付款工具、電子錢包或會員服務突然提示「版本過舊」，再引導你從網站下載安裝檔，看起來可能只是一般更新。真正需要核對的，不是畫面像不像官方，而是下載來源、應用程式身份與它要求取得的權限。
最新警示：假網站不只偷資料，也可能誘導下載假 App
八達通卡有限公司在 2026 年 10 月 26 日發布可疑網站及應用程式警示，指出一個與八達通無關的可疑網站可能誘導客戶下載可疑應用程式。公告提醒，只應從官方應用程式商店下載或更新八達通 App，並說明八達通不會透過短訊、電郵、社交媒體貼文或其中的超連結，要求客戶核實個人或帳戶資料。
香港金融管理局同日亦發布相關欺詐網站通知，提醒曾向該網站提供個人或戶口資料、或曾進行交易的人，應聯絡有關儲值支付工具持牌人並向警方報案，或致電反詐騙協調中心 18222。
這兩則官方資料針對八達通個案，不表示其他付款 App 或 28BET 發生相同事故。對一般讀者最有用的訊號是：假冒網站的目標可能從索取資料延伸至安裝程式，因此「我還沒有輸入密碼」並不代表已經沒有風險。
安裝或更新前，先完成六步核對
1. 離開訊息內的下載連結
不要直接從短訊、電郵、社交媒體廣告、客服聊天或彈出視窗下載 App。先關閉該頁，再從自己原本使用的官方網站、手機內既有 App 的說明，或作業系統的正式應用程式商店搜尋。
若 Android 網頁直接提供 APK 檔，或要求先開啟「允許安裝未知應用程式」，應把它視為高風險步驟，而不是一般更新流程。iPhone 若被要求安裝描述檔、企業憑證或裝置管理設定，也要停止並獨立核實。
2. 核對開發者，而不只看名稱與圖示
假 App 可以複製品牌名稱、標誌、截圖和評價文字。進入正式商店後，仍要檢查開發者名稱、官方網站連結、更新紀錄與既有下載頁是否一致。較安全的做法，是從服務商官方網站提供的商店連結進入，再比對開發者資訊；搜尋結果排在前面或頁面有廣告標示，都不是官方身份證明。
3. 把「更新」與「重新驗證帳戶」分開
更新 App 不等於需要把密碼、信用卡資料、一次性密碼、助記詞或私鑰交給下載頁面。若網頁先要求輸入敏感資料，之後才讓你取得安裝檔，應停止操作。真正需要重新登入時，也應在已核實的官方 App 或網站內完成，而不是把驗證碼回填到訊息提供的頁面。
4. 看清楚權限的實際效果
手電筒、遊戲或優惠 App 若要求讀取短訊、通知、通訊錄、螢幕內容、輔助使用權限或裝置管理權限，不能只因它解釋為「安全驗證」便批准。八達通的網上服務安全資訊指出，假冒 App 可能用來控制手機、竊取個人及信用卡資料、密碼，甚至在用戶不知情下登入流動理財或支付工具。
尤其要留意可讀取驗證碼、覆蓋其他 App 畫面、錄製螢幕或遠端控制裝置的權限。功能與權限對不上時，先取消，不要以「安裝後再關掉」作測試。
5. 不要讓客服代你完成裝置設定
任何人要求你共享畫面、安裝遠端控制工具、關閉系統保護，或逐步指示你開啟未知來源安裝，都已超出普通客服核實。應結束原通話，使用服務商官方首頁、卡背電話或原 App 內的支援入口重新聯絡。
香港警方「守網者」的釣魚攻擊說明提醒，假冒訊息常以帳戶異常、積分到期或需要核實作藉口，把使用者帶往假網站或惡意附件；網址與官方網域有出入、按鈕失效或要求敏感資料，都是需要停下查證的訊號。
6. 更新完成後仍要核對帳戶狀態
從正確來源更新，只回答了安裝來源的問題，不能自動證明帳戶沒有異常。重開 App 後，檢查近期登入、綁定裝置、付款方式與交易紀錄；看到不認識的變更，應從官方渠道立即處理。不要用另一筆付款測試帳戶是否安全，也不要把「App 可以開啟」當成所有資料都未外洩。
已經安裝可疑 App，應如何處理？
- 先停止操作並中斷可疑連線。 不要再輸入密碼、驗證碼或付款資料，也不要接受對方新的遠端指示。
- 記錄發生過程。 保存訊息來源、網站地址、檔案名稱、安裝時間、被要求開啟的權限及可疑交易；截圖時遮住密碼、驗證碼與私鑰。
- 使用另一部可信裝置保護重要帳戶。 更改已輸入過的密碼、撤銷陌生工作階段並開啟適當的多重驗證。若涉及銀行卡、電子錢包或支付帳戶，直接聯絡相關機構說明已安裝可疑程式。
- 移除可疑權限與程式。 先取消裝置管理、輔助使用、螢幕錄製或未知來源安裝等權限，再依裝置官方指引移除；無法確認裝置是否乾淨時，向可信技術支援求助。
- 有未授權交易便儘快報告。 聯絡支付機構或銀行，並按所在地程序向警方報案。香港使用者可致電 18222 諮詢。
如果可疑頁面還要求你在電腦貼上指令，可參考本站的ClickFix 假驗證與假修復說明；若已發現陌生登入，則可按帳戶登入安全檢查清單逐項處理。
最重要的判斷：更新來源應由你主動選擇
真正的更新流程應讓你能離開原訊息，仍可從官方入口找到相同版本或通知。若整個流程只能沿對方的連結完成，還要求開啟未知來源、交出驗證碼或讓客服遠端操作，就不應因畫面有品牌標誌、倒數時間或「安全認證」字樣而繼續。
先回到正式商店核對開發者，再決定是否安裝；涉及帳戶或付款時，再用獨立渠道確認。這兩道檢查，比嘗試靠圖示、排版或網址鎖頭辨認真假更可靠。
本文由 AI 輔助整理，資料核對日期：2026-10-29；請以所列官方來源的最新資訊為準。