用 VPN 进行网上银行操作安全吗？

很少有哪个 VPN 问题比这个更让人紧张。涉及钱，出错代价高，而网上的建议又朝两个方向拉扯：一派说不开 VPN 就别碰银行；另一派说 VPN 会让你被锁账户。两派各对一部分，所以简单的“是”或“否”并没有用。

本文把 VPN 与网银安全 当作每次都要做的决定：取决于你所在的网络和手里的设备。你会看到按网络类型划分的指南、真正可能出问题的清单、一套更安全的网银小习惯，以及发现异常时的步骤。本文属于一般性信息，不是财务或法律建议，银行自己的说明永远优先。

简短回答，以及为什么要有前提

从技术上讲，用 VPN 做网上银行通常是安全的。VPN 在设备与 VPN 服务器之间增加了一层加密，而银行的网站或应用本来就在加密它与服务器之间的对话。两层保护并不冲突。

前提来自另外两个事实。

• VPN 阻止不了让大多数银行账户被掏空的攻击。 钓鱼页面、被盗的密码和恶意软件，都不在隧道能看到的范围内。
• 银行有对变化敏感的风控系统。 如果你的连接突然出现在新的地点、来自很多人共用的地址或新设备，银行可能会要求你证明是本人。

所以真正有用的问题不是 VPN 安不安全，而是：在这个网络上、做这件事时，VPN 能解决我真有的问题吗？如果银行不满意，我该怎么办？下面几节按场景回答。

按网络来决定：实用指南

最大的因素是你从哪里连接。可以把下表当作起点。

你所在的位置	建议做法	原因
自己家里、路由器密码够强的 Wi-Fi	VPN 可开可不开	网络是你自己的。VPN 主要提供对网络服务商的隐私
自己 SIM 卡的手机流量	可开可不开，银行操作往往不必开	没有陌生人共用你的无线网络，但运营商仍能看到目的地
酒店、咖啡馆、机场或商场 Wi-Fi	先连接 VPN，再用银行	陌生人共用网络，有些网络配置得很糟
朋友或公司的网络	银行操作最好用手机流量	你无法判断网络如何管理、谁能看到日志
图书馆或商务中心的公共电脑	能避免就不要办网银	键盘记录器和遗留的登录会话比网络本身更危险
家里 Wi-Fi 但银行总是要求额外验证	暂停 VPN 再试一次	额外验证可能是 VPN 引起的

公共网络是 VPN 最重要的场景。美国联邦贸易委员会（FTC）在公共 Wi-Fi 指南中解释了原因，我们的文章 如何更安全地使用公共 Wi-Fi 列出了与 VPN 配套的习惯。如果打算在旅途中使用网银，合理的顺序是：连上网络，启动 VPN，确认已连接，然后再打开银行应用。

在自己家的网络上情况不同。如果路由器密码强、设备保持更新，VPN 对网银安全的增益很小，不过它仍然能向网络服务商隐藏你的浏览行为。有人整天开着，也有人办银行业务时关掉，因为多出来的麻烦不值得。两种选择都合理。

真正可能出什么问题

与其模糊地担心，不如看看具体风险，并区分 VPN 能影响的和不能影响的。

VPN 能降低的风险

• 同一个公共 Wi-Fi 上的人窥探你访问了哪些服务，或篡改老旧应用发出的未加密请求。
• 伪造熟悉网络名称、夹在你与互联网之间的恶意热点。VPN 会加密隧道内的流量，不过你仍应避免加入可疑网络。
• 网络所有者记录你访问的每个网站，包括银行的地址。

VPN 改变不了的风险

• 钓鱼。 要求你登录的假银行页面。隧道会同样欣然地把假页面传给你。请在 如何识别钓鱼网站 中学习识别要点，也可阅读 CISA 关于识别和举报钓鱼的页面。
• 密码被盗或重复使用。 如果银行密码从别的服务泄露，攻击者根本不需要接触你的网络。
• 手机或电脑上的恶意软件。 假银行应用或键盘记录器在数据进入任何隧道之前就读到了你输入的内容。
• 换 SIM 卡和一次性验证码被窃。 如果攻击者接管了你的号码，短信验证码就会发到他那里。
• 社会工程。 有人冒充银行反欺诈团队打电话，让你转移资金。没有任何 VPN 能阻止你被说服。
• 银行或商户端的数据泄露。 这类事件里，你的连接从来不是薄弱环节。

还有一个风险在 VPN 一侧：VPN 服务商能看到网络运营者本来也能看到的那类元数据。这是要选择条款清晰的服务商的原因之一。文章 VPN 服务商能看到你的什么信息 对此有详细说明，来历不明的免费应用也不适合用来办网银，参见 免费 VPN 安全吗。

银行为什么有时会对 VPN 有反应

银行在法律和商业上都有保护客户的责任，所以它们的系统会给每次登录打分。分数考虑你所在的位置、使用的设备、当前时间、输入速度，以及你的行为与历史记录的对比。开启 VPN 后，其中好几项会变化。

• 位置变化。 登录看起来来自你从没去过的地方。
• 共用地址。 许多 VPN 用户可能共用同一个出口 IP，而之前的某些用户可能有不良行为，使这个地址信誉很差。
• 网络类型。 连接看起来更像数据中心，而不是家庭宽带或手机网络。
• 多项同时变化。 新设备、新位置、大额转账同时出现，看起来像账户被接管。

结果可能是额外的验证步骤、延迟的转账、暂时的锁定，或者让你打电话的提示。这些是保护性措施，并不说明你的 VPN 有危险。合理的回应是不去对抗它们。文章 在使用 VPN 时使用银行类应用 详细介绍了应用方面的内容，包括应用打不开时可以尝试什么。

还要记住，银行如何对待 VPN 是银行自己的决定。如果它的帮助页面或条款对 VPN 有说明，请照做。拿不准时，通过官方渠道询问银行。

10 分钟的网银安全小习惯

这些步骤比 VPN 的取舍更重要。做一次，就能处处保护你。

1. 开启两步验证，包括银行应用，以及用来重置银行密码的邮箱账号。想比较各种方式，请阅读 什么是两步验证。CISA 关于多因素认证的指南解释了为什么第二个因素能挡住许多账户接管。
2. 如果银行允许选择，优先用应用或硬件生成的验证码，而不是短信，以减轻换 SIM 卡造成的损害。
3. 设置交易提醒，覆盖每笔付款、转账和登录，并把阈值设得低一些。
4. 使用长而唯一的密码，不要在其他地方使用。密码管理器很有帮助。NIST 的数字身份指南建议重视长度，而不是复杂度规则。
5. 只从银行官网提供的官方商店链接安装银行应用。
6. 保持手机和应用更新，删除不用的应用。
7. 给手机设置锁屏密码，并开启较短时间后自动锁屏。
8. 自己输入银行网址，或使用书签。不要点短信里的链接去登录。
9. 在不属于你的设备上，每次用完都要退出登录，并清除保存的密码。
10. 知道银行的紧急电话，并以自己能认出的名字存进通讯录。

加起来，这些步骤大约十分钟就能设好，不花钱，并且针对的是真正造成损失的威胁。

三个人，三种决定

小梅，在机场的游客。 小梅需要支付酒店押金，而唯一的网络是机场 Wi-Fi。她为网银这一步切换到手机流量，因为这个网络不与航站楼里的人群共用。如果没有手机流量，她会先连接 VPN，确认运行正常后再打开应用。无论哪种情况，她都不会在通过消息进入的页面里输入任何信息。

大伟，在咖啡馆办公的自由职业者。 大伟每个周五在咖啡馆付发票。他一加入咖啡馆网络就开着 VPN，因为他还要处理客户文件。他开启 VPN 后的第一个周五，银行要求输入一次性验证码。他完成了验证，之后银行没有再提出异议，他也一直保持提醒开启。

安娜，在家但应用打不开。 安娜的银行应用只要在家开着 VPN 就打不开，尽管她家的 Wi-Fi 很可信。她为这个应用暂停 VPN，办完事再打开。如果她的 VPN 应用支持分应用代理，也可以让银行应用留在隧道之外，参见 什么是 split tunneling。

三个人的共同点是：按网络做决定，平静接受银行的检查，依靠账户本身的保护，而不是只依赖 VPN。

什么时候暂停 VPN，如何安全地暂停

有时暂停才是正确的选择。请遵守以下防护要点。

• 只在你信任的网络上暂停，例如自己的家庭 Wi-Fi 或手机流量。绝不要在共用网络上为了让付款通过而暂停。
• 只为这一项任务暂停，之后马上重新开启 VPN。不要忘记，因为其他应用仍在运行。
• 不要反复敲登录页面。失败两三次就足够了，然后停下来。
• 如果应用跳转到浏览器，输入密码前再检查一次网址。
• 如果转账被暂扣，等银行通知，不要重复提交。
• 不要使用各种手段去隐藏正在使用 VPN。它们可能违反银行条款，并让你的账户显得更有风险。

如果你不确定如何在设备上关闭 VPN，帮助指南 如何关闭 VPN 按平台做了说明。使用 XPASS 时，你用的是免费的 VPNclient 应用，下载页面 列出了官方版本。

发现异常时怎么办

假设你收到了不认识的登录提醒，或者看到一笔不是你发起的转账。请冷静地按以下步骤处理。

1. 不要点提醒里的任何链接。自己打开银行应用，或凭记忆输入网址。
2. 如果还能登录，修改银行密码和邮箱密码。
3. 查看近期登录、设备和收款人，删除不认识的项目。
4. 拨打银行卡上印的电话，必要时请银行冻结卡片或阻止转出。
5. 用可信的安全工具扫描手机和电脑，删除不认识的应用。
6. 如果短信突然收不到，联系手机运营商，这可能是换 SIM 卡的迹象。
7. 做好记录：时间、金额和截图有助于银行调查。
8. 通过所在国家为金融诈骗提供的官方渠道报案。

VPN 在这个恢复过程中不起作用。它不会有害，你可以根据所处的网络保持连接或暂停。

总结

用 VPN 做网上银行在技术上是安全的，在共用 Wi-Fi 上最有用，因为它向周围的网络隐藏你的流量。它阻止不了钓鱼、密码被盗、恶意软件或换 SIM 卡，还可能让银行的风控系统要求额外检查。按网络来决定，银行有异议时只在可信连接上暂停 VPN，并把精力放在两步验证、提醒和唯一密码上，这些对你的钱的保护要大得多。

如果你想为出行或共用网络选一个简单的预付方案，可以随时浏览 价格页面。