重點摘要
- 對公司而言，最大風險不是一部電腦中毒，而是同事的電郵或 WhatsApp 帳戶被盜，騙徒再用它要求轉帳，或者憑一組密碼打開公司的共享檔案與網上銀行。
- 網絡釣魚是指騙徒冒充你信任的機構或人，誘使你按連結、輸入密碼或驗證碼，甚至直接匯款。
- 2026 年 1 至 6 月，HKCERT 處理的 8,358 宗事故中，釣魚佔 5,305 宗，比例達 63%。
- 兩個習慣可擋下大部分個案：不在別人傳來的連結輸入密碼或驗證碼；任何更改收款資料的要求，一律致電已知號碼核實。
月底，會計部同事收到一則「水費帳戶資料更新通知」，附有繳費連結，標誌和用字與水務署幾乎一模一樣。她輸入了公司信用卡資料，半分鐘後，這些資料已落入騙徒手中。
什麼是網絡釣魚？
網絡釣魚（Phishing）是一種詐騙手法：騙徒冒充銀行、政府部門、同事或常用應用程式發出訊息，誘使你按下連結、開啟附件、輸入密碼或一次性驗證碼，甚至直接轉帳。它就像一個假扮大廈保安的人，禮貌地向你索取辦公室鑰匙。
釣魚是香港最常見的網絡保安事故。根據香港電腦保安事故協調中心（HKCERT）於 2026 年 8 月 31 日發表的年中回顧，2026 年 1 至 6 月共錄得 8,358 宗事故，其中釣魚佔 5,305 宗，比例達 63%。
網絡釣魚如何運作？
大部分釣魚攻擊都走同一條路：騙徒先模仿一個你信任的品牌，再給你一個必須立即處理的理由，把你帶到假網站或假檔案，收集你輸入的資料，然後在幾分鐘內用來登入、盜用帳戶或轉走款項。
香港例子：假水費單
HKCERT 在 2026 年 3 月發出警報，指有釣魚訊息以「水費帳戶資料更新通知」為題，連結使用 wsdbg、wsdio 等與水務署相似的網址，引導收件人到假繳費頁輸入電話及信用卡資料。據 HKCERT 年中回顧，相關個案在 2026 年 2 月至 4 月間增加超過一倍。
- 放餌：模仿真實品牌的標誌、語氣和時機，例如報稅季或速遞通知。
- 施壓：設下短限期，讓你未及思考便行動。
- 設陷阱：連結打開仿冒網站，或附件要求你「啟用內容」。
- 收網：你輸入的密碼或驗證碼即時傳到騙徒手中。
- 盜用：騙徒登入帳戶，再以你的身分聯絡同事或客戶。
網絡釣魚有哪些類型？
釣魚的類型按途徑或對象命名。傳統的電郵釣魚仍然常見，但香港現時更多個案經即時通訊程式、短訊、QR code 及假網站而來；損失最大的，往往是專門針對財務或管理層某一個人而設計的攻擊。
| 類型 | 香港常見魚餌 |
|---|---|
| 電郵釣魚 | 銀行、Microsoft 365、速遞通知 |
| 魚叉式釣魚 | 假董事要求財務部緊急轉帳 |
| 短訊釣魚（Smishing） | 退稅、水費、包裹附加費 |
| 即時通訊釣魚 | 「帳戶已被鎖，掃描 QR code 解鎖」 |
| QR code 釣魚（Quishing） | 泊車告票、餐廳訂座、Wi-Fi 登入 |
| 電話釣魚（Vishing） | 假冒銀行或客戶服務熱線 |
| ClickFix | 「貼上這段指令以證明你不是機械人」 |
即時通訊已成主戰場。HKCERT 2026 年上半年數字顯示，46% 的釣魚個案以社交媒體及即時通訊程式為目標，其中冒充 WhatsApp 的有 1,435 宗，約為第二位 Telegram（557 宗）的三倍；銀行、金融及電子支付服務則佔 17%。
怎樣識別釣魚訊息？
留意「緊急」加「要求」的組合：一個限期，再加上一條連結、一個驗證碼、一個附件或一筆款項。然後核對寄件人的真實地址或號碼，以及網址的每一個字母。銀行、政府部門和 WhatsApp 都不會要求你經連結解鎖帳戶。
- 寄件地址或號碼與機構不符，或網域名稱有細微錯字。
- 限期很短：「24 小時內停用帳戶」「最後通知」。
- 要求你提供驗證碼、密碼、信用卡資料或掃描 QR code。
- 提到新的收款帳戶、更改付款資料，或要求「暫時保密」。
- 網頁要求你把指令貼到 Windows「執行」視窗或 Mac「終端機」。
如有懷疑，不要回覆。自行查找該機構的官方電話，或把連結、電話號碼及收款帳戶輸入警方的防騙視伏器查核。
怎樣防範網絡釣魚？
防範分兩層。個人應啟用多重認證（MFA，即密碼以外的第二重核實）、開啟手機內置的詐騙過濾，並且永不在連結中輸入驗證碼；公司則應訂立付款回電核實規則、保護公司電郵網域、定期更新軟件，並以真實情境測試及培訓員工。
個人：今天就可以開啟的設定
- iPhone 過濾不明短訊：設定 → App → 訊息 → 不明與垃圾訊息 → 開啟「過濾不明寄件人」。
- iPhone Safari 警告：設定 → App → Safari → 開啟「詐騙網站警告」。
- Android 短訊過濾：Google 訊息 → 個人資料圖示 → 訊息設定 → 垃圾訊息防護 → 開啟「啟用垃圾訊息防護」。
- Android 瀏覽器保護：Chrome → ⋮ → 設定 → 隱私權和安全性 → 安全瀏覽 → 強化保護。
- WhatsApp（兩款手機相同）：設定 → 帳號 → 雙重驗證 → 啟用；之後每星期檢查 設定 → 已連結的裝置。
以上路徑最後核對於 2026 年 11 月，適用於 iOS 18 或以上及現行 Android 版本。較舊的 iPhone 把「訊息」和「Safari」直接放在「設定」之下，部分 Android 品牌的選單名稱亦略有不同。
中小企及 IT 團隊
- 為電郵、雲端儲存及網上銀行啟用 MFA，最好使用驗證器 App 或通行密鑰（Passkey），而不是短訊驗證碼。
- 設定電郵認證（SPF、DKIM、DMARC），令騙徒難以用公司名義發出電郵。
- 定期更新瀏覽器、作業系統及網站外掛程式。
- 每年最少進行一次模擬釣魚測試及簡報，大量招聘後再做一次。
公司情境：假老闆要求轉帳
會計同事收到一則 WhatsApp 訊息，頭像和名字都是董事：「我在開會，今天請轉 18 萬港元給這個新供應商，資料如下，不用打給我。」帳戶可能已被騎劫，也可能只是騙徒用同一張相片開了新號碼。無論哪一種，除非有規則攔截，款項都會被轉走。
公司規則：任何新收款人、更改銀行帳戶或緊急轉帳要求，必須致電公司記錄內的已知號碼核實（絕不使用訊息中的號碼），並由第二人批核。
可直接轉發的員工通知
【防釣魚提提你】
1. 不要在別人傳來的連結輸入密碼或驗證碼。
2. 任何付款或更改銀行資料的要求，先致電公司記錄內的號碼核實。
3. 收到 IT、銀行或老闆的可疑訊息，不要回覆，截圖交給 [IT 聯絡人]。
4. 已經按了連結？立即通知我們，不會追究，越快越好。中了網絡釣魚應該怎樣做？
把握第一小時。先中斷裝置的網絡連線，再用另一部裝置更改受影響的密碼並登出所有其他裝置；如曾輸入信用卡或銀行資料，立即致電銀行，然後報案。速度比追究責任重要，因為騙徒通常在幾分鐘內便會使用盜來的資料。
- 停：如曾開啟檔案或貼上指令，立即中斷該裝置的 Wi-Fi。
- 保：用另一部裝置更改密碼、啟用 MFA、登出所有其他裝置，並檢查 WhatsApp「已連結的裝置」。
- 銀行：如曾輸入信用卡或銀行資料，立即致電銀行熱線凍結信用卡或截停轉帳。
- 報：致電警方反詐騙協調中心「防騙易」熱線 18222（24 小時），並向 HKCERT 熱線 8105 6060 或其網上事故報告表格報告。
- 警示：通知同事及客戶，不要理會受影響帳戶發出的訊息。
- 私隱：如客戶或員工的個人資料可能外洩，應考慮通知個人資料私隱專員公署（私隱公署）及受影響人士。
熱線號碼於 2026 年 11 月 4 日在反詐騙協調中心及 HKCERT 網站核實。
釣魚針對的是人，所以要保護流程
網絡釣魚借用的是早已存在的信任。沒有過濾器能攔截所有訊息，因此應把幾項簡單設定，配合一套不依賴任何人及時識破假訊息的付款流程。
60 秒自我檢查清單
- 公司電郵及網上銀行已啟用 MFA。
- WhatsApp 已啟用雙重驗證，「已連結的裝置」只有自己的裝置。
- 每位同事都知道付款前要回電核實。
- 每位同事都知道中招後找誰，以及 18222 熱線。
- 同事在過去 12 個月內見過真實的釣魚範例。
找出團隊中誰會按下釣魚連結
HKCERT 建議機構加強員工識別可疑訊息的能力。按你公司的部門與流程設計的模擬釣魚測試，可以準確找出弱點所在，再由本地安全專家上門為員工培訓。
常見問題
只是打開釣魚電郵會有危險嗎？
在已更新的裝置上單純打開訊息，風險通常較低。真正的危險在於按連結、開附件、掃描 QR code 或輸入資料，因此應直接刪除並舉報，不要與訊息互動。
多重認證可以阻止網絡釣魚嗎？
MFA 能阻止大部分只靠密碼的盜竊，但騙徒仍可誘騙你說出一次性驗證碼。具備數字配對的驗證器 App 或通行密鑰，比短訊驗證碼更能抵禦釣魚。
網絡釣魚在香港是否違法？
是。以釣魚手法騙取金錢或資料，可被控欺詐、有犯罪或不誠實意圖而取用電腦等罪行，可致電 18222 或經警方網上報案中心報案。