【方保僑 - 天方夜談】精準騙案背後的玄機

香港近期接連爆出多宗「精準電話詐騙」事件，涵蓋大型航空企業及本地知名連鎖電器及網購平台。市民在消費或確認機票後短短數小時內，隨即收到自稱商戶客服的詐騙來電。騙徒竟然能精準讀出事主的中文全名、產品型號、成交金額，甚至是詳細送貨地址或航班編號等。這種「度身訂造」的詐騙劇本比傳統隨機詐騙更具欺騙性，令高警覺性市民亦猝不及防。

騙徒能精確掌握細節，關鍵在於企業生態圈中最脆弱的一環：第三方服務供應商的「供應鏈攻擊」。大眾常質疑企業的核心伺服器失守，但實情是核心資料庫全面淪陷的機會相對較低。現今企業運作高度倚賴雲端生態，無論是處理在線即時對話的客戶服務系統、負責發送驗證碼與推廣訊息的短訊網關（SMS Gateway），還是委託外判的物流送貨平台，都擁有即時存取客戶訂單的權限。近期多個行業同時爆發性質相近的個人資料洩漏，極有可能是黑客避開了嚴密防守的總部防火牆，改為攻陷這類資安監管相對薄弱的中間節點，進而竊取數據。

更值得社會深思的是，外洩資料流入暗網後，已被人工智能技術全面武器化。以往黑客取得海量數據後需大量人手撥打電話，效率有限；如今犯罪集團利用生成式AI與自動化腳本，數秒內即可分析受害人的即時狀態，自動篩選出「即將登機」或「剛剛付款」等處於焦慮等待狀態的高危目標。配合自動生成極具香港本地語氣與客服口吻的劇本，甚至透過深度偽造技術生成客服專員語音，讓整個詐騙過程逼真得難以辨認。

防範這類高科技精準詐騙，商戶與公眾都須更新認知。企業不能再抱著將服務外判即外判責任的心態，必須定期對第三方合作夥伴實施嚴格的資訊安全審計，並採用「零信任」架構與數據最小化原則，杜絕外判系統長時間存儲或無限制存取敏感個人資料。對廣大市民而言，面對任何突如其來的退款手續、航班取消或系統扣錯款通知，無論對方能報出多詳盡的個人資料，均切勿點擊即時通訊軟件傳來的短連結，亦絕不可輸入信用卡CVV碼或銀行一次性OTP動態密碼。唯一可靠的自保法則，是立即掛斷通話並透過官方應用程式或官網親自核實。唯有企業築牢資安防線，市民保持警覺查證，方能在此類個資外洩與高科技詐騙交織的時代，共同守護財產與資訊安全。

（作者為香港資訊科技商會榮譽會長方保僑。題為編輯擬定。以上內容純屬作者個人意見，並不代表本網立場。）