电子支付骗案｜金管局揭“假退款”陷阱 近400宗支付卡遭绑骗徒手机钱包

手机轻触一下便能付款，方便之余亦成为骗徒的新目标。香港金融管理局周五（4日）公布，近日接获银行报告，涉及支付卡、包括自动柜员机提款卡，在未经持卡人真正知情下被绑定至骗徒控制的非接触式流动支付装置。

假扮网购平台　声称快递遗失可退款

据初步统计，本港主要零售银行近期共发现约400宗同类骗案。金管局已向银行业界分享相关行骗手法，要求银行提高警觉及加强客户教育。

金管局表示，骗徒通常透过钓鱼短信、虚假网站或电话，冒充网购平台、商户或其他机构，声称快递遗失、订单出错，或可以就货品作出赔偿及退款，诱使受害人按下讯息内的超连结。

受害人进入仿真度甚高的假网站后，骗徒会逐步“指导”他们输入支付卡号码、保安码（CVV）、一次性密码（OTP）、网上银行登入资料，甚至自动柜员机私人密码（PIN）。

取得资料后，骗徒会尝试把受害人的支付卡绑定至自己控制的手机或其他流动装置，再诱导受害人于手机银行应用程式或银行发出的双向短信内，批准有关绑卡要求。

受害人亲手批准　骗徒跨过最后防线

金管局指出，银行已采用生物认证、手机银行应用程式确认及双向短信等双重或额外认证措施。问题是，不少受害人误以为自己正在确认退款或核实身份，最终按照骗徒指示，亲手批准实际由骗徒发起的绑卡要求。

支付卡成功绑定后，骗徒的装置便可能被系统视为已获持卡人授权的付款工具，继而用作进行未经授权交易。过往金管局的消费者资料亦提醒，信用卡绑定流动支付服务后，银行会向登记电话发出通知；部分后续交易未必再次要求输入一次性密码，因此持卡人必须即时处理来历不明的绑卡通知。

金管局曾要求银行加强绑卡认证

同类骗案并非首次出现。金管局早于2023年已要求发卡银行，在卡资料及一次性密码以外，增加另一重确认程序，例如双向短信、手机应用程式确认或电话回拨，核实绑卡指示确实来自持卡人。

然而，新一轮骗案显示，技术防线仍可能遭“社交工程”攻破。骗徒不一定要破解银行系统，只要令受害人误解通知内容，并自行交出资料及批准要求，便有机会绕过多重验证。

金管局提醒，绑定支付卡属高风险操作，市民必须提高警觉：

一、切勿点击来历不明短信、电邮或即时通讯讯息内的超连结；

二、切勿向任何人透露支付卡资料、提款卡私人密码、银行登入密码、保安码或一次性密码；

三、不要依照身份不明或未经核实人士的指示，在银行应用程式或双向短信中批准任何要求或交易；

四、仔细阅读银行发出的每项通知，核对操作类别、装置及用途；若绑卡要求并非由本人发起，应立即拒绝；

五、如收到退款通知，应自行开启商户官方应用程式，或使用官方网站及客户服务电话查证，不应使用对方提供的连结及联络方法。

市民一旦发现不明绑卡通知、可疑流动支付交易，或曾在怀疑钓鱼网站输入资料，应立即联络发卡银行，要求暂停支付卡、解除陌生装置及检查交易纪录，同时更改网上银行密码。

怀疑受骗者亦应尽快向警方报案，并可致电警方“防骗易18222”热线寻求协助。

这类骗案最危险之处，是骗徒把“保安确认”包装成“退款程序”。面对手机弹出的批准通知，与其相信电话另一端催促你的人，不如相信萤幕上清楚写着的操作内容；多花半分钟核实，可能就是守住户口的最后一道门。