网络钓鱼（phishing）是一种骗局：攻击者冒充可信的个人或机构，通常借助邮件、短信或即时通讯，诱骗对方交出密码、批准付款或打开有害文件。它针对人而非系统：一条逼真的消息落到合适的员工手里，就可能让攻击者拿到邮箱账号或转走供应商货款。
它借用信任：消息看似来自银行、快递公司、供应商或上司，并催你尽快处理。网络钓鱼也是勒索软件常见的入侵途径。
常见的网络钓鱼类型
- 邮件钓鱼：群发邮件模仿知名服务，例如“邮箱已满”或“包裹无法派送”，附带虚假登录链接或有害附件。
- 鱼叉式钓鱼（spear phishing）：针对特定个人或公司，引用网上搜集到的姓名、项目或供应商信息。
- 商业邮件诈骗（BEC）：攻击者用被入侵或仿冒的邮箱账号冒充董事、同事或供应商，要求付款、更改银行信息或索取机密文件。
- 短信和聊天钓鱼：同样手法通过短信、WhatsApp、微信等发出，常带短链接。
- 电话钓鱼（vishing）：来电者自称 IT 支持、银行或政府部门，有时要求你报出一次性验证码。
- 二维码钓鱼：邮件、信件或海报上的二维码打开虚假登录或支付页面，比链接更难检查。
需要警惕的迹象
单一迹象不能证明消息是网络钓鱼，精心设计的骗局破绽更少。遇到以下情况，先停下来核实。
- 催促或施压：“今天必须付款”“账号即将被停用”，或要求你对同事保密。
- 意料之外的要求：新的付款、更改银行信息、购买礼品卡，或并非由你发起的登录。
- 发件人信息对不上：域名拼错一两个字母、公司联系人用免费邮箱，或回复地址与发件人不一致。
- 链接指向别处：鼠标悬停或长按时显示的网址，不属于消息自称的机构。
- 索要验证码或密码：正规 IT 团队和银行通常不会要你报出一次性验证码，或在其发来的页面输入密码。
- 可疑附件：压缩包、含宏的文档，或意料之外的“发票”。
如何降低风险
员工难免误点，目标是让网络钓鱼更难发出、更易识别，并减少损失。
- 启用多重身份验证：邮箱、云服务和财务系统都应要求 MFA，让仅凭被盗密码无法登录。可行时优先使用通行密钥（passkey）或硬件安全密钥等抗钓鱼方式。
- 使用密码管理器：密码管理器通常不会在仿冒的相似网址上自动填充密码，有助于员工发现虚假登录页面。
- 保护邮件域名：配置 SPF、DKIM 和 DMARC，让他人更难冒用你的域名发邮件。如有假网站冒充你的品牌骗客户，可参阅品牌钓鱼网站应对方法。
- 启用邮件过滤：打开邮件平台的反钓鱼过滤，并标记外部邮件。
- 通过其他渠道核实付款变更：新增收款人或变更银行信息，应拨打记录中已有的号码确认，不要用消息里的号码。语音和视频请求可参阅深度伪造诈骗核验流程。
- 培训员工并简化报告：定期简短提醒，提供简单的可疑消息报告方式，并感谢报告者，包括坦白自己失误的人。
有人误点之后怎么办
- 马上报告：告诉 IT 联系人或服务商点了、打开了或输入了什么。速度比追责更重要。
- 在干净的设备上修改密码：重置受影响的账号及所有使用相同密码的账号，并退出其他会话。
- 检查邮箱：查看攻击者是否新增了转发规则、过滤规则或授权应用。
- 如已付款，尽快联系银行：请银行尝试拦截或追回款项，并到警署报案。疑似骗案可拨打香港警务处 24 小时“防骗易18222”热线咨询。
- 核查个人信息责任：如个人信息可能已被访问，请向法律或合规顾问确认是否需要通知。
常见问题
AI 会让网络钓鱼更难识别吗？
会。AI 工具能帮攻击者写出流畅、个性化的多语言消息，错别字已不是可靠依据。应关注请求本身：意料之外的付款、更改银行信息、登录和验证码都必须核实。
MFA 能完全阻止网络钓鱼吗？
MFA 能挡住许多依赖被盗密码的攻击，但有些钓鱼工具会实时截获一次性验证码或会话 Cookie。通行密钥和硬件安全密钥更难绕过，但仍应配合邮件过滤、员工培训和付款核实。
如需检查邮件安全、MFA 配置或员工防骗意识，请查看我们的网络安全及合规服务。