因为真ocbc的短信也会有 bitly的短链接 这样单从短信的url是无法知道是不是钓鱼链接我用的其他几家银行没有这样的 而且手机浏览器有时会隐藏url地址栏 所以辨别难度不是一般的大

这个就更加严重了这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行的系统就真的有问题了。因为最开始的那个otp只是给用户登陆进系统用的。要激活digital token这么重要的操作，不应该什么都不需要。 搬个凳子继续等着看看后续。