晚上十一點，手機響了一下。一條短訊寫著：「您的包裹因地址不完整未能派送，請於 24 小時內點擊以下連結更新資料，否則退回寄件人。」你最近確實有網購，於是點進去，看到一家熟悉的速遞公司頁面，輸入姓名地址，接著畫面跳出「重新派送費 HK$12」，要你填信用卡號和一次性驗證碼。你照做了。第二天早上打開銀行 App，發現有三筆從未見過的消費。
這就是釣魚網站最典型的劇本。騙徒把一個你熟悉的登入頁或付款頁整套複製過來，標誌、顏色、按鈕文字、甚至客服電話都抄得一模一樣，然後把你引到那裡，等你自己把帳戶密碼、信用卡資料、一次性驗證碼親手交出去。整個過程裡，騙徒不需要破解你的電腦，也不需要入侵銀行系統，他們只需要你在那三十秒之內，相信自己正在處理一件很急的事。
釣魚網站是甚麼？先看一次攻擊怎樣發生
致命的地方在於時間差
從你按下「確認」到騙徒成功登入你的真實帳戶，中間可能只有幾分鐘。你在假頁面上看到「驗證中，請稍候」的轉圈畫面，其實騙徒那一邊已經拿著你的用戶名和密碼登入銀行，觸發銀行發送真正的驗證碼，而你把收到的那組號碼填進了假頁面。驗證碼一到手，轉帳就在你的眼皮底下完成。等你覺得奇怪，重新打開官方 App，帳戶裡的錢已經不在了。
這類攻擊之所以多年來依然有效，原因很簡單：它攻擊的是人，不是機器。防火牆、防毒軟件、銀行系統本身都可以做得很穩固，但你看到「帳戶異常，請立即驗證」這幾個字的時候，心跳會加快，判斷力會下降。騙徒就是靠這一刻賺錢。根據 香港電腦保安事故協調中心 HKCERT 的保安事故統計，釣魚攻擊長期位居各類事故報告的前列位置。換句話說，這不是零星個案，而是目前最主流的一種網絡威脅形態。
釣魚網站與正牌網站的距離，往往只有幾個細節
很多人的誤解是：假網站一定很粗糙，一眼就看得出來。現在的情況完全不同。一個用現成工具生成的假登入頁，可以包含品牌正確的標誌、正確的字體、甚至一段會動的載入動畫。它跟真網站的分別，通常落在三個地方：真實網址、索取的資料類型、以及引導你進入的途徑。
真網站不會因為你「逾期未驗證」而隨意封鎖帳戶，銀行不會用短訊連結叫你輸入完整密碼，速遞公司不會為了 HK$12 的派送費要你的信用卡安全碼。當一個頁面要求你提供的資料，超出了那個場景合理需要範圍時，那就是最清楚的警號。
香港常見的釣魚網站類型
假冒銀行、電子支付與信用卡
這一類的損失金額通常最大。假頁面會模擬網上銀行登入、信用卡「異常交易確認」、或者電子錢包「帳戶被凍結」的畫面，訊息語氣一律急促，強調「如未於指定時間內完成驗證，帳戶將被停用」。背後真正發生的事，是騙徒拿著你的憑證登入，然後用「轉數快」或綁定的信用卡快速轉走資金。
假冒速遞、郵政與海關
「包裹扣關」「地址不完整」「需補繳關稅」是極為普遍的主題，因為它幾乎人人適用。騙徒抓住的是小額付款的心理門檻：幾十元、十幾元的費用，很多人不會想太多就直接刷卡。真正被拿走的是你的信用卡完整資料，包括卡號、到期日和安全碼（CVV）。
假冒政府部門與公共服務
稅務、強積金、醫療預約、車輛續牌、消費券登記，都曾被用作誘餌。這類主題的威力在於「權威感」——收到以政府部門名義發出的通知，很多人第一反應是配合。要記住一個原則：政府部門不會用一條短訊連結，要求你輸入網上銀行密碼或者完整身份證號碼加信用卡資料。
假冒購物平台、二手交易與票務
這一類釣魚網站的目標往往是「付款」而不是「登入」。騙徒在二手買賣群組裡以買家或賣家身份接觸你，然後提供一條付款連結，聲稱是「平台安全交易」或「擔保付款」。連結指向的頁面看起來像支付網關，你輸入的卡資料直接落到騙徒手上。演唱會門票、限量商品、便宜電子產品，都是常見的餌。
假冒串流、遊戲與社交平台帳戶
「你的帳戶因違反社群守則將被停用」「免費領取會員一個月」，這一類頁面騙取的通常是不含金錢的帳戶密碼，但殺傷力不低。騙徒拿到你的社交帳戶之後，會用你的名義向你的聯絡人發出借錢或釣魚訊息。你朋友看到是你的頭像和名字，警覺性自然會降低。帳戶本身不值錢，你那個「可信身份」才值錢。
假二維碼與假 Wi-Fi 登入頁
二維碼釣魚（Quishing）近年明顯增加，騙徒把假二維碼貼紙覆蓋在餐廳、停車場、共享設備的真二維碼上面，掃出來是一個假付款頁。二維碼把網址隱藏起來，手機掃碼之後往往直接跳轉，用戶少了看清楚網址的機會。另一種常見場景是公共 Wi-Fi 的「登入門戶」：連上之後彈出一個要求你輸入社交帳戶或電郵密碼才能上網的頁面，那個頁面並不屬於場地提供者。
破解釣魚網站最快的方法：讀網址
無論假頁面做得多像，網址騙不了人。這是你在輸入任何資料之前，最值得花五秒鐘看清楚的地方。
從最右邊開始讀，真正的域名在最後兩段
一個網址由左至右是「子網域．域名．頂級域名」。判斷一個網站屬於誰，要看最後緊接在路徑前面的那兩段。例如 online.hangseng.com 屬於 hangseng.com；而 hangseng.com.verify-login.top 其實屬於 verify-login.top，前面那一大串只是騙徒自訂的子網域，用來製造錯覺。
幾種常見的網址偽裝手法
- 子網域冒充：把你熟悉的品牌名放在最前面，後面接一個陌生域名，例如品牌名後面拖一長串亂碼或無關字眼。
- 連字號與後綴拼湊：用 -hk、-secure、-support 之類的字眼接在品牌名後面，讓人以為那是官方分部。
- 同形字替換：用小寫 l 換成數字 1、用字母 O 換成數字 0、用其他語系的相似字母替換，肉眼掃過去幾乎一樣。
- 錯拼與多餘字母：品牌名少一個字母、多一個字母、或者兩個字母調位。
- 怪異的頂級域名：香港機構的官方網站通常用 .com.hk、.org.hk、.gov.hk 或 .com，如果結尾是一串罕見、廉價、與該品牌完全無關的頂級域名，就非常可疑。
- 用 @ 符號誤導：在網址中間插入 @，把品牌名寫在 @ 前面。看到網址內帶有不自然的 @ 符號時，應立刻提高警惕。
在手機上，瀏覽器為了節省空間，經常把網址的中間部分縮成省略號。點一下網址列展開完整網域名稱再作判斷，往往比單純依賴防毒軟件更加直接有效。
辨識特徵對照表：把可疑頁面逐項比對
當你對一個頁面有懷疑，逐項對照，只要有一項落在右邊那一欄，就應該立即關閉頁面，改從官方 App 或自己手動輸入的網址重新進入。
| 檢查位置 | 正常情況 | 可疑警號 |
|---|---|---|
| 網域名稱 | 與官方完全一致，結尾是官方慣用的頂級域名 | 品牌名出現在子網域，主域名陌生；或拼寫有細微差異 |
| HTTPS 鎖頭 | 有鎖頭，但這只是傳輸加密的基本門檻 | 有鎖頭不代表網站真實，免費憑證人人可申請，切勿將鎖頭當作正版依據 |
| 要求輸入的資料 | 只要求完成當前操作所需的必要資料 | 一次過索取用戶名、密碼、身份證號、卡號、安全碼、一次性驗證碼 |
| 連結入口 | 自己開官方 App、輸入官方網址或書籤進入 | 由未知短訊、電郵、社交訊息、搜尋贊助廣告的連結帶入 |
| 內頁連結 | 條款、私隱政策、客服頁都能正常打開 | 只有登入或付款表單能運作，其餘導航連結皆為死鏈或跳回首頁 |
| 語言與排版 | 繁體中文用字道地一致，標點、格式統一 | 混用簡體字、非本地口吻用詞、按鈕與字體排版出現明顯偏位 |
| 時間壓力 | 官方通知通常不設急迫倒數計時 | 頁面上有倒數計時器、強烈紅色警告、強調「即將停用帳戶」 |
頁面內容裡那些容易被忽略的破綻
除了網址，頁面本身也有一些細節值得留意。正規登入表單通常支援瀏覽器自動填入，或者提供「顯示密碼」與生物驗證選項，假頁面往往是一次性製作，表單缺乏前端格式驗證與完整的互動功能。真網站通常還提供「忘記密碼」「註冊新帳戶」等完整入口，假頁面可能只有一個孤零零的提交按鈕。
付款頁面同樣有跡可尋。正規支付頁面會顯示明確商戶名稱、訂單編號、貨幣單位，而且整個流程有明確的步驟指示。假付款頁常常在你輸入卡號之後直接跳到「處理中」的黑畫面或虛擬載入頁，沒有任何官方確認電郵或訂單紀錄。
近年釣魚手法出現的幾個明顯變化
生成式工具讓錯字不再是可靠判據
過去的辨識方法裡，「有錯別字就是假的」曾經很常用。生成式工具普及之後，騙徒可以用指令生成語氣自然、用字在地化且格式整齊的文案。辨識的重心必須轉移到「網域是否官方」與「索取資料是否合理」。
結合深偽技術的混合攻擊
已有安全案例顯示，攻擊者開始將 AI 生成的語音或視像通話與釣魚網站配合。他們冒充銀行職員或官方客服，用視像展示偽造的工作證與後台介面，引導你在對話期間登入指定的釣魚頁面。當用戶在語音中建立信任後，警覺性會大幅降低。
中間人釣魚（AitM），即時截取一次性驗證碼
騙徒架設的反向代理伺服器會在背後即時與正版伺服器通訊，把你在假頁面輸入的帳號密碼及收到的短訊驗證碼同步轉發。美國國家標準與技術研究院（NIST SP 800-63B）已將「抗釣魚認證」列為高等級身分鑑別標準，而 FIDO 通行密鑰（Passkey） 因其私鑰與專屬網域直接綁定，在仿冒網域上無法完成握手認證，成為抵禦此類中間人攻擊的關鍵技術。
搜尋引擎贊助廣告偽裝
騙徒購買品牌關鍵字搜尋廣告，將釣魚頁面推廣至搜尋結果前列。搜尋時務必看清結果標籤是否為「贊助商內容／廣告」，並核對展示的官方域名，而非盲目點擊第一個搜尋結果。
收到可疑連結時，即時可以做的六件事
- 先停三十秒。不要在短訊、電郵或即時通訊軟件的內建瀏覽器裡輸入任何資料。關閉頁面，避免在急躁的情緒下做出反應。
- 自己開官方渠道核實。從手機桌面直接打開官方 App，或手動輸入已知的官方網站網址，檢查帳戶是否真有異狀。
- 展開網址看清楚。點擊手機網址列展開完整網域名稱，由右向左閱讀主網域，核對是否為機構所屬官方網域。
- 善用官方工具查證。香港警務處反詐騙協調中心設有 24 小時「防騙易熱線 18222」；亦可在 守網者「防騙視伏器」 輸入可疑網址、電話或帳戶資料查核風險。此外，在通訊事務管理局辦公室的「短訊發送人登記制」下，反詐騙協調中心的官方短訊發送人名稱為 #ADCC18222，且官方短訊絕不會附帶任何超連結要求登入。
- 檢舉並提交可疑資訊。使用手機內建的垃圾訊息過濾機制標記檢舉，並向執法單位或相關機構通報。
- 以另一渠道聯絡親友。若收到熟人發來的突兀轉帳或點擊連結，請直接致電對方求證，確認是否遭遇帳戶盜用。
如果已經輸入了資料，搶救步驟
不幸填寫了資料切勿慌張，關鍵在於應對速度。依照以下順序處理解決：
- 立即更換密碼（在安全裝置上操作）。若懷疑裝置本身異常，請使用另一部未受影響的手機或電腦，登入官網修改密碼，且勿與其他網站共用。
- 強制登出所有不明裝置。進入帳戶安全中心，終止所有活躍工作階段（Active Sessions）並移除未授權的信任裝置。同時檢查銀行帳戶內是否有未授權的新增受款人。
- 致電銀行或發卡機構報失。直接撥打信用卡背面或官網公佈的熱線電話，告知可能遭遇釣魚，要求立即暫停卡片或凍結網銀交易功能。
- 報警備案並保存完整證據。將釣魚短訊、造訪網址、通訊紀錄、轉帳紀錄與時間點截圖留存，並前往警署或經由電子報案平台立案。
- 嚴防二次詐騙。事故後若有自稱「網警」「黑客反制」「維權律師」聲稱可代為追回款項並索取手續費，一律為二次詐騙手法。
執法部門與銀行機構絕不會要求市民將資金轉入所謂「安全帳戶」或「監管帳戶」以供審查。凡涉及此類要求的聯絡均屬詐騙。
日常設定：把門檻抬高，阻斷釣魚風險
防範釣魚網站，最可靠的方式不是記住每一種新型劇本，而是養成良好的安全習慣：
使用專業密碼管理器
密碼管理工具（Password Manager）在設計上僅會於網址完全精確匹配時才自動填入帳號密碼。當你誤入仿冒網址，密碼管理器保持沉默不作任何提示，這本身就是極其靈敏的安全警號。
優先啟用通行密鑰（Passkey）與硬體安全金鑰
通行密鑰利用非對稱密碼學原理與網域進行綁定，仿冒網址無法騙取密鑰認證。若常用服務或平台已支援 Passkey，建議儘早設定啟用。
開啟交易即時通知與設定轉帳上限
在所有網銀與電子支付 App 內開啟每筆交易推播通知，並根據日常需求設定合理的每日轉帳限額，即便帳戶失守也能將潛在損失控制在最小範圍。
企業與機構必備的防護措施
若經營企業或商戶，客戶若遭遇冒牌網站詐騙，將嚴重損害品牌信譽：
- 完善電郵安全協議：正確配置 SPF、DKIM、DMARC 記錄，防止攻擊者直接偽造企業網域發送詐騙電郵。
- 監控相似域名與商標註冊：定期主動監測相似字符、多餘後綴或跨國後綴的同形域名，發現侵權假冒及時申請下架或啟動域名爭議仲裁。
- 建立雙重核實匯款制度：所有涉及資金轉移、供應商收款帳戶變更的指令，均須經由預先約定的電話線路進行人工口頭確認。
常見問題（FAQ）
網址列有 HTTPS 綠色鎖頭就代表安全嗎？
不能代表安全。HTTPS 鎖頭僅表示瀏覽器與伺服器之間的通訊經過加密，防止第三方竊聽，但完全不代表該網站背後的擁有人是合法的。現代釣魚網站幾乎全數使用免費取得的 SSL/TLS 憑證，因此鎖頭不能作為信任正版網站的指標。
如果只輸入了密碼但未送出驗證碼，會有風險嗎？
依然有風險。只要密碼已在假頁面輸入並送出，攻擊者就已經獲取了該組密碼，並可能嘗試撞庫登入你使用相同密碼的其他平台。建議立即登入官方渠道更改該密碼，並檢查其餘帳戶。
僅點開了可疑連結而未輸入資料，手機會中毒嗎？
單純瀏覽網頁在現代手機瀏覽器的沙盒架構下中毒風險較低，但切勿下載任何檔案、安裝描述檔（Profile）或允許不明授權請求。若點開後手機出現頻繁彈窗或異常發熱耗電，建議進行系統更新與安全掃描。
使用 iPhone 或 Mac 裝置是否就不會遭遇釣魚？
不會。釣魚攻擊針對的是使用者的心理判斷與主動填寫行為，而非作業系統漏洞。不論使用何種作業系統或硬體裝置，只要在假頁面親手交出帳戶憑證，攻擊者便能順利登入。
收到宣稱帳戶停用的緊急短訊，最佳處理方式是甚麼？
完全忽略短訊內的超連結，手動開啟官方 App 或在瀏覽器輸入已知官方網址登入。如果帳戶確實存在異常，官方系統內部必定會有相應通知；若 App 內無任何警示，則該短訊為偽冒詐騙。
