【防詐騙貼士】仿冒短訊、電郵氾濫，遇到來歷不明的連結需謹慎

 

View this post on Instagram

 

A post shared by 浸大事實查核 (@hkbufactcheck)

 

你需要知道

近期，有多位市民向浸大事實查核投稿，稱收到以社交平台、銀行等名義發來的短訊，主要涉及修改密碼、帳戶安全、退款等內容，要求用戶在限定時間內於短訊中提供的網址進行驗證。然而，不少用戶懷疑收到的是仿冒短訊，當中的連結網址亦與官方網站有出入。根據政府資訊科技總監辦公室資訊安全網的信息，上述情況很可能是遭遇了仿冒詐騙，騙徒目的是竊取用戶的敏感資料（例如登入憑證、銀行帳戶或信用卡資料等）、入侵用戶的電腦裝置等。

一、仿冒社交平台網站

作為用戶數量較大的社交平台，WhatsApp、Telegram等均有被仿冒的情況出現。不少網民收到以平台名稱發出的短訊，要求登入短訊內包含的連結以完成身份認證，並強調必須要在一定時間內（例如6小時或12小時）完成，否則帳號將會被註銷。

然而，仔細觀察短訊當中的網址連結，就可以發現明顯的漏洞。例如，連結內的網址與官方網站的拼寫有出入，寫錯字母或者將字母順序對調：將「WhatsApp」寫作「whsatapp」、將「Telegram」寫作「telagram」等等。

 

圖一：WhatsApp、Telegram等均有被仿冒的情況出現。

（*點擊查看大圖）

 

針對此類情況，Meta旗下的官方平台「We Think Digital Hong Kong」指出，WhatsApp只擁有三個官方帳戶（WhatsApp、WhatsApp Support、WhatsApp Surveys），且帳戶名稱右側均會顯示已驗證的綠色剔號標記，下方則會標明為「WhatsApp官方帳戶」。另外，Meta還建議用戶啟用雙重認證功能，並加強私隱設定。讀者可參閱「We Think Digital Hong Kong」發布的防騙帖文。Telegram亦可透過增設密碼及雙重認證等設定，來加強對個人信息的保護。

 

圖二：WhatsApp僅有三個官方帳戶，用戶可透過相關設定加強帳戶安全性。

（*點擊查看大圖）

 

圖三：Telegram亦有增設密碼及雙重認證等功能保護帳戶安全。

（*點擊查看大圖）

 

另有浸大事實查核的讀者收到短訊，稱其Apple ID帳戶存在異常行為，要求前往指定網頁開啟雙重認證，否則將在24小時（後）停用，發件人顯示為「HKSMS」，然而對方發出的連結並非蘋果官方網站。查核團隊使用Chrome瀏覽器試圖瀏覽該網站，發現瀏覽器彈出警告頁面：「Google 安全瀏覽功能最近在 atipue.club 上偵測到網路詐騙行為。詐騙網站會偽裝成其他網站，藉此騙取你的資訊。」如果讀者遇到類似有關Apple ID帳戶的詐騙情況，可以參考蘋果官方網站提供的處理方法。

 

圖四：有短訊仿冒Apple ID雙重認證網站，所附連結被檢測為詐騙網站。

（*點擊查看大圖）

 

有媒體報道指出，這類釣魚詐騙的原理為，受害者透過短訊內的詐騙連結，被誘騙進入連結所指向的網絡釣魚網站。當受害者進一步提供手機號碼時，騙徒便可獲得Telegram所提供的真正的驗證碼，從而控制受害者的帳號，並繼續盜取更多個人資料或利用帳號詐騙身邊其他人。

二、仿冒電子支付和繳費平台

除社交平台外，本港市民常用的電子支付和繳費平台亦出現遭仿冒的情況，八達通、「易通行」等平台近期均發布相關公告，提醒市民提高警覺。

八達通卡有限公司發布新聞稿稱，近期有仿冒該公司的電郵及網站，內容聲稱有一項重要的退款事宜，要求客戶在48小時內點擊當中的網站連結領取退款。八達通卡公司澄清有關網站或電郵與該公司無任何關係，提醒市民提高警覺，切勿向可疑人士提供任何個人資料。值得讀者注意的是，新聞稿中提到的仿冒網站同樣出現了名稱拼寫錯誤的情況，將「Octopus」錯寫成「octopusd 」。浸大事實查核提醒讀者，可細心留意連結中的名稱拼寫，以避免誤入仿冒網站騙局。

 

圖五：仿冒八達通卡公司的電郵截圖。

（*點擊查看大圖）

 

圖六：八達通卡公司官方發布的可疑電郵地址及網址列表。

（*點擊查看大圖）

 

車主們常用的繳費系統「易通行」亦被不法之徒仿冒。運輸署表示，相關短訊附有虛假連結至仿冒網站，企圖欺騙收件人付款及騙取其車牌號碼及信用卡資料。運輸署提醒市民，「易通行」不會向車主發出附有超連結的短訊或電郵，以及要求他們到連結的網站進行交易。車主如需在網上補交隧道費，必須登入「易通行」網站（hketoll.gov.hk）或流動應用程式。

 

圖七：「易通行」亦被不法之徒仿冒，向市民發送釣魚式短訊。

（*點擊查看大圖）

 

三、仿冒銀行等金融機構網站

銀行等金融機構網站被仿冒的手法同樣層出不窮。早前網絡流傳一張圖片，教人如何辨別仿冒的銀行網站，當中舉例的仿冒網站的連結使用希臘字母「α」，代替官方網站的英文字母「a」，由於兩個字母十分相似，一般人難以察覺。

 

圖八：網絡流傳的虛假網址辨別貼士，當中僅有字母a存在些微不同。

（*點擊查看大圖）

 

除上述例子外，騙徒偽造銀行網站的案例多不勝數。香港金融管理局（金管局）網站指出，銀行一旦發現任何欺詐網站、仿冒電郵或類似的詐騙事件，試圖誘使其客戶透露敏感個人資料，應迅速發出新聞稿通知其客戶，以及向金管局匯報。金管局會將局方及銀行發出的相關新聞稿整理，並於金管局網站發布，供市民參考。

 

圖九：金管局網站列出涉及中國銀行（香港）的相關欺詐網站網址。

（*點擊查看大圖）

 

另外，香港證監會、香港交易所亦會不時更新關於可疑網站的資料，幫助市民辨別虛假網站，以防遭遇投資詐騙。市民如欲了解更多投資詐騙手段及防詐騙貼士，可瀏覽浸大事實查核的文章《【防詐騙貼士】詐騙案件無孔不入，如何避免誤墜投資陷阱？》。

四、仿冒詐騙訊息的特徵

根據上述例子，我們不難看出仿冒網址具有比較明顯的特徵。市民可以預先了解，加倍警惕，避免墮入騙局。

政府資訊科技總監辦公室資訊安全網總結了多個仿冒詐騙訊息的特徵，包括：經由可疑的電郵地址發送；通常有語法上或拼寫上的錯誤；可能會在線上索取個人或敏感資料；可能包含需要立即採取行動的重要通知，傳達威嚇訊息或提供非常吸引的折扣優惠；可能會複製合法網站上的內容，例如文字、標誌、圖像、風格等，偽裝成真實訊息。

 

圖十：資訊安全網總結了仿冒詐騙訊息的多個特徵。

（*點擊查看大圖）

 

防詐騙貼士：

1、切勿點擊可疑短訊、電郵或網頁內的連結，避免登入可疑網站以及從網站下載任何附件；預先了解仿冒網站的特徵，遇到連結需仔細觀察，確認是否存在拼寫錯誤、增刪字符等明顯漏洞。

2、手動檢索官方網站或應用程式，確認訊息、電郵來源是否可靠，瀏覽網站或應用程式內相關公告及可疑網站列表；如有需要可以聯繫客戶服務職員確認是否真有其事（退款、安全驗證等）。

3、市民可使用守網者網站「防騙視伏器」或「防騙視伏App」手機應用程式，輸入可疑網址進行查核。

4、加強個人帳戶安全，透過增設密碼、多重驗證等功能保護個人帳戶；切勿在不明來歷的應用程式或網站輸入個人信用卡資料、三位元數安全碼（CVC/CVV）及一次性密碼。