重点摘要
- 对公司的风险：员工点开一条短信链接，骗徒就可能拿到网银、邮箱或 WhatsApp 登录资料；一条冒充上司的短信，更可能直接让公司资金转出。
- 短信钓鱼是冒充银行、快递、政府部门或你所在公司的短信，目的是让你点链接、打电话或回复资料。
- HKCERT 2026 年第三季处理 4,404 宗事故，约 61% 属网络钓鱼。
- 防范主要靠习惯：不点短信链接、不交出验证码、凡涉及付款一律回拨核实。
- 如已点击链接，先致电银行，再拨打反诈骗热线 18222，并修改输入过的密码。
「你的信用卡积分将于今晚到期，请立即登录兑换。」这类短信看似无害，却是骗徒收集卡号和验证码的常见入口。
短信钓鱼是什么？
短信钓鱼（Smishing，即 SMS phishing）是指骗徒用手机短信冒充银行、快递公司、政府部门、电讯商或你的雇主，诱使你点击链接、拨打假热线，或回复个人资料、密码、信用卡号码和一次性验证码（OTP）。它是网络钓鱼的一种。
可以把它理解为一封伪造的催缴信：抬头像正式机构，语气要求你马上处理，但回信地址是骗徒的。
短信钓鱼属于网络钓鱼的一个分支。区别在于渠道：短信直接送到你随身携带的手机，你往往在开会或通勤时匆忙处理，而手机屏幕上的短链接很难看出真实去向。
短信钓鱼如何运作？
大多数短信钓鱼分为五步：骗徒先取得手机号码，再发出模仿熟悉品牌的短信，制造时间压力，把你引到假网站或假客服热线，最后在几分钟内利用你输入的密码、卡号或验证码盗用账户或完成交易。
香港案例：2026 年 9 月中，警方在短时间内接获 700 多宗信用卡被盗刷的报案，涉及金额约 1,470 万港元。HKCERT 于 2026 年 9 月 14 日发出的警报指出，冒充银行、商户或快递公司的钓鱼短信，是卡资料外泄的可能途径之一。
五个步骤
- 获取号码：来自泄露的客户名单、随机拨号，或「伪基站」（藏在车内的假移动基站，向周边所有手机群发短信）。
- 冒充身份：发件人名称或内容模仿银行、快递、隧道收费、水电煤公司、政府部门或你的公司。
- 制造紧迫感：账户将被冻结、派送失败、费用逾期、可获退款，并设定期限。
- 收集资料：仿冒登录页面、假客服电话，或要求你转发验证码。
- 变现：盗刷信用卡、转账，或接管邮箱、WhatsApp 和社交账户，再向你的联系人行骗。
香港常见的短信钓鱼有哪些类型？
常见类型包括：快递或海关费用短信、银行和信用卡安全提示、冒充政府或水电煤账单、退款与积分奖励、冒充警方的信息、WhatsApp 或社交账户验证短信，以及冒充上司或同事要求转账。类型不同，目标也不同，但都要求你马上行动。
| 类型 | 典型内容 | 骗徒想要什么 |
|---|---|---|
| 快递费用 | 包裹未能派送，请支付 HK$15 重新安排。 | 信用卡号码和验证码 |
| 银行或信用卡提示 | 检测到异常登录，请立即验证，否则冻结账户。 | 网银登录资料 |
| 政府或水电煤账单 | 账单逾期未缴（HKCERT 于 2026 年 3 月曾警告冒充水务署账单）。 | 信用卡资料 |
| 退款或积分 | 你的积分即将到期，请立即兑换。 | 信用卡资料 |
| 冒充警方 | 声称已追回骗款，请点链接登记（反诈骗协调中心警示）。 | 个人和银行资料 |
| 账户验证 | 请输入验证码以保留账户。 | 接管 WhatsApp 或社交账户 |
| 上司或同事 | 我换了新号码，现在开会，先帮我付订金。 | 公司资金 |
三条入侵途径
- 普通短信：经移动网络由 SIM 卡或群发短信平台发出，是最常见的途径。
- 伪基站：强迫附近手机降到旧的 2G 网络；2G 不要求手机核实网络真伪，骗徒因此可以用任意发件人名称发短信。据 Commsrisk 报道，自 2025 年 2 月起香港警方已多次拘捕携带此类设备驾车的人。
- 仿短信的聊天信息：用境外号码或邮箱地址发出的 iMessage 或 RCS 信息，外观像短信，却可能绕过电讯商的过滤。
怎样识别短信钓鱼？
凡是要求你点链接、拨打某个号码、回复验证码或支付小额费用的短信，尤其带有期限，都应先视为可疑。然后看发件人：香港不少已登记机构会用「#」开头的名称发短信，自称银行却没有「#」的短信更值得怀疑。
- 发件人没有「#」：根据通讯办的短信发送人登记制，已登记机构的发件人名称以「#」开头。参与属自愿性质，所以没有「#」是警号，但不等于一定是诈骗。
- 网址似是而非：多了字母或连字符、以 .top 或 .xyz 结尾，或使用短链接。
- 小额收费：用 HK$10 至 HK$30 的「重新派送费」骗取卡号。
- 索取验证码：银行、快递公司和应用程序都不需要你转发一次性验证码。
- 时间压力：「24 小时内」「今天截止」「账户将被冻结」。
- 本地品牌却用境外号码或邮箱地址发短信。
- 有锁头图标不代表安全：HKCERT 指出，HTTPS 只说明连接经过加密，并不能证明网站是真的。
金管局多次提醒公众，银行不会通过短信或电邮发送附有超链接的信息，引导客户登录网站进行交易。如有疑问，先把链接、电话号码或账号放到警方的防骗视伏器查一查。
怎样防范短信钓鱼？
个人层面，应开启手机的垃圾短信过滤，不通过短信链接登录或付款，并用防骗视伏器检查可疑链接。公司层面，应制定一条规则：凡是通过信息提出的付款或更改收款账户要求，都必须回拨已知号码核实；同时教会员工如何举报可疑短信。
个人：手机设置（菜单名称最后检视于 2026 年 11 月，不同机型和系统版本可能略有差异）
- iPhone 过滤未知发件人（iOS 26）：设置 → App → 信息 → 过滤未知发件人 → 开启。
- iPhone 举报垃圾短信：打开该短信 → 点按下方「报告垃圾信息」→「删除并报告垃圾信息」。
- iPhone 阻挡 2G（防伪基站）：设置 → 隐私与安全性 → 锁定模式 → 开启。此模式会同时限制其他功能，较适合高风险人士。
- Android 垃圾信息防护（Google 信息）：打开「信息」→ 点按个人头像 → 信息设置 → 垃圾信息防护 → 启用。
- Android 阻挡 2G：Pixel 及不少 Android 12 或以上手机：设置 → 网络和互联网 → SIM 卡 → 允许使用 2G → 关闭。Samsung：设置 → 连接 → 移动网络 → 允许 2G 服务 → 关闭。
中小企及 IT 团队
- 制定付款规则：凡通过短信、WhatsApp 或电邮要求付款、更改收款账户或购买礼品卡，一律回拨公司通讯录中的号码核实。
- 如公司需要向客户发短信，向通讯办申请登记「#」发件人名称，并公开声明不会用短信发付款链接。
- 采用防钓鱼登录方式，例如通行密钥或验证器应用，让单靠密码或短信验证码无法登录邮箱和网银。
- 定期进行包括短信在内的钓鱼演练，并设立统一渠道让员工举报可疑短信。
- 为公司信用卡和银行账户开启实时交易通知及每日限额。
公司情境：月底的「财务总监短信」
设想尖沙咀一家 30 人的贸易公司。月底结账当天，出纳收到短信：「我是黄总，手机坏了用这个号码。深圳那边的货款今天必须付，你先转到这个新账户，合同我稍后补发。」时间点合理，黄总当天确实在内地出差。没有规则时，出纳只能凭感觉判断是否转出 12 万元；有规则时，答案已经写好：没有通过公司通讯录上的号码联系到黄总，就不付款。请把这条规则写进付款流程，并告知每一位有权动用公司资金的员工。
可直接转发到公司 WhatsApp 群组的员工通知
【防骗提醒】钓鱼短信持续增加（HKCERT：2026 年第三季约 61% 事故属钓鱼）。
1. 不要点快递、银行、账单或积分短信中的链接，请直接打开官方 App。
2. 任何人（包括自称银行）索取验证码，一律不要提供。
3. 通过短信要求付款或更改收款账户，必须先回拨公司通讯录中的号码核实。
4. 有疑问？先用防骗视伏器（cyberdefender.hk）查询，或联系 IT 同事。点了短信钓鱼链接应该怎样做？
请在几分钟内行动：如曾输入付款资料，立即致电银行冻结信用卡或账户；修改输入过的密码并退出其他设备上的登录；然后拨打反诈骗热线 18222 或到警署报案，并向 HKCERT 举报链接。如涉及公司电脑、手机或账户，同时通知 IT。
- 输入了卡号或网银资料：拨打信用卡背面的银行热线，冻结信用卡并查询近期交易。
- 输入了密码：用可信设备修改密码，开启双重验证，并退出所有其他设备的登录。
- 交出了 WhatsApp 或 App 验证码：立即进行账户恢复，详见WhatsApp 劫持是什么。
- 通过链接安装了 App：先把手机切换到飞行模式，删除该 App，再交 IT 检查或重置。
- 求助渠道：拨打反诈骗协调中心「防骗易」热线 18222（24 小时）；如有资金损失，向警方报案。可通过 HKCERT 网上表格举报链接，或拨打其 24 小时热线 8105 6060。
- 涉及个人资料：如客户或员工资料可能经公司账户外泄，应评估是否需要通知个人资料私隐专员公署。
- 保留证据：截图保存短信、链接和交易记录。
短信钓鱼与网络钓鱼、WhatsApp 劫持有何区别？
网络钓鱼是总称，泛指冒充可信机构以骗取登录资料或钱财的手法。短信钓鱼是通过短信进行的网络钓鱼。WhatsApp 劫持则是其中一种后果：骗徒诱使你交出验证码或扫描二维码后接管你的账户，而起点可能正是一条钓鱼短信。
| 项目 | 网络钓鱼 | 短信钓鱼 | WhatsApp 劫持 |
|---|---|---|---|
| 渠道 | 电邮、短信、聊天应用、电话、假网站 | 短信及仿短信聊天信息 | 你的 WhatsApp 账户 |
| 目的 | 登录资料、钱财或植入恶意程序 | 相同，通过短信进行 | 控制账户，再向你的联系人行骗 |
| 主要防范 | 先核实，后行动 | 垃圾短信过滤、不点短信链接、留意「#」 | 双重验证、检查已关联设备 |
香港最新情况（更新于 2026 年 11 月）
HKCERT 在 2026 年第三季共处理 4,404 宗安全事故，同比增加约 15%，其中 2,672 宗属网络钓鱼，约占 61%。被冒充最多的是社交媒体和即时通讯应用（约 46%），其次是银行、金融服务和电子支付（约 21%）。
资料来源：HKCERT 2026 年第三季安全事故统计，2026 年 11 月 5 日发布。
- 2026 年 9 月：警方接获 700 多宗信用卡被盗刷报案，涉及约 1,470 万港元；HKCERT 指钓鱼短信是卡资料外泄的可能来源之一（HKCERT 警报，2026 年 9 月 14 日）。
- 2026 年 8 月：本地一个网购平台怀疑遭入侵，约 3.3 万人资料可能受影响；此后一周内警方接获 6 宗假客服诈骗，损失超过 30 万港元（HKCERT 第三季回顾）。
- 2026 年 7 月：警方先后在上水和将军澳拘捕携带伪基站驾车的男子，其中一台设备已发出 1,000 多条诈骗短信（Commsrisk，2026 年 7 月）。
最好的防线是习惯，而不是工具
短信钓鱼之所以奏效，是因为短信让人感觉私密又紧急，而手机屏幕把细节都藏了起来。你不需要认出每一条假短信，只需要三个习惯：不点短信链接、不交出验证码、凡涉及钱款一律回拨已知号码核实。把它们写进公司制度，转发上面的员工通知，并在本周和团队一起完成以下清单。
60 秒自我检查清单
- 手机已开启垃圾短信过滤（iPhone：过滤未知发件人；Android：垃圾信息防护）。
- 银行和信用卡 App 已开启实时交易通知。
- 邮箱、网银和 WhatsApp 已启用双重验证或通行密钥。
- 所有有付款权限的员工都知道「先回拨核实，再付款」的书面规则。
- 员工知道可以用防骗视伏器查链接，点错了要拨打 18222。
你的团队收到钓鱼短信时会怎样反应？
钓鱼模拟测试能在没有真实损失的情况下，找出哪些员工会点链接、回拨或回复。UD Security 根据香港常见骗案设计短信和电邮测试，再针对员工的盲点进行培训。
常见问题
只打开钓鱼短信但不点链接，会有危险吗？
一般不会。单纯阅读文字短信不会让手机中毒，风险在于点链接、回拨、回复或安装程序。看到后直接删除并举报为垃圾信息即可。
香港的银行会用短信发送链接吗？
金管局多次提醒，银行不会通过短信或电邮发送附有超链接的信息，引导客户登录网站进行交易。请直接打开银行 App 或自行输入网址。
短信发件人名称前的「#」代表什么？
代表该机构已根据通讯办于 2023 年 12 月推出的短信发送人登记制登记名称。登记属自愿性质，所以「#」只是正面迹象而非保证，仍应避免点链接。
我用 5G，伪基站还能把短信发到我的手机吗？
有可能。伪基站会强迫附近手机降到不核实网络真伪的 2G。在 Android 关闭 2G，或在 iPhone 开启锁定模式，可以降低风险。
被短信钓鱼骗走的钱，银行会赔偿吗？
取决于银行条款以及交易是否被视为经你授权。应立即通知银行并报警，越早报告，拦截或追回款项的机会越大。