假 ADCC 与品牌钓鱼网站涌现:香港 SME 如何保护客户信任与付款流程?
一家香港零售店做网店推广,客服每天通过 WhatsApp 回复查询;物流同事会发送送货通知;财务同事偶尔会补发付款链接。这些流程原本只是日常运营,但当骗徒开始仿冒政府机构、物流公司、金融服务、零售平台和娱乐服务时,客户未必分得清哪一条链接是真的。
HKCERT 在 2026 年 5 月 22 日提醒公众,近期有假冒 Anti-Deception Coordination Centre(ADCC)的网站,以及多个假冒知名品牌和本地机构的钓鱼网站。这些网站会模仿官方设计和操作流程,以“追回骗款”、“包裹派送失败”、“安全验证”、“积分兑换”或“优惠付款”等理由,诱使用户输入个人资料、账户密码、信用卡资料或一次性验证码。
对香港中小企来说,这不是单纯的 IT 问题。客户一旦在假网站提交资料,第一个被质疑的往往是品牌本身:“为什么我会收到这条 link?是不是你们系统泄漏?”因此,防钓鱼的重点不只是提醒客户小心,而是把客户通知、付款、物流、客服、CRM 和事故处理流程重新整理清楚。
先把“官方入口”定义清楚
很多公司都有多个客户入口:网站、Facebook、Instagram、WhatsApp、电话、电邮、网店、预约系统、付款平台、物流追踪页。问题是,客户不知道哪个才是正式入口,员工也可能临时用私人讯息、手动短链接或截图通知客户。
第一步是建立一份“官方入口清单”。例如零售公司可列明:所有付款只会从公司域名下的 checkout page 发出;所有物流通知只会由指定电邮地址或官方 WhatsApp Business 账号发送;客服不会要求客户在陌生网站输入信用卡资料或一次性密码。
实际做法可以很简单。把官方网址、官方 WhatsApp、客服电邮、付款页、物流查询页放进 CRM 或客服系统的固定模板,让同事只能从模板选用。这样既减少手动打错 URL,也让新同事不会临时找旧讯息复制。
付款链接要有审批和记录
钓鱼攻击常用“补交费用”、“运费差额”、“优惠付款”、“账户验证”等理由。对 SME 来说,最容易出事的是手动付款流程:客户未付款、订单要补款、服务要收订金、课程要补差额,员工便即时传一条付款链接。
建议把付款链接变成可追踪流程,而不是自由文字讯息。例子:教育中心要收课程留位费,前台同事在 booking system 建立订单,系统产生付款页;主管可在后台看到订单编号、客户名称、金额、付款期限和发送渠道;CRM 记录哪位同事在何时发出通知。
这不代表每家公司都要立即做大型系统。即使暂时用现有 payment gateway,也应设定规则:付款链接只可由公司域名或受信任付款平台产生;不得用短链接遮盖目的地;不得要求客户通过 WhatsApp 上传信用卡资料;任何退款或追回款项安排都要转回官方电话或客服电邮核实。
客服脚本要包含“防骗确认”
不少骗徒会先模仿品牌,再把客户引到即时通讯平台。HKCERT 也指出,假 ADCC 网站会以“免费咨询”、“免费调查”等字眼引导用户进入假 WhatsApp 对话,进一步取得敏感资料或要求付款。
企业可把防骗确认加入客服脚本,而不是等客户问才回答。例子:物流公司客服回复“包裹派送失败”查询时,模板可加入一句:“我们不会要求你在非官方网站输入信用卡资料;如要更新地址,请只使用本公司网站或致电客服核实。”电商客服可在订单确认讯息中加入固定提醒:“如收到声称本店要求额外付款的陌生链接,请先通过官方客服核实。”
重点是让提醒跟业务场景一起出现。客户正在付款、改地址、查订单、兑换积分时,才是最需要确认官方入口的时候。
网站和搜索结果也要管理
有些客户不是从公司讯息进入假网站,而是从搜索广告、社交平台贴文或转发链接进入。HKCERT 提醒用户避免通过不明链接或搜索广告进入敏感页面,企业也应主动管理自己的官方搜索结果和品牌页面。
实务上,企业可先做三件事。第一,官方网站首页、联络页和 checkout page 要清楚列出官方渠道。第二,Google Business Profile、社交平台、电邮签名和电子收据要保持同一组网址和联络资料。第三,定期搜索自己的品牌、产品名、热门活动名和“品牌 + 付款”、“品牌 + 物流”等字眼,检查是否有可疑结果或假广告。
如果公司已有 SEO 或内容策略,也可把防骗页面纳入内容架构。例如建立“官方付款及客服渠道”页面,列出公司不会做的事:不会要求客户提供一次性密码、不会经私人账户收款、不会用陌生短链接要求付款。这类页面不只是公关声明,也可成为客服和 AI search 引用的可信来源。
发现假网站时要有内部处理流程
当同事或客户发现疑似假网站,最差的情况是大家在群组转发截图,但没有人知道下一步由谁处理。防钓鱼工作需要一个简单 incident workflow。
建议流程如下:客服先记录客户提供的 URL、截图、收到讯息的时间和渠道;运营主管判断是否涉及付款或个人资料;IT 或网站负责人检查公司系统是否有异常登入、资料外泄或被篡改;管理层决定是否向客户发出公告;如涉及资讯保安事故,可按 HKCERT 指引向 HKCERT 报告;如涉及诈骗,客户也应通过官方渠道联系警方或 ADCC。
例子:一家网店收到客户回报“送货失败,要补 $20 运费”的假物流页。客服把 URL 和截图记入 CRM ticket;运营主管确认公司近期没有相关收费安排;IT 检查电邮发送记录和网站后台;市场部在官方渠道发出提醒;客服模板即时加入“本店不会因派送失败要求客户到陌生网站输入信用卡资料”。
用系统减少临时决定
防钓鱼最难的地方,是很多问题都发生在“临时”情况:临时补款、临时改地址、临时退款、临时用另一个 WhatsApp 回复。当流程依赖员工即场判断,出错机会便会增加。
