假 ADCC 與品牌釣魚網站湧現：香港 SME 如何保護客戶信任與付款流程？
一間香港零售店做網店推廣，客服每日透過 WhatsApp 回覆查詢；物流同事會發送送貨通知；財務同事偶爾會補發付款連結。這些流程原本只是日常營運，但當騙徒開始仿冒政府機構、物流公司、金融服務、零售平台和娛樂服務時，客戶未必分得清哪一條連結是真的。
HKCERT 在 2026 年 5 月 22 日提醒公眾，近期有假冒 Anti-Deception Coordination Centre（ADCC）的網站，以及多個假冒知名品牌和本地機構的釣魚網站。這些網站會模仿官方設計和操作流程，以「追回騙款」、「包裹派送失敗」、「安全驗證」、「積分兌換」或「優惠付款」等理由，誘使用戶輸入個人資料、帳戶密碼、信用卡資料或一次性驗證碼。
對香港中小企來說，這不是單純的 IT 問題。客戶一旦在假網站提交資料，第一個被質疑的往往是品牌本身：「點解我會收到呢條 link？係咪你哋系統洩漏？」因此，防釣魚的重點不只是提醒客戶小心，而是把客戶通知、付款、物流、客服、CRM 和事故處理流程重新整理清楚。
先把「官方入口」定義清楚
很多公司都有多個客戶入口：網站、Facebook、Instagram、WhatsApp、電話、電郵、網店、預約系統、付款平台、物流追蹤頁。問題是，客戶不知道哪個才是正式入口，員工亦可能臨時用私人訊息、手動短連結或截圖通知客戶。
第一步是建立一份「官方入口清單」。例如零售公司可列明：所有付款只會從公司域名下的 checkout page 發出；所有物流通知只會由指定電郵地址或官方 WhatsApp Business 帳戶發送；客服不會要求客戶在陌生網站輸入信用卡資料或一次性密碼。
實際做法可以很簡單。把官方網址、官方 WhatsApp、客服電郵、付款頁、物流查詢頁放進 CRM 或客服系統的固定模板，讓同事只能從模板選用。這樣既減少手動打錯 URL，也讓新同事不會臨時找舊訊息複製。
付款連結要有審批和紀錄
釣魚攻擊常用「補交費用」、「運費差額」、「優惠付款」、「帳戶驗證」等理由。對 SME 來說，最容易出事的是手動付款流程：客戶未付款、訂單要補款、服務要收訂金、課程要補差額，員工便即時傳一條付款連結。
建議把付款連結變成可追蹤流程，而不是自由文字訊息。例子：教育中心要收課程留位費，前台同事在 booking system 建立訂單，系統產生付款頁；主管可在後台看到訂單編號、客戶名稱、金額、付款期限和發送渠道；CRM 記錄哪位同事在何時發出通知。
這不代表每間公司都要立即做大型系統。即使暫時用現有 payment gateway，也應設定規則：付款連結只可由公司域名或受信任付款平台產生；不得用短連結遮蓋目的地；不得要求客戶透過 WhatsApp 上傳信用卡資料；任何退款或追回款項安排都要轉回官方電話或客服電郵核實。
客服腳本要包含「防騙確認」
不少騙徒會先模仿品牌，再把客戶引到即時通訊平台。HKCERT 亦指出，假 ADCC 網站會以「免費諮詢」、「免費調查」等字眼引導用戶進入假 WhatsApp 對話，進一步取得敏感資料或要求付款。
企業可把防騙確認加入客服腳本，而不是等客戶問才回答。例子：物流公司客服回覆「包裹派送失敗」查詢時，模板可加入一句：「我們不會要求你在非官方網站輸入信用卡資料；如要更新地址，請只使用本公司網站或致電客服核實。」電商客服可在訂單確認訊息中加入固定提醒：「如收到聲稱本店要求額外付款的陌生連結，請先透過官方客服核實。」
重點是讓提醒跟業務場景一起出現。客戶正在付款、改地址、查訂單、兌換積分時，才是最需要確認官方入口的時候。
網站和搜尋結果也要管理
有些客戶不是從公司訊息進入假網站，而是從搜尋廣告、社交平台貼文或轉發連結進入。HKCERT 提醒用戶避免透過不明連結或搜尋廣告進入敏感頁面，企業亦應主動管理自己的官方搜尋結果和品牌頁面。
實務上，企業可先做三件事。第一，官方網站首頁、聯絡頁和 checkout page 要清楚列出官方渠道。第二，Google Business Profile、社交平台、電郵簽名和電子收據要保持同一組網址和聯絡資料。第三，定期搜尋自己的品牌、產品名、熱門活動名和「品牌 + 付款」、「品牌 + 物流」等字眼，檢查是否有可疑結果或假廣告。
如果公司已有 SEO 或內容策略，也可把防騙頁面納入內容架構。例如建立「官方付款及客服渠道」頁面，列出公司不會做的事：不會要求客戶提供一次性密碼、不會經私人帳戶收款、不會用陌生短連結要求付款。這類頁面不只是公關聲明，也可成為客服和 AI search 引用的可信來源。
發現假網站時要有內部處理流程
當同事或客戶發現疑似假網站，最差的情況是大家在群組轉發截圖，但沒有人知道下一步由誰處理。防釣魚工作需要一個簡單 incident workflow。
建議流程如下：客服先記錄客戶提供的 URL、截圖、收到訊息的時間和渠道；營運主管判斷是否涉及付款或個人資料；IT 或網站負責人檢查公司系統是否有異常登入、資料外洩或被篡改；管理層決定是否向客戶發出公告；如涉及資訊保安事故，可按 HKCERT 指引向 HKCERT 報告；如涉及詐騙，客戶亦應透過官方渠道聯絡警方或 ADCC。
例子：一間網店收到客戶回報「送貨失敗，要補 $20 運費」的假物流頁。客服把 URL 和截圖記入 CRM ticket；營運主管確認公司近期沒有相關收費安排；IT 檢查電郵發送紀錄和網站後台；市場部在官方渠道發出提醒；客服模板即時加入「本店不會因派送失敗要求客戶到陌生網站輸入信用卡資料」。
用系統減少臨時決定
防釣魚最難的地方，是很多問題都發生在「臨時」情況：臨時補款、臨時改地址、臨時退款、臨時用另一個 WhatsApp 回覆。當流程依賴員工即場判斷，出錯機會便會增加。