重点摘要
- 对公司来说，最大的风险不是一台电脑中毒，而是员工的邮箱或 WhatsApp 账户被盗，骗子再用它要求转账，或者凭一组密码打开公司的共享文件和网上银行。
- 网络钓鱼是指骗子冒充你信任的机构或人，诱使你点击链接、输入密码或验证码，甚至直接汇款。
- 2026 年 1 至 6 月，HKCERT 处理的 8,358 宗事故中，钓鱼占 5,305 宗，比例达 63%。
- 两个习惯能挡住大部分案例：不在别人发来的链接里输入密码或验证码；任何更改收款信息的要求，一律拨打已知号码核实。
月底，财务部员工收到一条“水费账户资料更新通知”，附有缴费链接，标志和措辞与水务署几乎一样。她输入了公司信用卡信息，半分钟后，这些信息已落入骗子手中。
什么是网络钓鱼？
网络钓鱼（Phishing）是一种诈骗手法：骗子冒充银行、政府部门、同事或常用应用发出信息，诱使你点击链接、打开附件、输入密码或一次性验证码，甚至直接转账。它就像一个假扮大厦保安的人，客气地向你索取办公室钥匙。
钓鱼是香港最常见的网络安全事故。根据香港电脑保安事故协调中心（HKCERT）于 2026 年 8 月 31 日发布的年中回顾，2026 年 1 至 6 月共录得 8,358 宗事故，其中钓鱼占 5,305 宗，比例达 63%。
网络钓鱼是如何运作的？
大部分钓鱼攻击遵循同一套流程：骗子先模仿一个你信任的品牌，再给你一个必须马上处理的理由，把你引到假网站或假文件，收集你输入的信息，然后在几分钟内用来登录、盗用账户或转走款项。
香港案例：假水费单
HKCERT 在 2026 年 3 月发出警报，指有钓鱼信息以“水费账户资料更新通知”为题，链接使用 wsdbg、wsdio 等与水务署相似的网址，引导收件人到假缴费页面输入电话和信用卡信息。据 HKCERT 年中回顾，相关案例在 2026 年 2 月至 4 月间增加了一倍以上。
- 下饵：模仿真实品牌的标志、语气和时机，例如报税季或快递通知。
- 施压：设定很短的期限，让你来不及思考就行动。
- 设陷阱：链接打开仿冒网站，或附件要求你“启用内容”。
- 收网：你输入的密码或验证码立即传到骗子手里。
- 盗用：骗子登录账户，再以你的身份联系同事或客户。
网络钓鱼有哪些类型？
钓鱼的类型按途径或对象命名。传统的邮件钓鱼依然常见，但香港目前更多案例通过即时通讯软件、短信、二维码和假网站而来；损失最大的，往往是专门针对财务或管理层某个人设计的攻击。
| 类型 | 香港常见鱼饵 |
|---|---|
| 邮件钓鱼 | 银行、Microsoft 365、快递通知 |
| 鱼叉式钓鱼 | 假董事要求财务部紧急转账 |
| 短信钓鱼（Smishing） | 退税、水费、包裹附加费 |
| 即时通讯钓鱼 | “账户已被锁定，扫码解锁” |
| 二维码钓鱼（Quishing） | 停车罚单、餐厅订座、Wi-Fi 登录 |
| 电话钓鱼（Vishing） | 假冒银行或客服热线 |
| ClickFix | “粘贴这段命令以证明你不是机器人” |
即时通讯已成为主战场。HKCERT 2026 年上半年数据显示，46% 的钓鱼案例以社交媒体和即时通讯软件为目标，其中冒充 WhatsApp 的有 1,435 宗，约为排名第二的 Telegram（557 宗）的三倍；银行、金融及电子支付服务占 17%。
如何识别钓鱼信息？
留意“紧急”加“要求”的组合：一个期限，再加上一个链接、一个验证码、一个附件或一笔款项。然后核对发件人的真实地址或号码，以及网址里的每一个字母。银行、政府部门和 WhatsApp 都不会要求你通过链接解锁账户。
- 发件地址或号码与机构不符，或域名有细微拼写错误。
- 期限很短：“24 小时内停用账户”“最后通知”。
- 要求你提供验证码、密码、信用卡信息或扫描二维码。
- 提到新的收款账户、更改付款信息，或要求“暂时保密”。
- 网页要求你把命令粘贴到 Windows“运行”窗口或 Mac“终端”。
如有疑问，不要回复。自行查找该机构的官方电话，或把链接、电话号码和收款账户输入香港警方的防骗视伏器核查。
如何防范网络钓鱼？
防范分两层。个人应开启多重认证（MFA，即密码之外的第二重核实）、打开手机内置的诈骗过滤，并且绝不在链接里输入验证码；公司则应制定付款回拨核实规则、保护公司邮件域名、及时更新软件，并用真实场景测试和培训员工。
个人：今天就能开启的设置
- iPhone 过滤陌生短信：设置 → App → 信息 → 未知与垃圾信息 → 开启“过滤未知发件人”。
- iPhone Safari 警告：设置 → App → Safari → 开启“欺诈性网站警告”。
- Android 短信过滤：Google 信息 → 个人资料图标 → 信息设置 → 垃圾信息防护 → 开启“启用垃圾信息防护”。
- Android 浏览器保护：Chrome → ⋮ → 设置 → 隐私和安全 → 安全浏览 → 增强型保护。
- WhatsApp（两种手机相同）：设置 → 账号 → 两步验证 → 开启；之后每周检查 设置 → 已关联设备。
以上路径最后核对于 2026 年 11 月，适用于 iOS 18 及以上和当前 Android 版本。较旧的 iPhone 把“信息”和“Safari”直接放在“设置”下，部分 Android 品牌的菜单名称也略有不同。
中小企业及 IT 团队
- 为邮箱、云存储和网上银行开启 MFA，最好使用验证器 App 或通行密钥（Passkey），而不是短信验证码。
- 配置邮件认证（SPF、DKIM、DMARC），让骗子难以冒用公司名义发邮件。
- 及时更新浏览器、操作系统和网站插件。
- 每年至少做一次模拟钓鱼测试和简报，大规模招聘后再做一次。
公司场景：假老板要求转账
财务人员收到一条 WhatsApp 信息，头像和名字都是董事：“我在开会，今天请转 18 万港元给这个新供应商，资料如下，不用打电话给我。”账户可能已被劫持，也可能只是骗子用同一张照片注册了新号码。不管是哪一种，除非有规则拦截，钱都会被转走。
公司规则：任何新收款人、更改银行账户或紧急转账要求，必须拨打公司记录中的已知号码核实（绝不使用信息里的号码），并由第二人审批。
可直接转发的员工通知
【防钓鱼提醒】
1. 不要在别人发来的链接里输入密码或验证码。
2. 任何付款或更改银行信息的要求，先拨打公司记录中的号码核实。
3. 收到 IT、银行或老板的可疑信息，不要回复，截图发给 [IT 联系人]。
4. 已经点了链接？马上告诉我们，不追究责任，越快越好。遇到网络钓鱼中招后该怎么办？
抓紧第一个小时。先断开设备的网络连接，再用另一台设备修改受影响的密码并退出所有其他设备的登录；如曾输入信用卡或银行信息，马上致电银行，然后报案。速度比追究责任更重要，因为骗子通常几分钟内就会使用盗来的信息。
- 停：如曾打开文件或粘贴命令，立即断开该设备的 Wi-Fi。
- 保：用另一台设备修改密码、开启 MFA、退出所有其他设备登录，并检查 WhatsApp“已关联设备”。
- 银行：如曾输入信用卡或银行信息，马上拨打银行热线冻结卡片或拦截转账。
- 报：拨打香港警方反诈骗协调中心“防骗易”热线 18222（24 小时），并向 HKCERT 热线 8105 6060 或其网上事故报告表格报告。
- 提醒：通知同事和客户，不要理会受影响账户发出的信息。
- 隐私：如客户或员工的个人资料可能外泄，应考虑通知个人资料私隐专员公署（私隐公署）及受影响人士。
热线号码于 2026 年 11 月 4 日在反诈骗协调中心及 HKCERT 网站核实。
钓鱼针对的是人，所以要守住流程
网络钓鱼借用的是已经存在的信任。没有过滤器能拦下所有信息，所以要把几项简单设置，配合一套不依赖任何人及时识破假信息的付款流程。
60 秒自查清单
- 公司邮箱和网上银行已开启 MFA。
- WhatsApp 已开启两步验证，“已关联设备”里只有自己的设备。
- 每位员工都知道付款前要回拨核实。
- 每位员工都知道中招后找谁，以及 18222 热线。
- 员工在过去 12 个月内见过真实的钓鱼示例。
找出团队里谁会点开钓鱼链接
HKCERT 建议机构加强员工识别可疑信息的能力。按照你公司的部门与流程设计的模拟钓鱼测试，可以准确找出薄弱环节，再由本地安全专家上门为员工培训。
常见问题
只是打开钓鱼邮件会有危险吗？
在已更新的设备上单纯打开信息，风险通常较低。真正的危险在于点链接、开附件、扫二维码或输入信息，所以应直接删除并举报，不要与信息互动。
多重认证能阻止网络钓鱼吗？
MFA 能阻止大部分只靠密码的盗用，但骗子仍可能诱骗你说出一次性验证码。带数字匹配的验证器 App 或通行密钥，比短信验证码更能抵御钓鱼。
网络钓鱼在香港违法吗？
违法。以钓鱼手法骗取钱财或数据，可被控欺诈、有犯罪或不诚实意图而取用电脑等罪行，可拨打 18222 或通过警方网上报案中心报案。