網絡釣魚及二次詐騙猖獗 HKCERT籲公眾慎防假冒平台及個人資料被竊

香港網絡安全事故協調中心（HKCERT）近日發出嚴峻警告，指市場上湧現大量假冒常用網購平台及公共服務機構的釣魚網站，旨在竊取市民的個人資料、信用卡及銀行賬户資訊。HKCERT特別指出，詐騙集團的手法日趨精密，更出現針對曾受騙人士的「二次詐騙」情況，呼籲市民務必提高警覺，防範財物損失。 HKCERT表示，騙徒慣常手法是建立高度仿真的虛假網站，模仿官方標誌、頁面設計及付款流程。他們常利用「逾期未繳」、「欠款」、「即時罰款」、「停水」、「停電」、「退款」或「協助追回騙款」等具緊迫性的字眼，誘使受害人在未核實網址前便點擊連結、輸入敏感資料或進行付款操作。 其中，知名的網購平台Carousell亦成為騙徒目標。有釣魚網站冒用Carousell名義，顯示「交易確認」及「選擇您的銀行」等訊息，營造買家已付款的假象，從而誘導賣家點擊銀行名稱，轉至偽冒的網上銀行登入頁面以騙取帳户資料。Carousell方面亦提醒用户，騙徒或會假扮買家發送虛假付款確認連結或二維碼，誘騙用户離開官方平台並輸入銀行或信用卡資料，強調官方絕不會要求用户點擊外部連結提供資訊。 在公共服務方面，HKCERT接獲個案顯示，有騙徒以「eTT HK」名義發送短訊，聲稱市民需點擊連結繳交罰款或查閲詳情，並將用户導向假冒的「電子交通告票平台」，伺機誘騙其在「核實/繳付告票」頁面輸入信用卡及個人資料。警方日前已澄清，真正的電子交通告票短訊只會由「#HKPF-eTT」發出，無論是短訊或電郵發出的告票，均不會附有任何超連結。 水務署與中華電力（中電，00002）亦未能倖免。有釣魚網站利用與中電官方極為相似的域名，發送「電費賬單通知書」，聲稱賬單逾期，並以「重要提示」、「逾期未繳可能導致額外費用或暫停供電」等字眼施壓，繼而要求輸入信用卡號碼、持卡人姓名及到期日等資料。中電提醒，其官方網站只會使用指定域名（如 www.clp.com.hk、e.clp.com.hk、clp.to 等），官方短訊以「#CLP」發出，官方電郵域名則為 @clp.com.hk 等，並強調絕不會要求客户提供密碼、信用卡資料或CVV碼。同樣地，水務署亦有假冒其登入及繳費頁面的釣魚網站出現。水務署強調，不會透過電郵或短訊內的超連結引導客户至其他網站，亦不會以短訊催交水費，更不會要求提供信用卡資料；有關電子賬單的官方電郵由 [email protected] 等發出，官方短訊則以「#」開頭。 此外，強積金相關服務亦成為詐騙目標。HKCERT接獲報告，指有騙徒假冒「積金易」平台，以處理強積金行政費「退款」為名，誘騙市民填寫銀行卡或賬户資料。「積金易」平台提醒，市民應只透過官方網站（www.empf.org.hk）或官方流動應用程式使用服務，切勿點擊電郵或短訊內的連結；其官方電郵域名包括 @mpfa.org.hk、@empf.org.hk 等，官方短訊發送人名稱則包括 #MPFA、#eMPF 等，且不會在短訊內附上超連結。 值得投資者關注的是，騙徒的詐騙手法已延伸至針對受害者的「二次詐騙」。HKCERT發現有騙徒假冒反詐騙協調中心（ADCC），聲稱可協助追回騙款、提供免費核查或法務諮詢，並編造成功個案及「高機率追回資金」等説法，實質是利用曾受騙人士急於追回損失的心態進行二次斂財。 為應對此類詐騙活動，HKCERT綜合多宗個案，並提出五句口號：「不點擊、不輸入、不轉賬、先核實、再行動」。中心指出，騙徒利用市民對網上交易平台、公共服務及反詐騙機構的信任，將日常的交易、繳費、罰款、收款及求助情境包裝成釣魚陷阱；鑒於註冊網域及建立假網站成本低，騙徒可不斷更換域名，預計利用公共服務名義進行釣魚攻擊的趨勢將持續增加。 HKCERT呼籲公眾採取以下多重防範措施：首先，避免點擊短訊或電郵內的連結，切勿在可疑網站輸入個人資料或付款資料；其次，如收到聲稱來自公共服務的欠款、電費、水費等通知，應自行輸入官方網址、使用官方應用程式或透過官方渠道核實。同時，市民需仔細核對完整網址，留意是否使用與官方相似但拼寫異常的網域，政府部門網站一般使用 .gov.hk 網域。認清已登記短訊發送人名稱亦是重要一環，官方短訊通常以「#」開頭。面對任何聲稱可快速、高機率追回騙款的説法，應高度懷疑，可致電反詐騙協調中心24小時熱線18222查詢。一旦懷疑曾向可疑網站提供資料，應立即聯絡相關機構及銀行，更改密碼、凍結或更換信用卡，並檢查裝置是否被安裝可疑軟件。市民如欲向HKCERT報告資訊保安事故，可填寫網上表格或致電24小時熱線81056060。