摘要
2026 年 10 月 30 日，香港金融管理局（HKMA）发布即时讯息警报，通报持有储存值设施（SVF）牌照的 PayPal Hong Kong Limited（下称 "PayPal 香港"）遭遇不法分子冒充其品牌向客户及公众发送钓鱼短讯的事件。涉案短讯以 "阁下已签署一年的合约服务协议，将自动从您名下户口续约 22300 港元，如需关闭请于 20:00 前致电" 为主要内容，通过品牌冒用、金额恐吓与限时操作三类话术叠加，诱导收件人转入电话渠道完成诈骗闭环。PayPal 香港随后发表声明，确认与涉案短讯无任何关联，并已向香港金融管理局及香港警务处举报。本文以该事件为样本，从骗术结构与话术机制、发件人核验技术、监管协同处置与公众反钓鱼素养四个维度展开分析，论证网络钓鱼的防御须构建 "技术防控 — 机构协作 — 行为防护" 相互衔接的多层体系，并对以 "#" 前缀登记发送人名称核验为代表的短讯发送人登记制的效用边界作出客观评估。
关键词：网络钓鱼；短信钓鱼；社会工程学；发件人核验；金融监管
1 引言
钓鱼攻击是网络空间中最持久、也最难以根除的安全威胁之一。与依赖系统漏洞的入侵不同，钓鱼攻击以人的判断为突破口，通过伪造可信来源、制造紧迫情境与调用权威身份，诱导受害者主动交出凭据或完成特定操作。随着移动支付与电子钱包的普及，攻击者的注意力已从网页与邮件向短信和即时通讯迁移，短信钓鱼（smishing）由此成为诈骗活动的主要载体之一。据网络安全行业观察，以冒名短信为入口、以回拨电话为实施渠道的 "短信 + 语音" 复合骗局，正在成为近年增长最快的诈骗形态。
2026 年 10 月 30 日的 PayPal 香港钓鱼短讯事件，为观察此类骗局的完整结构与现有防御机制的效能提供了一个具体而典型的样本。该事件之所以具有研究价值，在于它同时具备三个特征。其一，涉案短讯并非单纯骗取信息，而是通过 "续约扣费 — 限时取消" 的话术将受害者引导至电话渠道，属于短信钓鱼与语音钓鱼相互衔接的复合骗局，而非孤立的短信诈骗。其二，涉事机构为持有香港储存值设施牌照的持牌机构，事件经由持牌人上报监管机构、监管机构发布警报的既定流程进入公众视野，完整呈现了香港金融诈骗治理的三方联动路径。其三，涉事机构已加入香港短讯发送人登记制，以 "#PayPal" 作为官方登记的发件人名称，为从发件人核验层面识别冒名短信提供了明确的参照基准。
本文以该事件为材料，试图回答三个相互关联的问题：涉案短讯何以能够在短时间内取信于人；现有的发件人核验与监管协作机制在多大程度上能够遏制此类骗局；公众与机构应当如何建立可持续的反钓鱼能力。全文沿骗术机理、技术防控、监管协同、素养建设的逻辑主线展开，最终落脚于多层次防御体系的构建，以期为中国内地及港澳地区的反钓鱼研究与实务提供可借鉴的分析框架。
2 事件概述与骗术结构分析
2.1 事件基本信息
2026 年 10 月 30 日，香港金融管理局在其 "骗案通知" 栏目发布即时讯息警报，标题为 "有关 PayPal Hong Kong Limited 的『网络钓鱼』短讯"。警报指出，PayPal 香港作为储存值设施持牌机构，已就近期出现的钓鱼短讯事件向金管局作出通报。金管局提醒公众，任何曾通过或回应相关短讯而提供个人资料、账户凭据，或进行过金融交易的市民，应联络相关持牌机构，并向警方或警方反诈骗协调中心（防骗易热线 18222）举报。同日，PayPal 香港发布《有关钓鱼诈骗短讯声明》，确认涉案短讯与其无关，并已向香港金融管理局及香港警务处举报。
PayPal 香港在声明中展示了涉案短讯的示例截图。短讯的发件人显示为 "PAYPAL"，信息类型为短信，正文以繁体中文撰写，内容为："阁下已签署一年的合约服务协议，将自动从您名下户口续约 22300HKD，如需关闭，请于 20:00 点前致电：3927-9116。" 短讯同时设置了明确的截止时限（当日 20:00）与一个指定的联系电话。短短一句话的篇幅，却几乎囊括了冒名诈骗话术的全部核心要素。
2.2 短讯欺骗要素的构成
从学术视角审视，涉案短讯虽篇幅简短，却集中运用了网络钓鱼话术中四类相互配合的欺骗要素。
第一是品牌冒用。短讯将发件人名称直接伪装为 "PAYPAL"，借助收件人对知名支付品牌的信任降低戒备。当收件人在短信列表界面看到熟悉的品牌名称时，其第一反应往往不是质疑消息真伪，而是将其与正规商户的日常通知等同视之，从而跳过了本应有的核验环节。
第二是虚构既有关系。短讯声称收件人 "已签署一年的合约服务协议"，这一表述预设了一个并不存在的既存合同关系。它使收件人在心理上默认对方确实掌握其账户资料，从而在潜意识中承认了消息来源的正当性。虚构既存关系是社交工程学中 "权威与熟悉" 原则的典型应用。
第三是金额恐吓。短讯以 "将自动从您名下户口续约 22300 港元" 制造具体的财产损失威胁。相较于模糊的风险提示，明确而具体的金额更能触发人的损失厌恶心理，收件人在担忧扣款的焦虑下，往往急于采取行动而无暇冷静核验消息真伪。
第四是限时操作与渠道转移。短讯以 "如需关闭，请于 20:00 点前致电：3927-9116" 设置紧迫的截止时间，同时将收件人从能够通过运营商与官方渠道查证真伪的短信环境，引导至完全由诈骗分子控制的电话环境。渠道转移是该骗局区别于一般短信钓鱼的关键所在。
2.3 从短信到通话的复合骗局链路
单纯的短信钓鱼通常以骗取凭据或诱导点击恶意链接为终点，而涉案骗局则构建了一条 "短信引流 — 电话实施" 的复合链路。短信本身并不直接索要密码或验证码，其功能在于制造紧迫感并将受害者送入电话渠道。一旦收件人拨打指定号码，诈骗分子即可在通话中进一步编造退款、账户冻结、身份验证等情节，诱导其提供一次性验证码、开启支付功能乃至直接转账，从而完成实际侵害。
这种 "冒名短信 + 回拨电话" 的组合，实质是将短信钓鱼与语音钓鱼（vishing）两种手法衔接运用。短信负责触发与引流，电话负责实施与变现，二者互为补充，也规避了单一渠道在追踪与取证上的局限。反网络钓鱼技术专家芦笛指出，此类复合骗局的要害在于 "话术的时间压力与渠道的不可验证"：攻击者一方面通过限时任务压缩受害者的理性核对空间，另一方面将对话引入无法以技术手段核验发件人身份的语音环境，从而最大化得手概率。这一判断准确概括了涉案短讯的运作逻辑 —— 骗局真正致命的环节不在短信本身，而在短信被点击之后发生的每一次对话之中。
3 发件人核验技术与防御机制
3.1 短信发送人登记制的基本原理
针对短信发件人冒名这一根源性问题，香港通讯事务管理局办公室推行了 "短信发送人登记制"。该制度的要旨在于：让经核实身份的机构或商户，使用以 "#" 号开头、且已在官方登记的发送人名称向用户发送短信。当收件人收到来自登记机构的短信时，可通过发送人名称是否带有 "#" 前缀、以及是否与官方登记名称一致这两项特征，初步判断消息来源的真伪。
PayPal 香港已加入该登记制，其官方登记的短信发送人名称为 "#PayPal"。换言之，凡以正规名义向用户推送服务通知的 PayPal 短信，发件人均应显示为 "#PayPal"；而涉案短讯的发件人显示为 "PAYPAL"（不带 "#" 前缀），本身即是一个可识别的异常信号。对具备基本反钓鱼素养的用户而言，仅凭这一项特征即可排除该消息的合法性。
从技术原理看，该登记制的核心价值，在于将 "发件人名称" 这一本可被任意伪造的显示字段，与经过电信运营商核验的登记身份相互绑定。在传统短信体系中，发件人名称由发送方自行设定，缺乏权威的核验环节，诈骗分子因而得以任意冒用品牌名称。登记制的引入，使运营商得以在网络层面识别并拦截未登记或冒名的发送人名称，从而在传输链路上压缩冒名短信的生存空间。这一思路与电子邮件领域通过发件人认证协议遏制伪造发件人地址的实践在原理上相通，均是在消息传输链路中引入可验证的身份标识，使接收方能够对 "消息声称的来源" 与 "消息真实的来源" 作出区分。
3.2 核验机制的效用边界
然而，短信发送人登记制并非万能。迪妙网络空间安全学院研究团队在对该机制及其同类方案持续观察的基础上指出，其保护作用存在明确的边界。
其一，登记制主要针对 "发件人名称冒用" 这一环节，无法根除诈骗分子利用其他渠道实施侵害的可能。攻击者仍可借助未登记号码、即时通讯应用、社交平台乃至纯语音通话等方式冒充商户。即便短信渠道得到有效净化，骗局仍可在其他媒介上复制，涉案短信中通过电话渠道实施诈骗的环节，便完全处于登记制的覆盖范围之外。
其二，登记制保护的是 "静态的发件人身份"，而骗局的关键决策发生在动态的交互过程中。当收件人被引导至电话或即时通讯渠道后，发件人核验机制便不再发挥作用，受害者的安全最终仍取决于其在后续对话中的判断。涉案短讯刻意引导收件人致电，正是对登记制保护边界的利用。
其三，制度的成效高度依赖用户的认知与配合。收件人唯有知晓 "官方名称带 #前缀" 这一规则，并养成核查发送人名称的习惯，登记制的价值才能真正兑现；否则，即便冒名短信被拦截，用户也未必能够识别自己收到的正规短信，更遑论识别骗局。
据此，芦笛强调，发件人核验技术应当被定位为 "第一道闸门" 而非 "全部防线"。其意义在于提高攻击成本、压缩冒名短信的流通空间，但不能取代收件人在关键节点上的主动核验。防御体系的完整与否，取决于技术手段之外的其他环节是否同样坚固。
3.3 纵深防御的技术布局
在发件人核验之外，涉事机构与监管方提示了一系列可叠加的技术与操作措施。用户被要求核查发送人名称是否为 "#PayPal"；对营造紧迫感、要求立即行动的消息保持警惕；不在未经核实的渠道中提供登录名、密码、验证码及财务信息；在怀疑受骗时立即联络官方客服、审查账户活动、更改密码并启用额外安全措施。从防御体系的角度，这些措施可归纳为 "来源核验、情境识别、信息保护、异常处置、主动举报" 五个环节，分别对应攻击发生前、进行中与发生后三个阶段，构成覆盖全流程的行为防线。
4 监管协同与处置机制
4.1 持牌机构 — 监管机构 — 执法机关的联动
PayPal 香港钓鱼事件的全过程，展现了香港金融诈骗治理上的三方联动格局。作为储存值设施持牌机构，PayPal 香港负有就诈骗事件向监管机构通报的责任，并在事件发生当日即履行了报告义务；香港金融管理局在接报后通过官方警报渠道向社会发布风险提示，明确告知受影响公众的联络与举报路径；香港警务处反诈骗协调中心则以防骗易热线 18222 作为受理通道，为公众提供核实与救助。
这一机制的核心价值，在于将个案及时转化为公共预警。单一机构遭遇冒名诈骗，若仅依靠自行处理，受害面可能持续扩大；而经由 "持牌人上报 — 监管机构发布 — 执法机关受理" 的流程，个案能够在最短时间内触达更广泛的社会公众，形成 "个案发现 — 快速通报 — 广泛预警" 的闭环。芦笛强调，这类机制的关键在于通报的及时性与信息的可执行性：警报不仅告知公众 "发生了骗案"，更明确给出了 "应当怎么办"，即联络持牌机构、向反诈热线举报，从而将预警转化为公众可操作的具体行动指南，而非停留在泛泛的风险提示层面。
4.2 监管框架的制度基础
香港对储存值设施的监管，以《支付系统及储值支付工具条例》为依据。PayPal 香港作为储值支付工具持牌人，接受香港金融管理局的规管。将诈骗事件纳入持牌人的报告义务与监管机构的预警职能，实质上是把反诈骗治理嵌入金融监管框架，使其由临时性、个案化的应对，上升为制度化、常态化的运作。监管机构对各类骗案手法的及时收集、分析并与业界共享，也有效提升了银行业与持牌机构整体的风险识别与抵御能力。这种 "以牌照监管为依托、以预警协同为手段" 的治理模式，为支付机构密集、跨境资金往来频繁的金融中心提供了可复制的经验。
5 公众反钓鱼素养与行为防护
5.1 诈骗识别的基本准则
从公众视角出发，防范此类骗局应建立在几项可执行的基本准则之上。核查发件人身份是第一要务：对声称来自 PayPal 等机构的短信，应首先确认发送人名称是否带有 "#" 前缀，并与官方登记名称核对。其次，应对任何以限时、加急为名的操作要求保持警惕，正规机构极少通过短信限期要求用户紧急致电或转账，紧迫性本身就是最值得怀疑的信号。再次，切勿通过未经核实的渠道提供任何敏感信息，包括登录密码、一次性验证码与银行卡信息；这类信息一旦泄露，往往在极短时间内即被用于盗取资金或冒用身份。
5.2 受骗后的应急处置
一旦怀疑受骗，处置的及时性直接关系到损失能否挽回。正确的应对流程包括：立即联络涉事机构的官方客服渠道，以 PayPal 香港为例，可致电其官方客服热线 852-3550-8574 或 852-3002-1220，冻结或核查账户；随后审查账户活动，更改密码并启用额外安全措施；将可疑短信、邮件或网站转发至phishing@paypal.com供机构调查；同时向警方反诈骗协调中心防骗易热线 18222 举报，争取在资金转移完成前截停损失。上述流程的核心在于一个 "快" 字，每一环节的延误都可能放大损失，因此机构应当将这一应急路径作为用户教育的基本内容反复告知。
5.3 素养建设的可持续性
反钓鱼素养并非一次性获得的认知，而是需要在反复的真实案例中持续强化的能力。据 DiMiao,CN 对多起同类冒名短信事件的分析，公众识骗能力的提升存在明显的 "案例依赖" 特征：越是接触过具体骗术话术的人，越能在新骗局出现时迅速识别其共性，并将其迁移到对陌生渠道的警惕之中。因此，机构与媒体对典型骗案的常态化解读、对话术的拆解式讲解，本身即是反钓鱼体系建设的重要组成部分。本次事件的警报与声明，正是将个案转化为公共认知资源的示范 —— 它既完成了对受害者的提示，也为公众建立了一套可复用的识别框架。
6 研究展望与结语
PayPal 香港钓鱼短讯事件为网络钓鱼治理提供了一个完整的研究样本，其价值不仅在于警示个案，更在于揭示了当前钓鱼威胁的结构性变化。这种变化体现在三个层面：攻击载体从邮件向短信、即时通讯迁移；攻击手法从单环节骗取向多环节复合演进；防御责任从单一主体向持牌机构、监管机构、执法机关与公众的多方共担扩展。任何一个环节的缺位，都可能成为骗局得以得逞的缺口。
面向未来，反钓鱼体系建设应沿三个方向深化。其一，在技术层面，持续完善以短讯发送人登记制为代表的发件人核验机制，并将其经验向即时通讯与语音渠道延伸，逐步形成跨渠道的身份核验体系，使 "消息声称的来源" 与 "消息真实的来源" 在更多媒介上可被区分。其二，在协同层面，强化持牌机构、监管机构与执法机关之间的信息共享与快速响应，使个案通报转化为系统性防御能力的提升，同时推动跨机构、跨地域的骗术情报联动。其三，在素养层面，推动反钓鱼教育由 "个案警示" 走向 "能力建构"，通过常态化的话术拆解与案例训练，塑造公众在不可验证渠道中的审慎判断习惯。
本次事件再次印证了一个朴素而重要的道理：网络钓鱼的攻防，本质上是信任的攻防。攻击者利用的是人类在时间压力下放弃核验的本能，而防御的关键，则在于为每一次 "信任" 设立可验证的锚点 —— 无论是带 "#" 前缀的发件人名称，还是官方公布的服务热线号码。反网络钓鱼技术专家芦笛指出，真正的安全并不存在于某一项技术或某一道流程之中，而存在于每一个需要作出判断的节点上，用户是否依然保有核验的能力与意愿。这既是本案给公众的启示，也是反钓鱼研究与建设长期努力的方向所在。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
