電子支付騙案｜金管局揭「假退款」陷阱 近400宗支付卡遭綁騙徒手機錢包

手機輕觸一下便能付款，方便之餘亦成為騙徒的新目標。香港金融管理局周五（4日）公布，近日接獲銀行報告，涉及支付卡、包括自動櫃員機提款卡，在未經持卡人真正知情下被綁定至騙徒控制的非接觸式流動支付裝置。

假扮網購平台　聲稱快遞遺失可退款

據初步統計，本港主要零售銀行近期共發現約400宗同類騙案。金管局已向銀行業界分享相關行騙手法，要求銀行提高警覺及加強客戶教育。

金管局表示，騙徒通常透過釣魚短訊、虛假網站或電話，冒充網購平台、商戶或其他機構，聲稱快遞遺失、訂單出錯，或可以就貨品作出賠償及退款，誘使受害人按下訊息內的超連結。

受害人進入仿真度甚高的假網站後，騙徒會逐步「指導」他們輸入支付卡號碼、保安碼（CVV）、一次性密碼（OTP）、網上銀行登入資料，甚至自動櫃員機私人密碼（PIN）。

取得資料後，騙徒會嘗試把受害人的支付卡綁定至自己控制的手機或其他流動裝置，再誘導受害人於手機銀行應用程式或銀行發出的雙向短訊內，批准有關綁卡要求。

受害人親手批准　騙徒跨過最後防線

金管局指出，銀行已採用生物認證、手機銀行應用程式確認及雙向短訊等雙重或額外認證措施。問題是，不少受害人誤以為自己正在確認退款或核實身份，最終按照騙徒指示，親手批准實際由騙徒發起的綁卡要求。

支付卡成功綁定後，騙徒的裝置便可能被系統視為已獲持卡人授權的付款工具，繼而用作進行未經授權交易。過往金管局的消費者資料亦提醒，信用卡綁定流動支付服務後，銀行會向登記電話發出通知；部分後續交易未必再次要求輸入一次性密碼，因此持卡人必須即時處理來歷不明的綁卡通知。

金管局曾要求銀行加強綁卡認證

同類騙案並非首次出現。金管局早於2023年已要求發卡銀行，在卡資料及一次性密碼以外，增加另一重確認程序，例如雙向短訊、手機應用程式確認或電話回撥，核實綁卡指示確實來自持卡人。

然而，新一輪騙案顯示，技術防線仍可能遭「社交工程」攻破。騙徒不一定要破解銀行系統，只要令受害人誤解通知內容，並自行交出資料及批准要求，便有機會繞過多重驗證。

金管局提醒，綁定支付卡屬高風險操作，市民必須提高警覺：

一、切勿點擊來歷不明短訊、電郵或即時通訊訊息內的超連結；

二、切勿向任何人透露支付卡資料、提款卡私人密碼、銀行登入密碼、保安碼或一次性密碼；

三、不要依照身份不明或未經核實人士的指示，在銀行應用程式或雙向短訊中批准任何要求或交易；

四、仔細閱讀銀行發出的每項通知，核對操作類別、裝置及用途；若綁卡要求並非由本人發起，應立即拒絕；

五、如收到退款通知，應自行開啟商戶官方應用程式，或使用官方網站及客戶服務電話查證，不應使用對方提供的連結及聯絡方法。

市民一旦發現不明綁卡通知、可疑流動支付交易，或曾在懷疑釣魚網站輸入資料，應立即聯絡發卡銀行，要求暫停支付卡、解除陌生裝置及檢查交易紀錄，同時更改網上銀行密碼。

懷疑受騙者亦應盡快向警方報案，並可致電警方「防騙易18222」熱線尋求協助。

這類騙案最危險之處，是騙徒把「保安確認」包裝成「退款程序」。面對手機彈出的批准通知，與其相信電話另一端催促你的人，不如相信螢幕上清楚寫着的操作內容；多花半分鐘核實，可能就是守住戶口的最後一道門。