香港中小企釣魚電郵同 BEC 防守指南：由識破誘餌、五種匯款騙局，到出事後追錢次序

分類：行業情報 | 日期：2026-10-21

最後更新：2026年10月 | 由 IT SUPPORTKING 技術團隊編寫

免責聲明：本文章內容屬一般資訊，唔係法律意見。 涉及個人資料外洩、報警、銀行追回款項或者法庭程序的決定，應諮詢律師及相關機構，唔好單憑本文章作決定。

最後覆核日期：2026-10-21

覆核依據：香港政府資訊保安（InfoSec）指引、HKCERT 公布及相關報道、香港金融管理局及警方防騙資料、私隱專員公署 2023 年 6 月 30 日數據外洩處理指引相關報道，以及本站 live /pricing／/terms 可見版（2026-10-21 核對）。 事實聲稱以覆核時公開來源為依據；本站價錢及條款以本站當前頁面列明為準。

覆核週期：每 6 個月或法例／指引／條款有變時覆核。

方法說明： 本文根據公開指引及報道整理，無本地用家訪問、無本地實證，唔對香港企業普遍做法作概括描述。美國數據會明確標明係美國數據，唔會當成香港數字。凡標明「未公佈／未證實」的項目，請以查詢及書面確認為準。

引言：點解中小企最易成為目標

釣魚電郵同商業電郵入侵（Business Email Compromise，簡稱 BEC）唔係只針對大公司。恰恰相反，中小企往往係最合適的目標：人手少，一個人可能同時處理收貨、入數、出糧同回覆客戶；流程未必有白紙黑字的覆核步驟；出事之後亦未必有專人跟進。HKCERT 的中小企指引亦指出，大多數中小企缺乏資源建立大範圍的網絡防禦，因而容易成為攻擊目標，而該指引的目標正是為本地中小企提供清晰、低成本、容易實行的事故應變機制。

數字方面，據轉載 HKCERT《Hong Kong Cybersecurity Outlook 2026》的報道，香港 2025 年全年網絡安全事故共有 15,877 宗，創紀錄新高，按年上升 27%，其中釣魚佔全部個案 57%。而 2026 年上半年，HKCERT 錄得 5,305 宗釣魚個案，佔同期全部安全事故 63%，同期另有 1,377 宗殭屍網絡個案同 713 宗惡意軟件相關事故。呢兩個數字要點讀，後面會再講：重點唔係「邊個數字大」，而係釣魚已經係香港最常見的網絡事故類別，而且仲喺度上升。

本文分五部分：第一，釣魚點運作同香港常見誘餌；第二，BEC 五種打法；第三，個人資料外洩之後的私隱條例角度；第四，中小企可以落地的防線；第五，出事之後要按咩次序做。最後一節係簽約前要問的問題——關於本站服務邊界的一切，本文只會用問題式寫法，唔會寫成服務承諾。

一、釣魚點運作：由假扮開始，到攞到你嘅信任

1.1 釣魚的本質係假扮，唔係技術破解

根據香港政府資訊保安（InfoSec）指引，釣魚是一種社交工程攻擊：攻擊者假扮成合法機構，誘使受害人提供個人及敏感資料，或者令電腦感染惡意軟件，途徑通常包括假網站、電郵、即時訊息或者短訊，內含受感染的附件或者惡意連結。換句話說，釣魚首先攻的唔係你部電腦，而係你對「邊個寄嚟」同「應唔應該照做」的判斷。

其中最常見的一種叫欺騙式釣魚：訊息做得幾乎同合法公司或者可信來源一模一樣，大量寄出，誘使人提供個人資料、銀行同信用卡資料或者登入憑證。另一種叫魚叉式釣魚，針對性強得多：攻擊者利用公開渠道（例如社交媒體上公開的資料）度身訂造內容，假扮成受害人信任的一方，寄畀特定群組，要求對方做不法行為，例如未經授權的資金轉帳或者披露敏感商業資料。對中小企嚟講，魚叉式釣魚特別危險，因為佢唔再係「廣撒網」，而係衝住你間公司、你個客、你個供應商嚟。

除咗電郵，仲有幾種變體要識：短訊釣魚（Smishing）係用假扮可信第三方的短訊，呃人撳惡意連結或者回覆個人資料；語音釣魚（Vishing）係電話版本，包括偽造來電顯示；二維碼釣魚就係將惡意連結藏喺二維碼入面，利用人對掃碼的慣性信任。近年的趨勢係，釣魚的派送渠道已經超出傳統電郵，擴展到社交媒體或者即時通訊平台（相關報道引述 HKCERT 展望數字為 34%）同加密貨幣平台（18%），而且生成式 AI 令釣魚訊息愈來愈逼真、愈來愈難分辨。呢句話的重點唔係技術名詞，而係一個實際後果：單憑「睇落專唔專業」已經唔足夠分辨真假，因為假的都可以做得好專業。

1.2 識破釣魚訊息同釣魚網站的訊號

香港政府 InfoSec 指引列出的常見可疑訊號，值得貼喺辦公室當檢查清單用：

• 寄件人地址可疑： 串錯字或者同真地址好相似（例如用數字 0 代替字母 o 的政府域名變體）。
• 附件可疑或者無端端出現： 例如 .exe、.cmd、.bat 等可執行檔，本身同業務無關。
• 稱呼籠統、文法錯漏多： 無名無姓的招呼、錯別字同不自然的句式。
• 網上索取個人或者敏感資料： 正經機構唔會用呢種方式問你要密碼或者戶口資料。
• 催促、威嚇或者好到難以置信的優惠： 「即刻唔做就停用」「限時退款」之類的壓力句式。
• 短網址： 用嚟繞過垃圾郵件過濾，令人睇唔到真正目的地。

釣魚網站亦有類似套路：內容、標誌同文字照抄真網站；混入真網站的連結（例如「聯絡我們」「網站地圖」）嚟建立信任；用一個同真網址好相似的地址；然後放一個輸入登入憑證或者敏感資料的表格。實用原則係：唔好直接撳電郵入面的連結，而係自己喺瀏覽器打返個網址入去，因為釣魚者可以掩飾連結的真正目的地。呢個習慣睇落麻煩，但係成本最低、最有效的其中一招。

1.3 香港常見誘餌：銀行、稅局、速遞、轉數快

香港的釣魚活動有好清晰的本地主題。HKCERT 的警示記錄過，釣魚活動曾假冒銀行登入頁面同香港政府部門（例如稅務局），目標係身份證號碼、信用卡資料同登入憑證；另一份警示記錄過假即時通訊登入頁面（連同二維碼登入），經搜尋引擎廣告推廣，盜取帳戶之後再假扮受害人向親友行騙。

警方相關警示亦提到另外兩種本地誘餌：假扮順豐（香港）的短訊，聲稱包裹派送唔到；假扮稅務局的電郵，標題類似「HK-Refund-Online-Confirmation」，兩者都連結去假網站索取個人資料同信用卡資料。呢類誘餌之所以有效，係因為佢哋踩中日常工作的節奏：等緊包裹、等緊退稅、趕住處理付款——人一趕，就容易跳過檢查。

對此，香港金融管理局有兩句好明確的提醒，值得當成公司規則：第一，香港銀行唔會經短訊或者電郵發出內含超連結、引導客戶去銀行網站做交易的訊息，亦唔會經電話、電郵或者短訊（包括內含超連結）問客戶攞登入密碼或者一次性密碼等敏感個人資料。第二，金管局亦警告過假冒香港銀行同業結算有限公司（HKICL）轉數快相關服務的假網站（警告中提及的域名包括 monetaryauthorityhk.sbs 同 systemfps.xyz），誘使使用者提供個人證件號碼、身份證相片、電話號碼、銀行名稱、戶口號碼同戶口持有人姓名。換句話說，凡係「經連結入去做交易」「經短訊交密碼」的要求，本身已經違反銀行公開講明的做事方式，應該即刻當成可疑。

1.4 深偽會議：當「見到老闆個樣」都唔再係證據

2024 年 2 月香港警方披露的一宗案件，將行政人員假扮推到另一個層次：一間跨國企業香港分公司的員工，先收到一封假扮英國總部財務總監的釣魚訊息，繼而被帶入一個多人視像會議，會議中除咗受害人之外全部都係深偽影像，影像素材來自公開取得的片段；結果員工將 2 億港元轉去五個本地銀行戶口。HKCERT 就同一模式的警示亦指出，攻擊者取得網上公開的高層行政人員片段同錄音，偽造視像會議片段假扮佢哋，發出轉帳指示，並且用各種藉口提早結束會議，防止受害人發問。

呢宗案件的教訓唔係「要睇清楚個樣真唔真」，而係程序：面同聲音喺電話或者會議入面，已經唔再係身份證明。正確做法係收線之後，用自己手頭已有嘅號碼打返去覆核，並且對資金移動要求雙人簽批。呢個係由案件歸納出來的建議做法，唔係香港法例要求。對中小企嚟講，呢條規則的成本好低：任何「老闆喺會議／電話急住叫你過數」的要求，一律先掛斷、再用舊有聯絡方法覆核，唔好喺同一個會議或者同一通電話入面完成轉帳。

二、BEC 五種打法：無病毒、無連結，淨係靠假扮同催促

2.1 BEC 係乜

商業電郵入侵（BEC），又稱電郵帳戶入侵，根據美國聯邦調查局（FBI）的定義，係針對經常做電匯付款的企業或者個人嘅騙局：罪犯透過社交工程或者電腦入侵，入侵電郵帳戶，進行未經授權的資金轉移。最值得留意的一點係，BEC 訊息好少含有惡意附件或者連結，而係靠假扮、催促同表面上的合理性。呢個特點直接解釋點解過濾器捉唔晒：最具破壞力的訊息，往往係一段純文字假扮，出現喺真實對話串入面，或者用一個好相似的域名寄出。因為咁，經第二個渠道做人手覆核，唔係可有可無的附加步驟，而係本身就是一道控制措施。

2.2 五種變體逐個拆

第一種：行政人員假扮（CEO fraud）。 假扮高層行政人員，要求財務人員做緊急電匯，強調保密同時間壓力。目標通常係財務部或者出納，因為佢哋有權過數，而「老闆急住要、唔好同人講」正正係要繞過正常覆核的說辭。防禦關鍵係制度：無論邊個叫，緊急轉帳都要經過既定覆核，唔可以因為「老闆話」就跳過。

第二種：發票篡改／假發票（invoice manipulation）。 假扮供應商或者賣方，寄出欺詐發票或者更新咗的付款資料，令一筆本來合法的付款被轉去騙徒戶口。呢種最容易喺中小企得手，因為供應商成日轉戶口、轉銀行，中間加一句「銀行出咗問題，轉去呢個新戶口」聽落好合理。

第三種：帳戶入侵（account compromise）。 真實員工郵箱被盜用，之後用嚟寄出付款要求。由於郵件來自合法帳戶，好多過濾器唔會攔截。呢種的危險在於：收件人見到的是真地址、真簽名、真對話歷史，唯一破綻可能只係付款資料突然變咗。

第四種：律師假扮（attorney impersonation）。 假扮律師處理一件保密、時間敏感的事務，通常針對較 junior、較唔敢質疑權威的員工。保密性係呢種的武器：受害人因為「呢件事要保密」而唔敢問第二個人，覆核機制就咁被繞過。

第五種：出糧戶口轉移（payroll diversion）。 假扮員工，要求人力資源或者出糧部門更改直接存款資料，將薪金轉去騙徒戶口。除咗以上五種，另有一種資料盜取變體：唔係直接要錢，而係向人力資源或者財務部門索取員工、稅務或者財務資料，之後再用嚟做下一步騙局。

一個經典的香港相關法律評論描述的供應商騙局步驟，可以幫老闆理解成件事點發生：罪犯入侵一間中小企或者其貿易夥伴的電郵，搜尋未付或者未完成交易的發票同交易資料，然後用被入侵的帳戶或者一個極相似的複製地址寄出假電郵，聲稱銀行出咗問題，要求將款項付去另一個戶口，而戶口名往往係同一個公司名或者只係輕微改動過的公司名。留意成個過程入面，騙徒唔需要寫一封好假的信——佢只需要改一個戶口號碼。

2.3 規模：美國數字只係美國數字

以下數字全部係美國數據，唔係香港數據，唔好用嚟推論香港情況。根據美國聯邦調查局網絡犯罪投訴中心（IC3）2024 年年報，BEC 係第七大最常舉報的罪案類別，共有 21,442 宗投訴，但按損失金額排第二，舉報損失達 27.7 億美元；2024 年 IC3 全部網絡犯罪舉報損失為 166 億美元。而 2022 至 2024 三年間，向 IC3 舉報的 BEC 損失合共接近 85 億美元，自 2015 年 BEC 首次納入 IC3 報告以來，損失已超過 170 億美元。呢啲數字的作用只有一個：說明 BEC 在美國已經係按金額計最嚴重的網絡騙局類別之一，值得中小企認真對待。

至於香港，本文刻意唔引用任何香港 BEC 損失總數、香港 BEC 舉報宗數或者香港中小企 BEC 受害率，因為事實檔案入面無一個可核實、有來源同日期的香港數字。無數字唔等於無問題——香港警方同法律評論都有 BEC 案件同追款程序的記錄，本文後面會講——但估一個數字出嚟扮香港情況，比無數字更誤導。

三、個人資料外洩之後：私隱條例角度要分清四件事

釣魚同 BEC 唔單止係錢的問題。一旦郵箱被入侵，入面可能有客戶資料、員工資料、身份證副本、合約同報價——呢啲都係《個人資料（私隱）條例》（第 486 章）之下的個人資料。以下四個角度，全部係教育性質，唔係法律意見，具體個案要問律師。

3.1 角度一：資料保障原則第 4 條（DPP 4）講的是「一切切實可行步驟」

DPP 4 要求資料使用者採取「一切切實可行的步驟」，保障所持有的個人資料，免受未經授權或者意外的查閱、處理、刪除、遺失或者使用，考慮因素包括資料類別、可能造成的損害、儲存地點同傳送保安。重點係，呢個標準係相對的：要睇資料有幾敏感、一旦外洩可能造成幾大損害，而唔係一條劃一的技術清單。

3.2 角度二：系統被入侵，唔等於自動違反 DPP 4

根據相關法律評論，系統被黑客入侵，唔自動等於違反 DPP 4；係咪違規，取決於當時已經有的保安同保障措施水平，以及呢啲措施係咪合理足夠，同時考慮個人資料類別同外洩可能造成的損害。換句話說，法例問的唔係「你有冇百分百擋晒攻擊」，而係「你有冇做咗合理足夠的措施」。呢個分別對中小企好重要：平時有做多重認證、權限管理、備份同員工培訓，同完全無做，喺事後評估入面係兩回事。但反過嚟講，呢句亦唔係免責牌——「有做少少」唔等於「合理足夠」，要睇措施同資料敏感程度係咪相稱。

3.3 角度三：通報係建議做法，唔係法例強制責任（但要識得分流）

現時《個人資料（私隱）條例》之下，並無強制性的資料外洩通報法例責任；根據私隱專員公署的指引，向公署同受影響人士通報係建議做法，唔係法例責任。不過要留意例外：個別行業監管機構（例如證券及期貨事務監察委員會持牌法團或者金管局認可機構）可能有自己嘅外洩通報要求，唔好將「私隱條例無強制」讀成「邊個都唔使報」。

私隱專員公署 2023 年 6 月 30 日發出的《資料外洩事故處理及通報指引》（取代 2019 年 1 月版本）建議五個步驟：第一，即刻收集關鍵資料（點樣外洩、涉及邊啲個人資料）；第二，盡快並盡可能有效地控制外洩；第三，根據資料敏感程度同數量評估損害風險（例如身份盜用、生意損失、經濟損失）；第四，考慮通知私隱專員公署同受影響人士；第五，全面記錄外洩事件（詳情、控制措施、補救行動）。指引亦建議，一般嚟講，資料使用者應該喺知悉外洩之後，喺切實可行範圍內盡快通知公署同受影響人士，特別係當外洩可能對相關人士造成實質損害風險嘅時候，而且唔好因為內部調查未完成就拖住唔報；指引亦新建議制訂全面的書面資料外洩應變計劃。背景數字方面，2023 年上半年向公署舉報的資料外洩事故有 55 宗，比 2022 年下半年上升超過兩成——呢個數字只係背景，唔係通報門檻。

3.4 角度四：罰則結構同兩條要特別小心嘅線

違反資料保障原則本身，唔係即時刑事罪行：私隱專員可以調查並發出執行通知，指示資料使用者糾正違規；唔遵從執行通知先係罪行，首次定罪最高罰款 5 萬港元同監禁 2 年，持續罪行另加每日罰款 1,000 港元。呢個結構話畀老闆知：收到執行通知之後的應對，本身就是法律風險的一部分，唔好拖、唔好唔理。

另一條線係 2021 年起底修訂帶來的直接罪行，唔使經執行通知：未經同意披露個人資料，而意圖造成指明損害，或者罔顧會否造成呢類損害，最高可罰 10 萬港元同監禁 2 年；如果實際造成指明損害，最高可罰 100 萬港元同監禁 5 年。呢條同釣魚／BEC 的關係在於：如果入侵導致個人資料被公開或者被用嚟傷害當事人，法律後果可能由「保障不足」升級到另一層次。所以外洩之後，唔單止要處理錢同系統，仲要評估資料去咗邊、會唔會被進一步公開。

最後一條要講清楚的線，係第 33 條：條例第 33 條（禁止在指明情況以外將個人資料轉移去香港以外地方）在綜合條例文本入面標示為「尚未實施」。寫作同做決定嗰陣，絕對唔好將佢講成已經生效的轉移禁令。好多中小企誤以為「第 33 條已經生效，所以用海外工具就犯法」或者相反，以為「未生效就乜都得」——兩種都係錯。正確態度係：以當時生效的條文同指引為準，有疑問問律師。

四、中小企實務防線：四層功夫，缺一層都唔完整

防線要分層理解，因為每一層都擋唔晒所有攻擊。以下四層，全部來自香港政府 InfoSec 指引同相關實務建議，唔係本站服務承諾——邊啲本站託管服務包唔包，見第六節問題清單。

4.1 第一層：登入把關——多重認證

InfoSec 指引建議使用多重認證（MFA）：登入時要求兩個或者以上因素，即使其中一個因素（例如被釣魚呃咗的密碼）已經外洩，單憑該因素都唔能夠令釣魚者入到帳戶。對中小企嚟講，呢層的意義特別大，因為 BEC 第三種打法（真實郵箱被盜用）往往就係由一個密碼開始。實務要點有三個：第一，唔好只幫老闆開，要幫所有可以過數、可以改戶口資料、可以接觸客戶資料的帳戶開；第二，認證方法本身要保管好，唔好將驗證碼經電郵或者訊息傳畀人；第三，定期檢查帳戶有冇唔認得的認證方法或者裝置，因為攻擊者入侵之後，第一件事往往就係加一個屬於自己的認證方法，留後門。

4.2 第二層：電郵驗證——SPF、DKIM、DMARC 分工同局限

InfoSec 指引特別建議電郵驗證措施，包括 DKIM（域名密鑰識別郵件）、SPF（寄件人政策框架）同 DMARC（以域名為基礎的訊息驗證、報告同一致性），用嚟保護機構的電郵域名，免被用作電郵偽冒、釣魚詐騙同相關網絡罪行，並且指引中小企參考其「防範釣魚攻擊（中小企）」同「處理垃圾郵件貼士（中小企）」頁面。

三者的分工可以咁理解：SPF 驗證寄件郵件伺服器的 IP 地址，係咪喺域名 DNS 公布的授權寄件者名單入面；DKIM 用標頭入面的加密簽名，對照 DNS 入面的公開密鑰驗證，證明訊息來自簽署域名，而且傳送途中無被改過；DMARC 喺兩者之上，要求 SPF 或者 DKIM 通過並且同可見寄件域名一致，然後話畀收件方知，驗證失敗的郵件要點處理（唔採取行動／隔離／拒收），以及點回報。單獨用任何一種都會留低缺口，所以三者要一齊用。

但係 DMARC 唔係萬能，呢點必須講明：DMARC 只係擋得到「假冒一個已經有強制政策的域名」的偽冒，擋唔到相似域名、顯示名稱花招，或者一個已經被盜用的真實郵箱；而且一封通過驗證的電郵，入面仍然可以帶住惡意連結。所以必須配搭過濾、MFA、登入監察同回撥規則一齊用。管理層要避免的誤解係：「我哋已經做咗 DMARC，所以釣魚入唔到嚟」——呢句係錯的。DMARC 係必要條件，唔係充分條件。

除咗電郵驗證，InfoSec 指引亦列出其他機構技術防禦：基於網址的過濾器、防火牆、反惡意軟件同反垃圾郵件軟件、將訊息網址同已知釣魚網址數據庫比對的反釣魚過濾器，以及來自可信認證機構的網站證書。呢啲係工具層，唔好期望單一工具解決問題。

4.3 第三層：付款覆核——回撥規則同雙人批核

針對 BEC 最重要的一條規則，係實務指引講明的付款驗證回撥規則，佢唔係法例，而係控制措施：新的銀行資料，絕對唔可以單憑電郵就接受；必須用手頭已有記錄的號碼打返去覆核（唔好用可疑訊息入面提供的號碼），而且供應商銀行資料更改，必須經過雙重批核先至可以改記錄。金管局給消費者的指引講同一原則：核實來電者或者寄件人身份；唔好單憑來電顯示；唔好打可疑訊息入面提供的熱線號碼，而係用銀行官方網站或者提款卡／信用卡背面的號碼；唔好輕易提供敏感個人資料。

將呢條規則寫成公司制度，建議用三句話貼喺財務部：第一，改戶口資料，一律要打舊號碼覆核；第二，任何「緊急」「保密」「唔好問人」的轉帳要求，一律要第二個人批；第三，電郵入面的新戶口資料，喺未覆核之前，一律當假。呢三句唔使買任何工具就做到，但係最能夠擋住 BEC 第二種同第三種打法。

4.4 第四層：人——培訓同模擬釣魚演練

InfoSec 指引建議機構定期做用戶意識培訓，包括為員工做模擬釣魚活動，加強警覺，減低中招機會。演練的目的唔係要捉邊個同事「蠢」，而係要量度邊類誘餌最有效、邊個部門最需要再培訓，同埋令員工喺真攻擊嚟到之前，已經練習過「停一停、覆核、舉報」的流程。有一點要講明：本文唔引用任何香港中小企採用率或者演練成效百分比，因為事實檔案入面無可核實的香港數字；演練的價值在於流程同習慣，唔係一個百分比。

對個人嚟講，InfoSec 指引亦有幾句實用提醒：寄出敏感資料之前，先核實對方身份；未核實身份之前，唔好將個人或者敏感資料寄畀第三方；唔好回應可疑付款要求，付款之前要徹底核實；唔好撳電郵入面的連結，改為自己打網址。呢啲習慣，配合上面三層技術同制度，先至係完整防線。

老闆檢查清單（對照用，唔係服務承諾）：

• 所有可過數、可改戶口資料、可接觸客戶資料的帳戶，係咪已經開咗多重認證？
• 公司域名係咪已經設定 SPF、DKIM、DMARC，而且 DMARC 政策唔係長期停留喺「唔採取行動」？
• 供應商銀行資料更改，係咪必須經舊號碼回撥覆核加雙人批核，先至改記錄？
• 員工係咪做過模擬釣魚演練，而且知道中招之後要即刻向邊個報告？
• 公司係咪有一份書面資料外洩應變計劃，寫明邊個負責邊個步驟？
• 深偽會議或者「老闆急叫過數」的情況，係咪有「先收線、再用舊號碼覆核」的明文規則？

五、出事之後：按次序做，次序本身就是止損

出事之後最常見的錯誤，唔係「做錯嘢」，而係「做啱嘢但次序錯」。以下次序綜合香港政府指引、HKCERT 分流規則同香港法律評論，錢同資料兩條線分開講。

5.1 即刻做：㩒咗連結或者懷疑郵箱被入侵

根據 InfoSec 指引，釣魚攻擊之後應該：即刻刪除釣魚訊息，防止再次接觸；如果帳戶懷疑被入侵，重設用戶登入憑證；將受感染裝置離線並做全面掃描，確認係咪下載咗惡意軟件；向受影響用戶、客戶同相關各方發出警示，連同建議行動（例如更改密碼、更新到最新版本）；調查根本原因（人為錯誤定係系統漏洞）並採取緩解措施；以及審核緩解措施係咪妥善執行。

但係，淨係改密碼係唔夠的。根據供應商同事故應變指引，郵箱入侵之後，仲要撤銷仍然有效的登入階段、移除唔認得的多重認證方法同裝置，並且檢查郵箱規則——特別係轉寄規則、自動刪除或者自動搬移規則、非預期的收件匣規則、代理人設定同新登記裝置——因為攻擊者會用呢啲方法，喺表面事件過去之後繼續留喺郵箱入面。呢步好多公司會漏：密碼改咗，但轉寄規則仲喺度，所有新郵件繼續靜靜地抄送去騙徒手上。

證據保存要同時間做，唔好等：HKCERT 自助指引話，保存電郵訊息連同標頭（唔止內容），以及伺服器／路由器／電腦紀錄（例如防火牆紀錄、防毒紀錄），向警方或者有關當局舉報時提供相關電郵例子。標頭之所以重要，係因為佢記錄咗郵件真正經過邊啲伺服器，係追查來源的關鍵；淨係截圖內容，價值有限。

5.2 錢已經轉出：銀行追回 → 報警 → 可能凍結 → 法庭命令先可取回

呢個次序係香港追款程序的關鍵，全文最重要的一段，必須按次序讀：

第一步：即刻聯絡自己銀行同收款銀行，嘗試追回轉帳並通知銀行有關欺詐。 速度本身就是成敗因素之一：根據網絡安全及科技罪案調查科相關法律評論引述，騙徒最快可以喺一至兩日內經地下銀行轉走騙款，所以警方調查同保護措施的窗口被形容為極度時間敏感。呢句唔係話「一至兩日內一定追得返」或者「過咗就一定追唔返」——追回結果無保證——而係話，拖延只會令追回機會愈嚟愈細。

第二步：向香港警方報案（親身或者經網上舉報）。 警方表示，舉報科技罪案（黑客、網絡欺詐、濫用帳戶、網上盜竊）應該致電或者親身去最近警署，或者經電子報案中心舉報，並且指向網絡安全及科技罪案調查科了解更多科技罪案資料。法律評論亦指出，BEC 受害人應向警方商業罪案調查科舉報，該科會與內地及國際執法機構協作處理跨境情報交換同調查要求。懷疑受騙，亦可以用警方防騙協調中心（ADCC）的防騙易熱線 18222，以及 CyberDefender 網站上的「防騙視伏器／防騙視伏器＋」工具，喺有懷疑時核實可疑資料或者網站。

第三步：在適當情況下，警方可能向收款銀行發出「不反對通知書」，效果係凍結持有騙款的收款戶口，等候調查。 注意兩個限定詞：「在適當情況下」同「可能」——唔係每宗案件都會發出，亦唔係報案就自動凍結。

第四步：即使戶口被凍結，報案本身唔會自動安排退款。 根據香港法律評論，喺香港銀行戶口入面的款項，只有透過香港法庭命令先至可以取回（以馬瑞瓦禁制令作為凍結令途徑），所以除咗警方報案同銀行追回之外，及早尋求法律意見同樣重要。呢句要寫得好清楚，因為好多受害人誤以為「報咗警、凍結咗，錢就會自動返嚟」——唔會。凍結係保全，取回要經過法庭程序，兩者係兩回事。

5.3 分流：邊件事搵邊個，唔好全部搵同一個機構

HKCERT 的分流規則講得好清楚：刑事罪行（例如網上欺詐、有金錢損失的案件）搵警方；網上銀行或者信用卡帳戶被入侵，即刻聯絡相關機構，減低金錢損失；個人資料投訴搵私隱專員公署；垃圾訊息搵通訊事務管理局辦公室（OFCA）；HKCERT 本身接收技術事故報告（惡意軟件、釣魚、阻斷服務等）。HKCERT 的事故報告渠道包括網上事故報告表格（https://www.hkcert.org/incident-reporting）、電郵 hkcert@hkcert.org 同熱線 8105 6060。

如果外洩涉及個人資料，私隱專員公署路線係獨立於警方路線的：應該喺切實可行範圍內盡快通知公署同受影響人士，特別係當可能造成實質損害風險嘅時候，並且全面記錄外洩事件。換句話說，報警、搵銀行、搵 HKCERT、通知公署，呢四件事唔係四選一，而係按性質分開做；漏咗其中一條線，後面就可能要補返，仲要補得更趕。

六、簽約前要問的問題

以下用「已確認／待確認」兩欄列出：左欄係本站已公開資料的原文引用（查閱日期 2026-10-21）；右欄係簽約前要問清楚的問題。每個「未公佈」後面都跟「要確認乜＋點確認」：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。點解咁強調書面確認？因為口頭承諾喺爭拗嗰陣等於冇講過：銷售口頭話「包」，合約冇寫，出事嗰陣合約贏。要求電郵或者服務協議書面確認，唔係唔信人，而係將雙方理解對齊，保護雙方。

本節首句必須講明：本節唔係服務承諾，而係教讀者向任何 IT 支援供應商提問。 本站服務為託管 IT 支援服務。以下右欄每一項，都係向供應商提問，唔係本站已經承諾提供的服務。

七、常見錯誤

錯誤一：收到「供應商轉戶口」電郵，即刻照做

呢個係 BEC 第二種打法最直接的得手方式。正確做法永遠係：用舊號碼打返去覆核，雙人批核之後先改記錄。任何「銀行出咗問題」「舊戶口即將停用」的說法，都唔係跳過覆核的理由，反而係應該提高警覺的訊號。

錯誤二：以為做咗電郵驗證就等於擋晒釣魚

DMARC 擋唔到相似域名、顯示名稱花招同被盜用的真實郵箱，而且通過驗證的郵件仍然可以帶惡意連結。電郵驗證、多重認證、過濾、登入監察同回撥規則要一齊用，缺一層，攻擊者就會走嗰一層。

錯誤三：出事只改密碼，唔清後門

密碼改咗，但登入階段未撤銷、不明認證方法未移除、轉寄規則同代理人設定未檢查，攻擊者可以繼續收你的郵件。改密碼之後的清理清單（第五節），要逐項做完先算完成。

錯誤四：報咗警就以為錢會自動返嚟

報案、銀行追回、可能凍結、法庭命令，係四件唔同的事。凍結係保全，取回要經過法庭程序。報案之後要同時跟進銀行追回進度，並且及早問律師，唔好淨係等。

錯誤五：外洩拖住唔報、唔記錄

私隱專員公署指引建議盡快通知公署同受影響人士，特別係可能造成實質損害風險嘅時候，而且唔好因為內部調查未完成就拖住。拖延的代價有兩個：受影響人士無機會及時自保（例如改密碼、留意盜用），而公司自己亦失去「已經盡快處理」的記錄。全面記錄外洩詳情、控制措施同補救行動，本身就是指引建議的第五步。

結尾：三點總結

第一，釣魚攻的是判斷，唔係淨係技術：識破訊號、自己打網址、唔經連結交密碼、唔經短訊交驗證碼，呢啲習慣本身就是防線。生成式工具令假訊息更逼真之後，習慣同程序比「睇落真唔真」更可靠。

第二，BEC 擋得住的關鍵，係錢的覆核程序：改戶口資料要舊號碼回撥加雙人批核；「老闆急叫過數」要先收線再覆核。呢兩條規則唔使買工具，但係要寫成制度、貼出嚟、人人遵守，否則等於無。

第三，出事之後，次序就是止損：即刻做郵箱清理同證據保存；錢轉出咗，即刻搵銀行追回、報警、跟進可能凍結，並且明白取回要經過法庭程序；涉及個人資料，分開走私隱專員公署路線。所有未公佈、未確認的項目，簽約前問清楚，並要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。

免責聲明（重申）：本文章內容屬一般資訊，唔係法律意見。 個人資料外洩、報警、銀行追回款項或者法庭程序，應諮詢律師及相關機構。

最後覆核日期：2026-10-21

覆核依據：香港政府資訊保安（InfoSec）指引、HKCERT 公布及相關報道、香港金融管理局及警方防騙資料、私隱專員公署 2023 年 6 月 30 日數據外洩處理指引相關報道，以及本站 live /pricing／/terms 可見版（2026-10-21 核對）。

覆核週期：每 6 個月或法例／指引／條款有變時覆核。