怎樣核實銀行來電或短訊是否真確

怎樣核實銀行來電或短訊是否真確

「這裡是你銀行的保安部,我們偵測到一筆可疑交易,需要核實你的身份。」或者短訊:「你的戶口將被凍結,請在此核實資料。」假冒銀行的電話和短訊屢見不鮮,原因不是騙徒是科技天才,而是他們把劇本練得純熟:緊迫感、權威感,以及一個要你立即行動、不讓你思考的「解決方法」。

好消息是:你不需要在慌亂中分辨來電是真是假。沒有人做得到,因為螢幕上顯示的號碼可以偽造,劇本也把真正的客戶服務模仿得很像。你需要的是一個不用作判斷也行得通的方法。就是以下這個。

方法:你掛線,你打回去

電話和短訊都適用,分三步:

1. 不要在對方主動聯絡你的通話或訊息內做任何事。 不提供資料、不按連結、不按鍵、不安裝任何東西,也不要把收到的驗證碼讀出來。如果是電話,禮貌地道別,然後掛線。掛斷真銀行的電話也沒有問題:他們會再打來,或者你可以經其他渠道處理。
2. 自己打開官方渠道。 致電你銀行的號碼(信用卡背面或官方網站上的號碼,由你親手輸入),或者打開從官方應用程式商店安裝的銀行 App。絕不要用打來的那個號碼,也不要用對方傳來的連結。
3. 在那裡核實。 如果真的有可疑扣款、戶口被凍結或待處理事項,會在你的交易紀錄中出現,或者由真正的客戶服務人員向你確認。如果甚麼都沒有,那個電話或短訊就是假的。

就是這麼簡單。關鍵在於明白它為甚麼有效:渠道由你選擇,所以騙徒偽造號碼或複製銀行網站都是白費心機。他的騙局只存在於那通電話或那則短訊之內;你一離開,他就甚麼都沒有。

同一個方法亦適用於核實稅務局或強積金的通知、假冒易通行的短訊,以及假冒包裹派遞的短訊(見我們的情境指南)。學一次,處處適用。

真正的銀行永遠不會向你索取的東西

記住這份清單,有懷疑時,它就是最快的檢測:

• 你的私人密碼(PIN)、完整的登入密碼或交易密碼。 真正的銀行可能要求你在「它的」App 或「它的」網站上核實身份;絕不會要你在電話或短訊中把密碼告訴它。
• 發到你手機的一次性密碼(OTP)或驗證碼。 這些密碼用來授權交易。在電話中向你索取密碼的人,是想你授權一筆「他」發起的交易。這是幾乎所有假冒銀行騙案的核心陷阱。
• 安裝遙距控制軟件(AnyDesk、TeamViewer 之類)「來幫你」。沒有銀行會這樣做。這是他們在你眼前清空戶口的前一步。
• 做一筆「測試」轉賬,或「為了取消詐騙交易」而轉賬。 你自己轉出去的錢很難追回。銀行永遠不會叫你在電話中轉錢來保護自己。
• 不掛線就照做。 「不要掛線,情況緊急,一掛線交易就會執行。」催促正是騙徒的工具。真正的銀行寧願你先核實,也不要你乖乖照做。

此外,根據香港金融管理局(金管局,HKMA)的要求,銀行不會以短訊或電郵發出超連結,引導你進行交易,或要求你提供登入資料或一次性密碼。收到這類「銀行」連結,就當作是騙案。

最常見的變種及其劇本

• 你不認得的扣款。 「你的戶口在一間電器店有一筆 HK$8,000 的扣款,是你本人嗎?」你說不是,他們就一步步帶你去「取消」:安裝程式、提供驗證碼、做一筆轉賬。你說「不是」之後的整場戲,就是騙局本身。
• 短訊說戶口被凍結。 連結到一個與銀行網站一模一樣的網頁,讓你輸入登入名稱和密碼。從那一刻起,操作戶口的就是他們。
• 「保護」你的假職員。 友善、專業,還知道你的基本資料(姓名、部分身份證號碼、信用卡最後幾個數字:這些都在資料外洩中流傳)。專業證明不了甚麼,只有渠道才能證明。
• 偽裝的付款確認。 對方叫你在手機上按「確認」來「核實身份」,其實是授權一筆轉數快(FPS)轉賬或電子錢包付款。在 App 內確認任何操作之前,一定要看清楚是甚麼。

如果已經提供了資料或驗證碼怎麼辦

1. 立即致電你的銀行(信用卡背面的號碼),說明情況。要求凍結信用卡、取消待處理的交易,並更改登入密碼。
2. 檢查之後幾天的交易紀錄,並開啟 App 的交易通知。
3. 報警:帶同截圖和來電號碼,經香港警務處電子報案中心舉報;如需意見,可致電反詐騙協調中心(ADCC)的防騙易熱線 18222。
4. 舉報該號碼到 NoCall 垃圾號碼目錄,讓它被標記。
5. 更多關於被騙後怎樣處理款項的文章,見 NoCall 網誌。

快速問答

螢幕上顯示的號碼,不能證明是我的銀行嗎? 不能。來電顯示可以偽造(稱為 spoofing),騙徒特別喜歡偽造真實的銀行號碼,令你一查就以為是真的。在香港,源自境外的來電會在號碼前顯示「+」號,即使顯示為「+852」開頭也一樣,流動網絡營辦商亦會發出「來電源自香港境外,慎防詐騙。」的提示;自稱本地銀行卻從境外打來,就更要小心。但沒有「+」號也不代表安全,所以規則始終是:絕不在通話中作決定。

如果對方打來時,已經知道我的名字、身份證號碼和戶口結餘呢? 個人資料在外洩的資料庫中流傳,結餘也可以含糊地編出來(「一筆大額扣款」)。知道你的資料,不等於他們就是你的銀行。照樣用這個方法。

我可以要求對方提供一些資料,讓我反過來核實嗎? 你可以問對方的姓名和個案編號......然後掛線,自己致電銀行查證。任何不掛線就進行的「核實」,都等於沒有核實。

我掛銀行的電話,他們會不高興嗎? 不會。放心掛線,然後自己致電官方號碼。這正是銀行保安部門希望你做的。

把規則記成一句話:銀行聯絡你時,不要在那裡做任何事;掛線,自己打開官方渠道核實。 把這句話分享給身邊的人:它可能幫他們保住一大筆錢。