香港金融管理局今日就非接觸式流動支付服務連結支付卡釣魚詐騙發出警示，指近期接獲主要零售銀行報告，涉及支付卡包括提款卡被未經授權連結至流動支付服務，初步統計相關騙案約 400 宗。金管局指出，騙徒手法正由傳統直接盜用，轉為利用社交工程手段誘騙受害人透露密碼及一次性驗證碼，藉此完成未經授權支付卡連結。
騙徒手法及金管局回應
金管局說明，騙徒通常透過釣魚訊息、虛假網站或電話冒充商戶及機構，以「貨品賠償」等不同藉口，誘騙受害人提供支付卡資料及自動櫃員機私人密碼，再誘使受害人透過手機銀行應用程式或雙向短訊，批准支付卡連結請求。金管局已要求銀行按指引設有雙重或額外認證方式，例如生物認證、雙向短訊確認或來電核實，以防止未經授權連結。
金管局重申，連結支付卡屬高風險操作，市民須謹記 4 項原則：不點擊來歷不明訊息中的超連結；不向任何人透露支付卡資料、自動櫃員機密碼、登入密碼或一次性密碼；不聽從未經核實人士指示回覆或批准任何要求；以及仔細閱讀銀行發出的通知，並拒絕任何非本人發起的連結請求。金管局提醒，如懷疑受騙，應立即聯絡銀行及向警方報案，或致電警方防騙易 18222 熱線求助。
方保僑：社交工程成攻擊重點
香港資訊科技商會榮譽會長方保僑就事件回應傳媒查詢時指出，這類騙案顯示犯罪集團正利用公眾對流動支付便利性的依賴，轉向攻擊安全防線中最薄弱的人為環節。他強調，任何持牌銀行或合法金融機構絕不會主動透過電話、短訊或電郵索取密碼或驗證碼，亦不會發送帶連結的訊息要求客戶輸入個人敏感資料。
方保僑建議，市民對任何涉及帳戶或支付卡連結的要求存疑時，應立即停止操作，並直接透過官方電話向相關銀行查詢或向警方舉報，以保障財產安全。他認為，除了依賴監管機構及銀行升級防護機制，提升市民對社交工程詐騙的辨識能力，才是根治詐騙風險的根本關鍵。
業界持續強化防護
金管局早於 2023 年已要求發卡銀行為連結卡操作加入額外認證程序，包括雙向短訊確認、App 內確認或來電核實。2024 年底，金管局進一步要求銀行與卡組織合作，將網上支付卡交易認證方式由短訊一次性密碼，改為透過已連結裝置進行認證，以減低短訊驗證碼被釣魚或惡意程式攔截的風險。今次涉及約 400 宗連結卡騙案，反映騙徒手法仍在不斷演變，金管局及銀行業界需要持續更新防護機制，以應對社交工程式詐騙的威脅。
資料來源：香港電台
