服務通常會把每一次自動回應與通知機制配套使用，有些甚至會做得更多。以《激戰 2》為例，它會透過電子郵件讓你核准或拒絕來自其他地點的登入。這裡應把它視為業界常見做法的一個例子，而不是對 Riot 具體功能的描述。

電子郵件與用戶端內提醒

Authgear 總結了常見模式。針對新登入的安全通知，會告訴你類似「來自 Windows 上 Chrome 的新登入」這類事件，通常還會附帶「這是你本人嗎？如果不是，請重設密碼」的提示。針對失敗嘗試的主動電子郵件提醒也類似，例如：「我們發現有多次登入失敗嘗試——這是你本人操作的嗎？」除此之外，還有用於雙重身分驗證的推播核准通知。

密碼重設與客服找回

如果入侵者已經登入成功，請盡快處理。FTC 建議你把密碼修改為一個強度高、難以猜中的新密碼，然後讓所有裝置全部登出，這樣任何仍在其他地方登入的人都會被踢下線。如果支援雙重身分驗證，也應立即開啟。同時檢查你的復原電子郵件地址和手機號碼是否仍然正確。Microsoft 還補充了第一步：在修改密碼前，先做一次完整的防毒掃描，以免惡意軟體繼續竊取你的新密碼。

Riot 建議你透過提交支援工單來復原被盜帳號。如果與你帳號綁定的電子郵件仍歸你所有，那麼密碼重設就能把入侵者踢出去。還有一條限制共享的規則值得注意：一個帳號在同一時間只能活躍於一個地區；如果在你遊戲過程中發生第二次登入，目前正在遊戲的人會被用戶端踢下線。這種伺服器端檢查能保護真正的帳號擁有者。保持復原資訊最新，就能讓帳號找回只是一段小插曲，而不是一次重大損失。

這套循環會在背景中悄無聲息地運作。伺服器將每次登入與你的基線進行比較，評估風險，再透過驗證提示、終止工作階段或暫時鎖定來作出回應。大多數時候，你幾乎察覺不到這一切。正常玩家會順暢通過這些檢查，而攻擊者則會在每一個環節撞上壁壘。

現代遊戲安全機制仍在不斷進步，而最好的保護往往是「無感」的。如果你的帳號真的被人入侵，你依然有補救辦法。密碼重設和支援工單都可以幫助你恢復存取權限。偵測、評分與回應這一整套機制存在的意義，就是確保你的帳號始終屬於你自己。

常見問題

什麼情況會在登入時觸發驗證提示？

當你目前工作階段與平時模式不一致時，風險分數就會上升。新的位置、陌生裝置，或短時間內大量失敗嘗試，都可能讓分數超過觸發驗證的閾值。此時，伺服器就會要求你在密碼之外再提供額外證明，才會允許登入。

使用 VPN 會導致我的帳號被鎖嗎？

VPN 可能會提高你的風險分數，因為它會隱藏真實位置，而且所使用的 IP 也可能擁有較差的信譽。但這通常不會單獨導致永久鎖定。更常見的結果是觸發一次額外驗證。如果驗證提示阻止了你登入，可以先關閉 VPN，再重新嘗試登入。

為什麼我在新城市登入後被鎖定了？

當系統無法確認那次登入確實是你本人時，旅行行為看起來就像一種威脅。伺服器會阻止該工作階段並向你發出提醒。完成驗證挑戰或重設密碼即可證明帳號所有權。如果鎖定持續存在，提交支援工單通常可以恢復存取。

新裝置一定會被標記嗎？

不一定。相似度評分會將新硬體與你已知裝置進行比較。如果大部分特徵一致，系統可能會在一次更新後仍將其視為同一台裝置。完全陌生的裝置則會在被納入你的基線之前，受到更嚴格的審查。