網絡釣魚（phishing）是一種騙局：騙徒冒充可信的人或機構，通常透過電郵、短訊或即時通訊，誘使對方交出密碼、批准付款或打開有害檔案。它針對人而非系統：一封逼真的訊息落在合適的員工手上，就足以讓騙徒取得電郵帳戶或轉走供應商款項。
它借用信任：訊息看似來自銀行、速遞公司、供應商或上司，並催你盡快行動。網絡釣魚亦是勒索軟件常見的入侵途徑。
常見的網絡釣魚類型
- 電郵釣魚：群發電郵模仿知名服務，例如「郵箱已滿」或「包裹無法派送」，附上假登入連結或有害附件。
- 魚叉式釣魚（spear phishing）：針對特定人士或公司，引用網上找到的姓名、項目或供應商資料。
- 商業電郵詐騙（BEC）：騙徒用被入侵或仿冒的電郵帳戶冒充董事、同事或供應商，要求付款、更改銀行資料或索取機密文件。
- 短訊及聊天釣魚：同樣手法經 SMS、WhatsApp、WeChat 等發出，常附縮短網址。
- 電話釣魚（vishing）：來電者自稱 IT 支援、銀行或政府部門，有時要求你讀出一次性驗證碼。
- QR code 釣魚：電郵、信件或海報上的 QR code 開啟假登入或付款頁面，比連結更難檢查。
要留意的警號
單一跡象不能證明訊息是網絡釣魚，精心製作的騙局破綻更少。遇到以下情況，先停一停核實。
- 催促或施壓：「今日內付款」、「帳戶將被停用」，或要求你向同事保密。
- 意料之外的要求：新的付款、更改銀行資料、購買禮品卡，或並非由你發起的登入。
- 寄件人資料不太對：域名錯了一兩個字母、公司聯絡人用免費電郵，或回覆地址與寄件人不同。
- 連結指向別處：滑鼠停在連結上或長按時，顯示的網址不屬於訊息聲稱的機構。
- 索取驗證碼或密碼：正規 IT 團隊和銀行一般不會要你讀出一次性驗證碼，或在其傳來的頁面輸入密碼。
- 可疑附件：壓縮檔、含巨集的文件，或意料之外的「發票」。
如何降低風險
員工難免誤按，目標是令網絡釣魚更難發出、更易識破，並減少損害。
- 啟用多重身份驗證：電郵、雲端服務和財務系統都應要求 MFA，令單憑被盜密碼無法登入。可行時優先採用通行密匙（passkey）或實體安全金鑰等防釣魚方式。
- 使用密碼管理工具：密碼管理工具一般不會在外觀相似的網址自動填入密碼，有助員工察覺假登入頁面。
- 保護電郵域名：設定 SPF、DKIM 和 DMARC，令別人更難冒用你的域名發電郵。如有假網站冒充你的品牌欺騙客戶，可參閱品牌釣魚網站應對方法。
- 使用電郵過濾：開啟電郵平台的防釣魚過濾，並標示外來電郵。
- 以另一途徑核實付款變更：新收款人或銀行資料變更，應致電紀錄中已有的號碼確認，不要用訊息提供的號碼。語音及視像要求可參閱深偽詐騙核實流程。
- 培訓員工並簡化報告：定期簡短提醒，提供簡單的可疑訊息報告方法，並感謝報告者，包括坦白自己失誤的人。
有人誤按連結後該怎樣做
- 立即報告：告訴 IT 聯絡人或服務供應商按了、打開了或輸入了甚麼。速度比追究責任重要。
- 用乾淨的裝置更改密碼：重設受影響帳戶及所有使用相同密碼的帳戶，並登出其他工作階段。
- 檢查郵箱：查看騙徒有否新增轉寄規則、篩選規則或連接應用程式。
- 如已付款，盡快聯絡銀行：要求銀行嘗試截停或追回款項，並到警署報案。懷疑騙案可致電香港警務處 24 小時「防騙易18222」熱線諮詢。
- 檢查個人資料責任：如個人資料可能已被存取，請向法律或合規顧問查詢是否需要通知。
常見問題
AI 會令網絡釣魚更難識破嗎？
會。AI 工具可幫騙徒寫出流暢、個人化的多語言訊息，錯別字已不再是可靠線索。應專注要求本身：意料之外的付款、更改銀行資料、登入和驗證碼都必須核實。
MFA 能完全阻止網絡釣魚嗎？
MFA 能阻擋許多依賴被盜密碼的攻擊，但部分釣魚工具會即時截取一次性驗證碼或工作階段 Cookie（session cookie）。通行密匙和實體安全金鑰更難被繞過，但仍應配合電郵過濾、員工培訓和付款核實。
如需檢視電郵安全、MFA 設定或員工防騙意識，請參閱我們的網絡安全及合規服務。