重點摘要
- 對公司的風險：同事按下一條短訊連結，騙徒就可能取得網上銀行、電郵或 WhatsApp 登入資料；一條冒充老闆的短訊，更可能令公司款項直接流走。
- 短訊釣魚是透過短訊冒充銀行、速遞、政府部門或你的公司，引你按連結、致電或回覆資料的騙案。
- HKCERT 2026 年第三季處理 4,404 宗事故，其中約 61% 屬網絡釣魚。
- 防範主要靠習慣：不按短訊連結、不交出驗證碼、涉及金錢的要求一律致電核實。
- 如已按下連結，先致電銀行，再致電反詐騙熱線 18222，並更改輸入過的密碼。
「你的包裹因地址不全未能派送，請於 24 小時內繳付 HK$12 重新派送。」這類短訊幾乎每個香港人都收過。它看似小事，卻是騙徒收集信用卡號碼最常用的入口之一。
什麼是短訊釣魚？
短訊釣魚（Smishing，即 SMS phishing）是指騙徒以手機短訊冒充銀行、速遞公司、政府部門、電訊商或你的僱主，誘使你按下連結、致電假熱線，或回覆個人資料、密碼、信用卡號碼及一次性密碼（OTP）。它是網絡釣魚的其中一種。
可以把它想像成一張塞進辦公室門縫的假通知：格式像官方文件，語氣催你立即處理，但回覆地址屬於騙徒。
短訊釣魚屬於網絡釣魚的一個分支。分別在於渠道：短訊直接送到你隨身的手機，你往往在忙碌時匆匆一看；而且手機畫面細小，短網址很難看出真正去向。
短訊釣魚如何運作？
大多數短訊釣魚分五步：騙徒先取得電話號碼，再發出模仿熟悉品牌的短訊，製造時間壓力，把你帶到假網站或假客服熱線，最後在數分鐘內利用你輸入的密碼、卡號或驗證碼盜用帳戶或進行交易。
香港例子：2026 年 9 月中，警方在短時間內接獲逾 700 宗信用卡被盜用的報案，涉款約 1,470 萬港元。HKCERT 於 2026 年 9 月 14 日發出的警報指出，偽冒銀行、商戶或速遞公司的釣魚短訊，是卡資料外洩的可能途徑之一。
五個步驟
- 取得號碼：來自外洩的客戶名單、隨機撥號，或「偽基站」（藏在車內的假流動網絡基站，向附近所有手機發送短訊）。
- 冒充身份：發送者名稱或內容模仿銀行、速遞、隧道收費、公用事業、政府部門或你的公司。
- 製造壓力：帳戶將被凍結、派送失敗、欠繳費用、可獲退款，並附上限期。
- 收集資料：仿真登入頁面、假客服電話，或要求你轉發驗證碼。
- 套現：盜刷信用卡、轉帳，或接管電郵、WhatsApp 及社交帳戶，再向你的聯絡人行騙。
香港常見的短訊釣魚有哪些類型？
常見類型包括：包裹或海關費用短訊、銀行及信用卡保安提示、偽冒政府或公用事業帳單、退款及積分獎賞、偽冒警方訊息、WhatsApp 或社交帳戶驗證短訊，以及冒充老闆或同事要求轉帳。不同類型瞄準的東西不同，但都要求你立即行動。
| 類型 | 典型內容 | 騙徒想要什麼 |
|---|---|---|
| 速遞費用 | 包裹未能派送，請繳付 HK$12 重新安排。 | 信用卡號碼及驗證碼 |
| 銀行或信用卡提示 | 偵測到異常登入，請立即驗證，否則暫停帳戶。 | 網上銀行登入資料 |
| 政府或公用事業帳單 | 帳單逾期未繳（HKCERT 於 2026 年 3 月曾警告偽冒水務署帳單）。 | 信用卡資料 |
| 退款或獎賞 | 你有未領取的積分或退稅。 | 信用卡資料 |
| 偽冒警方 | 聲稱已追回騙款，請按連結登記（反詐騙協調中心警示）。 | 個人及銀行資料 |
| 帳戶驗證 | 請輸入驗證碼以保留帳戶。 | 接管 WhatsApp 或社交帳戶 |
| 老闆或同事 | 我換了新號碼，正在開會，請先轉訂金。 | 公司款項 |
三條入侵途徑
- 一般短訊：經流動網絡由 SIM 卡或群發短訊服務發出，是最常見的途徑。
- 偽基站：強迫附近手機降至舊式 2G 網絡；2G 不會要求手機核實網絡真偽，騙徒因此可用任何發送者名稱發出短訊。據 Commsrisk 報道，自 2025 年 2 月起香港警方已多次拘捕攜帶這類裝置駕車的人。
- 仿短訊的聊天訊息：以海外號碼或電郵地址發出的 iMessage 或 RCS 訊息，外觀像短訊，卻可能避過電訊商的過濾。
怎樣識別短訊釣魚？
凡是要求你按連結、致電某個號碼、回覆驗證碼或繳付小額費用的短訊，尤其附有限期，都應先當作可疑。然後看發送者：香港不少已登記的機構會以「#」開頭的名稱發送短訊，自稱銀行卻沒有「#」的短訊更值得懷疑。
- 發送者沒有「#」：根據通訊辦的短訊發送人登記制，已登記機構的發送者名稱以「#」開頭。參與屬自願性質，因此沒有「#」是警號，但不等於一定是騙案。
- 網址似是而非：多了字母或連字號、以 .top 或 .xyz 結尾，或使用短網址。
- 小額收費：以 HK$10 至 HK$30「重新派送」，目的只是取得你的卡號。
- 索取驗證碼：銀行、速遞公司和應用程式都不需要你轉發一次性密碼。
- 時間壓力：「24 小時內」「今日截止」「帳戶將被暫停」。
- 本地品牌用海外號碼或電郵地址發短訊。
- 有鎖頭不代表安全：HKCERT 指出，HTTPS 只代表連線經過加密，並不證明網站真確。
金管局多次提醒市民，銀行不會以短訊或電郵發出附有超連結的訊息，引導客戶登入網站進行交易。如有懷疑，先把連結、電話號碼或戶口號碼放到警方的防騙視伏器查一查。
怎樣防範短訊釣魚？
個人方面，應開啟手機的垃圾訊息過濾，不經短訊連結登入或付款，並以防騙視伏器檢查可疑連結。公司方面，應訂立一條規則：任何經訊息提出的付款或更改收款戶口要求，都必須致電已知號碼核實；同時教同事如何舉報可疑短訊。
個人：手機設定（選單名稱最後檢視於 2026 年 11 月，不同型號及系統版本可能略有不同）
- iPhone 過濾不明發送者（iOS 26）：設定 → App → 訊息 → 過濾不明的寄件人 → 開啟。
- iPhone 舉報垃圾訊息：打開該短訊 → 點按下方「報告垃圾訊息」→「刪除並報告垃圾訊息」。
- iPhone 封鎖 2G（防偽基站）：設定 → 私隱與保安 → 封鎖模式 → 開啟。此模式會同時限制其他功能，較適合高風險人士。
- Android 垃圾訊息防護（Google 訊息）：打開「訊息」→ 點按個人頭像 → 訊息設定 → 垃圾訊息防護 → 啟用。
- Android 封鎖 2G：Pixel 及不少 Android 12 或以上手機：設定 → 網絡和互聯網 → SIM 卡 → 允許使用 2G → 關閉。Samsung：設定 → 連接 → 流動網絡 → 允許 2G 服務 → 關閉。
中小企及 IT 團隊
- 訂立付款規則：凡經短訊、WhatsApp 或電郵要求付款、更改收款戶口或購買禮品卡，一律致電公司紀錄中的號碼核實。
- 如你的公司會向客戶發短訊，向通訊辦申請登記「#」發送者名稱，並公開聲明不會以短訊發付款連結。
- 採用防釣魚登入方式，例如通行密鑰或驗證器應用程式，令單靠密碼或短訊驗證碼無法登入電郵及銀行。
- 定期進行包括短訊在內的釣魚演練，並設一個統一渠道讓同事舉報可疑短訊。
- 為公司信用卡及銀行戶口啟用即時交易通知及每日限額。
公司情境：星期五下午五時半的「老闆短訊」
設想荃灣一間 15 人的物流公司。星期五下午五時半，會計同事收到短訊：「我是陳生，換了新電話。供應商六點前要收訂金，你先轉去這個戶口，明天再跟你解釋。」語氣像老闆，限期是真的，而陳生當晚正在見客。沒有規則時，同事只能在「得罪老闆」與「冒險轉出 8 萬元」之間二選一；有規則時，答案早已寫好：未經公司通訊錄上的號碼聯絡到陳生，就不轉帳。請把這條規則寫成文字，告訴每一位有權動用公司款項的同事。
可直接轉發到公司 WhatsApp 群組的員工通知
【防騙提示】釣魚短訊持續增加（HKCERT：2026 年第三季約 61% 事故屬釣魚）。
1. 不要按速遞、銀行、帳單或退款短訊中的連結，請直接開官方 App。
2. 任何人（包括自稱銀行）索取驗證碼，一律不要提供。
3. 經短訊要求付款或更改收款戶口，必須先致電公司紀錄中的號碼核實。
4. 有懷疑？先用防騙視伏器（cyberdefender.hk）查，或問 IT 同事。按了短訊釣魚連結應該怎樣做？
請在數分鐘內行動：如曾輸入付款資料，立即致電銀行凍結信用卡或戶口；更改曾輸入的密碼並登出其他裝置；然後致電反詐騙熱線 18222 或到警署報案，並向 HKCERT 舉報連結。如涉及公司電腦、手機或帳戶，同時通知 IT。
- 輸入了卡號或網上銀行資料：致電信用卡背面的銀行熱線，凍結信用卡並查詢最近交易。
- 輸入了密碼：用可信的裝置更改密碼，啟用雙重驗證，並登出所有其他裝置。
- 交出了 WhatsApp 或 App 驗證碼：立即進行帳戶恢復，詳見什麼是 WhatsApp 騎劫。
- 經連結安裝了 App：先把手機轉為飛行模式，刪除該 App，再交 IT 檢查或重設。
- 求助渠道：致電反詐騙協調中心「防騙易」熱線 18222（24 小時）；如有金錢損失，向警方報案。可經 HKCERT 網上表格舉報連結，或致電其 24 小時熱線 8105 6060。
- 涉及個人資料：如客戶或員工資料可能經公司帳戶外洩，應評估是否需要通知個人資料私隱專員公署。
- 保留證據：截圖保存短訊、連結及交易紀錄。
短訊釣魚與網絡釣魚、WhatsApp 騎劫有何分別？
網絡釣魚是總稱，泛指冒充可信機構以騙取登入資料或金錢的手法。短訊釣魚是經短訊進行的網絡釣魚。WhatsApp 騎劫則是其中一種結果：騙徒誘使你交出驗證碼或掃描 QR code 後接管你的帳戶，而起點可能正是一條釣魚短訊。
| 項目 | 網絡釣魚 | 短訊釣魚 | WhatsApp 騎劫 |
|---|---|---|---|
| 渠道 | 電郵、短訊、聊天應用程式、電話、假網站 | 短訊及仿短訊聊天訊息 | 你的 WhatsApp 帳戶 |
| 目的 | 登入資料、金錢或植入惡意程式 | 相同，經短訊進行 | 控制帳戶，再向你的聯絡人行騙 |
| 主要防範 | 先核實，後行動 | 垃圾訊息過濾、不按短訊連結、留意「#」 | 雙重驗證、檢查已連結裝置 |
香港最新情況（更新於 2026 年 11 月）
HKCERT 在 2026 年第三季共處理 4,404 宗保安事故，按年增加約 15%，其中 2,672 宗屬網絡釣魚，約佔 61%。被冒充最多的是社交媒體及即時通訊應用程式（約 46%），其次是銀行、金融服務及電子支付（約 21%）。
資料來源：HKCERT 2026 年第三季保安事故統計，2026 年 11 月 5 日發佈。
- 2026 年 9 月：警方接獲逾 700 宗信用卡遭盜用報案，涉款約 1,470 萬港元；HKCERT 指釣魚短訊是卡資料外洩的可能來源之一（HKCERT 警報，2026 年 9 月 14 日）。
- 2026 年 8 月：本地一個網購平台懷疑遭入侵，約 3.3 萬人資料可能受影響；其後一星期內警方接獲 6 宗假客服騙案，損失逾 30 萬港元（HKCERT 第三季回顧）。
- 2026 年 7 月：警方先後在上水及將軍澳拘捕攜帶偽基站駕車的男子，其中一部裝置已發出逾 1,000 條詐騙短訊（Commsrisk，2026 年 7 月）。
最好的防線是習慣，而不是工具
短訊釣魚之所以有效，是因為短訊感覺私人、語氣急迫，而手機畫面又把細節藏起來。你不需要認出每一條假短訊，只需要三個習慣：不按短訊連結、不交出驗證碼、涉及金錢一律致電已知號碼核實。把它們寫成公司規則，轉發上面的員工通知，並在本星期與同事一起完成以下清單。
60 秒自我檢查清單
- 手機已開啟垃圾訊息過濾（iPhone：過濾不明的寄件人；Android：垃圾訊息防護）。
- 銀行及信用卡 App 已開啟即時交易通知。
- 電郵、網上銀行及 WhatsApp 已啟用雙重驗證或通行密鑰。
- 所有有權付款的同事都知道「先致電核實，後付款」的書面規則。
- 同事知道可用防騙視伏器查連結，按錯了要致電 18222。
你的團隊收到釣魚短訊時會怎樣反應？
釣魚模擬測試可以在沒有真實損失的情況下，找出哪些同事會按連結、致電或回覆。UD Security 以香港常見騙案設計短訊及電郵測試，再針對同事的盲點進行培訓。
常見問題
只打開釣魚短訊而不按連結，會有危險嗎？
一般不會。單純閱讀文字短訊不會令手機中毒，風險在於按連結、致電、回覆或安裝程式。看到後直接刪除並舉報為垃圾訊息即可。
香港的銀行會用短訊發送連結嗎？
金管局多次提醒，銀行不會以短訊或電郵發出附有超連結的訊息，引導客戶登入網站進行交易。請直接開啟銀行 App 或自行輸入網址。
短訊發送者名稱前的「#」代表什麼？
代表該機構已根據通訊辦於 2023 年 12 月推出的短訊發送人登記制登記名稱。登記屬自願性質，所以「#」只是正面跡象而非保證，仍應避免按連結。
我用 5G，偽基站還能把短訊送到我的手機嗎？
有可能。偽基站會強迫附近手機降至不核實網絡真偽的 2G。在 Android 關閉 2G，或在 iPhone 開啟封鎖模式，可以減低風險。
被短訊釣魚騙走的錢，銀行會賠償嗎？
視乎銀行條款及交易是否被視為經你授權。應立即通知銀行及報警，愈早報告，截停或追回款項的機會愈大。