「包裹被扣留」:假冒香港郵政及速遞公司的短訊

「包裹被扣留」:假冒香港郵政及速遞公司的短訊

「香港郵政:由於地址資料不全,你的郵件未能派遞。請在此更新地址並繳付 HK$12.50 手續費。」再加一個連結。這類短訊會按不同波次,冒充香港郵政、順豐(SF Express)或其他速遞公司的名義發出,香港郵政亦在官方網站提醒市民慎防偽冒訊息和欺詐網站。這類騙局之所以奏效,是因為幾乎人人都網購,也幾乎人人都試過有包裹在路上:訊息正好落在合適的時機。

金額故意小得可笑。對方的目標從來不是那十幾元,而是要你在仿冒速遞公司的假網站輸入完整的信用卡資料,有時還包括你隨後收到的一次性密碼(OTP),以便盜用更大的金額。

為甚麼即使沒有在等包裹也會中招

騙徒不知道你是否在等郵件,他們也不需要知道:

• 數量。 同一則短訊會發給數以千計的號碼。網購如此普遍,很多收件人真的有包裹在路上,或者剛剛收過,訊息自然對得上。
• 微不足道的金額。 十多元不會觸發警覺。沒有人會像核實一筆 HK$3,000 的付款那樣,去「核實」一筆 HK$12.50 的付款。
• 催促與零阻力。 「立即付款,明天送達」,令你當場用手機處理,沒有停下來看清發送人或域名。
• 輪流換裝。 當某個品牌被識破(大家開始互相提醒「那則短訊是假的」),騙局就換成另一間速遞公司。骨架永遠與假冒易通行(HKeToll)催繳通行費的短訊一樣:知名機構+待處理事項+緊迫感+付款連結。

怎樣認出假短訊

以下任何一個跡象單獨來看都不是定論,但加在一起,就是相當可靠的判斷:

• 要求經連結繳費。 一則突如其來的短訊要你經連結補付郵費、關稅或手續費,就要提高警覺。真正需要繳付的費用,可以用你的追蹤編號經官方渠道查到。
• 連結不是官方域名。 例如帶有多餘連字號的域名(「hongkongpost-hk」、「sf-delivery-pay」)或古怪的後綴。香港郵政表示,它所有網站只會使用 hongkongpost.hk、hongkongpost.gov.hk 或 ecert.gov.hk。在手機螢幕上匆匆一看容易蒙混過關,冷靜細看就會露出破綻。
• 沒有提及真實的追蹤編號。 假短訊只會籠統地說「你的郵件」,因為它根本不知道是哪一件。正當的通知會列出追蹤編號,而且與商店給你的一致。
• 發送人對不上。 香港設有短訊發送人登記制,已登記的機構會以「#」開頭的名稱發送短訊。香港郵政表示,只會以「#HKPost」這個名稱向本地手機用戶發短訊,所以自稱香港郵政、但不是由「#HKPost」發出的短訊,就不是香港郵政發的。至於其他速遞公司,單憑發送人顯示的號碼或名稱,並不能證明訊息是真的。
• 文筆破綻。 生硬的翻譯、古怪的大小寫、誇張的緊迫感(「退回包裹前的最後通知」)。真正的公司不會寫成這樣。

怎樣核實真正的郵件

方法永遠一樣,適用於任何公司:

1. 不要按短訊中的連結。 直接關閉。
2. 自己打開官方渠道:你購物的商店 App、訂單確認電郵,或者自行輸入網址,打開速遞公司或香港郵政的官方網站。
3. 在那裡輸入你的追蹤編號。 如果真的有問題(地址不全、派遞失敗、需要補付費用),會在官方追蹤紀錄中顯示。如果甚麼都沒有,那則短訊就是假的。

這個次序(關閉訊息,自己進入官方渠道),與我們建議用來核實銀行來電或短訊,以及稅務局或強積金通知的方法相同(見情境指南)。這是能從根源斬斷最多騙案的習慣。

如果已經輸入了信用卡資料怎麼辦

• 立即致電銀行,說明經過,要求凍結信用卡並換發新卡。這一步能一下子截斷問題。
• 如果你還輸入了經短訊收到的一次性密碼,也要告訴銀行:可能已經有一筆交易獲得授權。
• 留意之後幾星期的賬單,並在銀行 App 開啟交易通知。盜用的交易未必立即出現。
• 報警:帶同短訊和連結的截圖,經香港警務處電子報案中心舉報。如需意見,可致電反詐騙協調中心(ADCC)的防騙易熱線 18222。
• 在 NoCall 垃圾號碼目錄舉報發送號碼。

快速問答

如果我真的在等包裹,而短訊內容又對得上呢? 對得上證明不了甚麼:網購包裹這麼多,碰巧猜中很容易。一定要用你的追蹤編號,經官方渠道核實。只需一分鐘,就能完全消除疑慮。

速遞公司真的會發短訊嗎? 會,有些公司會發派遞通知或派遞失敗的提示。真正的通知一般會引導你到官方 App 或網站,列出你的追蹤編號,也不會用「立即退件」來催促你;要你即時經連結付款的,就要特別小心。

WhatsApp 或電郵也有同樣的騙局嗎? 有,同樣的誘餌也在 WhatsApp、電郵中流傳,甚至印在假 QR 碼貼紙上。渠道會變,防範方法不變:絕不經收到的連結付款,自己經官方渠道核實。

如果你收到這類訊息,請到 NoCall 的垃圾號碼目錄舉報:這些騙局會把同一批號碼重用好幾天,你的舉報,就是下一個人輸入信用卡資料前會看到的警告。