你剛下載一個看起來很正常的小工具。圖示像、網站像、功能也像。第一次打開時，Mac 跳出一個密碼要求，文字看起來也不誇張：可能是「需要權限才能完成安裝」，也可能是「請輸入密碼以啟用功能」。
很多人會在這一秒直接輸入。這種提示在 macOS 裡常常會出現：安裝工具、開啟輔助使用權限、修改系統設定、更新元件，都可能需要管理者密碼。
PamStealer 冒充 Maccy 的事件提醒我們，問題不只是假網站或假 App（相關報導與技術分析見文末參考來源）。更麻煩的是，它把「你已經習慣的 Mac 密碼提示」變成攻擊流程的一部分。這堂微課不要求你背惡意程式名稱；重點是把它整理成可重複使用的停手流程：下次任何工具要求你輸入 Mac 密碼時，先用 3 分鐘判斷它是否值得信任。
這堂課你會帶走
你會帶走三件事：
- 一棵「Mac 密碼提示」停手決策樹：遇到輸入密碼、權限要求或安裝確認時，先判斷要不要立刻取消。
- 一個取消後 3 分鐘查證步驟：記錄提示、回到官方來源、對照功能與權限。
- 一張查完後的分流表：把結果分成繼續、重抓、暫停或求助。
如果你常幫家人裝工具、在公司 Mac 上試用開發工具，或習慣從搜尋結果下載小工具，這套流程比記住某個惡意軟體名稱更有用。
密碼提示本身不等於壞事，危險的是你不知道它為什麼出現
macOS 的管理者密碼可以先理解成「允許這個動作碰到系統層級設定」的鑰匙。它可能用在安裝、移除、改權限、建立系統服務、讀取受保護資料等情境。
所以重點不在於「看到密碼框就一定是詐騙」。真正要問的是：這個提示和你剛剛做的動作，有沒有清楚、合理、可追溯的關係？
例如：
- 你正在安裝從官方網站下載的驅動程式，要求管理者密碼，這可能合理。
- 你只是開啟一個剪貼簿工具，它立刻要求輸入登入密碼，卻沒有說明要修改什麼，這就需要停下來。
- 你從搜尋廣告或不熟的下載站拿到 App，它要求密碼時，第一步不該是輸入，請先回頭查來源。
這和處理 AI 冒充電話很像：重點是要先換通道確認。你可以參考我們之前的《熟人來電也可能是假聲音：先用三步驟處理 AI 冒充電話》，把「來電」換成「密碼提示」，背後的停手邏輯其實相同。
3 分鐘停手決策樹
遇到 Mac 密碼提示時，不要先判斷「我認不認得這個 App」。前 30 秒先照下面五題走；只要有一題答不清楚，就先取消，再進入下一節的 3 分鐘查證。
這個提示是不是由你剛剛主動觸發？
- 如果你沒有按安裝、更新、開啟權限、修改設定，卻突然跳出密碼要求：先按取消。
- 如果你剛剛確實按了安裝或啟用功能：進到下一題。
提示文字有沒有說清楚它要改什麼？
- 如果只寫「需要密碼才能繼續」、「請輸入系統密碼」但沒有說明用途：先按取消。
- 如果它明確說要安裝輔助工具、修改系統設定、啟用輔助使用權限：進到下一題。
這個權限是否和 App 功能直接相關？
- 剪貼簿、截圖、輸入法、視窗管理工具，可能需要輔助使用或螢幕錄製權限，但不一定需要你的登入密碼。
- 壓縮工具、筆記工具、一般選單列小工具，若一開啟就要求管理者密碼，要特別小心。
App 來源能不能回到官方路徑？
- 如果你是從搜尋結果第一個廣告、陌生下載站、短網址、論壇附件下載：停止，改去官方 GitHub、官方網站或 App Store 重新取得。
- 如果來源可追溯，再確認開發者名稱、檔名、版本與官方頁面一致。
你能不能先用不輸入密碼的方式繼續？
- 如果 App 允許跳過、稍後設定、只開基本功能：先跳過。
- 如果它把所有操作都卡在密碼輸入前，而且沒有合理說明：不要把密碼交出去。
這棵樹不用把你訓練成惡意程式分析師。它只做一件事：先決定要不要按下取消。按下取消之後，把接下來 3 分鐘留給記錄、回源頭與對照權限。
取消之後：三步查證
這一節接在決策樹後面，回答「取消之後的 3 分鐘到底做什麼」。目標先放在收集線索，暫時不急著替 App 下好壞判斷，讓下一節可以分流。
第 1 分鐘：先取消，不要急著輸入
看到密碼框時，先按「取消」。如果 App 因此關掉或功能不能用，這不代表你做錯。對安全來說，取消是最低成本的 dry-run。dry-run 可以先理解成「先試跑但不真的改資料或發布」。
取消後，記下三件事：
- App 名稱與圖示。
- 你剛剛按了哪個按鈕。
- 密碼框上的完整文字。
如果可以，截圖保存。截圖的用途很實際：避免你幾分鐘後只記得「好像很正常」，卻想不起提示到底寫了什麼。
第 2 分鐘：回到來源，不要只看檔案本身
接著問：這個 App 是從哪裡來的？
比較安全的順序通常是：
- App Store。
- 官方網站。
- 官方 GitHub release。
- 開發者文件直接連結。
風險較高的來源包括：
- 搜尋結果上方的廣告連結。
- 下載站、破解站、鏡像站。
- 社群貼文中的短網址。
- 朋友轉傳但說不出原始來源的安裝檔。
如果你找不到官方來源，先不要用「我已經下載了」當理由繼續。刪掉現有檔案，從官方路徑重抓，通常比事後清理更省時間。
這裡也適合套用另一篇權限檢查文章的想法：AI 或自動化工具幫你做事時，要先找出哪一步會真的動手。延伸可讀《AI 幫你寫捷徑時，先找出哪一步會真的動手》。在 Mac App 裡，「真的動手」常常就是要求管理者密碼、改系統設定或拿高風險權限的那一步。
第 3 分鐘：用「功能—權限」對照，不用猜好壞
最後，把 App 功能和它要求的權限對起來。
你可以這樣問：
- 這個 App 的核心功能是什麼？
- 它要的密碼或權限，是否是完成核心功能的必要條件？
- 如果不給這個權限，它是否仍能提供基本功能？
- 官方文件是否清楚解釋這個權限？
例如，視窗管理工具需要輔助使用權限，算是合理方向；螢幕錄影工具需要螢幕錄製權限，也容易理解。但一個簡單剪貼簿工具若一開始就要求登入密碼，且沒有清楚說明用途，你不需要立刻判它是惡意軟體，只要先不要給。
一張表判斷：繼續、重抓、暫停、求助
完成上面的 3 分鐘查證後，再用這張表把結果分流。它放在查完來源、提示文字與權限之後，幫你決定要繼續、重抓、暫停或求助。
| 你看到的情境 | 先做與可繼續條件 | 該停手的訊號 |
|---|---|---|
| 剛下載 App，第一次開啟就要求 Mac 密碼 | 先按取消，重新檢查下載來源；只有在來源是官方網站、官方 GitHub 或 App Store，且檔名、開發者名稱、版本號都和官方頁面一致時，才可繼續 | 來源來自搜尋廣告、鏡像站、短網址，或官方頁面找不到同一版本 |
| App 說要安裝輔助工具或 helper | 先查文件，確認 helper 內容；文件要明確說明 helper 用於自動更新、背景同步或系統整合，且名稱和 App 一致 | helper 名稱陌生、說明含糊，只寫「啟用完整功能」 |
| App 要求輔助使用、螢幕錄製或自動化權限 | 到「系統設定」手動查看權限項目；權限與功能直接相關才能繼續，例如視窗管理需要輔助使用，錄影工具需要螢幕錄製 | 剪貼簿、筆記、轉檔等功能卻同時要求多個高風險權限 |
| 密碼框文字很短，沒有說明用途 | 先取消，截圖保存提示文字；若官方文件可找到同一提示或同一設定步驟才可繼續 | 提示催促你「立即輸入」、「否則無法使用」，但沒有可查證文件 |
| 公司或客戶專案用的 Mac 出現提示 | 不輸入，改問 IT 或專案 owner；owner 可說明工具、版本與安裝原因才可繼續 | 沒有人能說清楚誰要求安裝、為什麼今天需要、是否曾測試過 |
owner 可以先理解成「負責最後判斷與收尾的人」。在個人情境裡，owner 可能就是你；在公司情境裡，通常是 IT、資安窗口或專案負責人。
注意表裡沒有「看起來像真的」這一欄。因為圖示、網站排版、App 名稱都可以模仿。你能實際檢查的是來源、用途、權限與責任人。
小團隊可以怎麼落地
如果你在公司、工作室或家庭裡常幫別人處理電腦，單靠「大家小心一點」不夠。可以把規則寫成一個很短的內部流程。
建議流程
- 任何新工具要求 Mac 密碼時，先取消。
- 使用者把 App 名稱、下載網址、提示截圖貼到指定頻道。
- 負責人檢查來源是否為官方路徑，並確認權限是否和功能相符。
- 若是公司設備，只有 IT 或指定 owner 可以放行安裝。
- 無法確認時，一律改找替代工具或暫緩使用。
這個流程的關鍵是「把密碼輸入從個人反射，改成可被檢查的交接」。workflow 是一連串固定交接步驟；這裡的 workflow 不需要複雜系統，只需要一個大家都知道的停手點。
可以直接複製的團隊提醒
如果任何 Mac App 要求你輸入登入密碼，請先按取消。把 App 名稱、下載網址與提示截圖貼到指定頻道。除非來源可追溯到官方網站、App Store 或官方 GitHub，且權限用途能說清楚，否則不要輸入密碼。
這段提醒比「不要下載奇怪軟體」更可執行，因為它告訴使用者在那一秒要做什麼。
常見誤判：這三句話最容易讓人放鬆
「這是 Mac，應該比較安全」
macOS 的安全設計確實比單純讓程式自由執行好得多，但任何系統都擋不住使用者自願輸入密碼。當攻擊流程把你熟悉的提示變成劇本的一部分，平台本身不能替你完成最後判斷。
「我只是裝一個小工具」
小工具反而容易被放行，因為它們看起來不值得大費周章檢查。剪貼簿、選單列、截圖、轉檔、輸入法、開發輔助工具都屬於高頻小工具；一旦它們要密碼或高權限，就值得多看一眼。
「網站看起來很像官方」
網站像不像，只能當作弱訊號。更可靠的是網域、官方文件連結、開發者帳號、release 頁面、社群公告是否互相對得上。如果只有一個漂亮下載頁，卻沒有任何可追溯線索，先不要把密碼交出去。
給個人使用者的最小起步動作
今天不用整理整台 Mac，也不用一次學會所有資安術語。只做一件事：
把這句話寫進你的備忘錄，或貼在家人群組：
Mac 跳出密碼要求時，先按取消；確認來源、用途、權限三件事後，再決定要不要繼續。
如果你願意多做一步，建立一個「可信下載來源」書籤資料夾，把常用工具的官方網站、官方 GitHub、App Store 頁面放進去。下次要重裝時，不要從搜尋結果重新找，直接從書籤進去。
AI 整理卡
下次遇到可疑的 Mac 密碼提示，可以把以下內容交給 AI，請它幫你整理風險。但最後是否輸入密碼，仍要由你或團隊 owner 判斷。
請幫我檢查這個 Mac App 的密碼或權限要求是否合理。請不要替我下「一定安全」的結論，只整理風險線索與下一步。
App 名稱：
下載來源 URL：
我是從哪裡點到這個下載頁的：
提示文字完整內容：
我剛剛做了什麼動作才跳出提示：
App 聲稱的主要功能：
它要求的密碼或權限：
我找到的官方網站或官方 GitHub：
請用以下格式回答：
1. 這個要求和 App 功能是否直接相關？
2. 來源是否可追溯到官方路徑？有哪些疑點？
3. 我現在應該繼續、取消後重抓、詢問 owner，還是暫停使用？
4. 如果要詢問 IT 或同事，請幫我整理一段 5 句以內的說明。
這張卡不讓 AI 替你保證安全；它只幫你把「感覺怪怪的」變成可討論的線索：來源、提示文字、權限、下一步。
用日常來理解
- 一位工程師在工作機裡下載一個看起來很熟的工具，剛啟動就看到密碼要求，第一反應先停下來並記錄目前畫面。
- 他把「按了哪個按鈕」與下載連結整理成紀錄，並將提示截圖保留，用來回頭比對。
- 接著把 App 來源改回官方頁面，逐一核對開發者、檔名、版本，確認要求是否符合實際功能。
- owner 回覆後，團隊再把結果分成可持續、改用官方路徑重抓，或暫停使用三個路徑。
參考來源
Jamf Threat Labs：PamStealer: macOS Malware Posing as Clipboard Manager App — https://www.jamf.com/blog/pamstealer-macos-infostealer-applescript-rust/（2026-07-02）
Ars Technica：Newly discovered PamStealer isn’t your typical macOS malware — https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/（2026-07-03）
The Hacker News：PamStealer Uses Fake Maccy Sites and PAM Checks to Steal Mac Login Passwords — https://thehackernews.com/2026/07/pamstealer-uses-fake-maccy-sites-and.html（2026-07-03）
