陌生來電或訊息能準確說出你的姓名、電郵、公司職位，甚至最近的訂單或行程，是否代表對方就是官方客服？答案是否定的。真實資料只能證明對方掌握了資料，不能證明對方的身分，也不能證明他接下來要求你登入、分享驗證碼或轉帳的指令可信。
這個問題近日同時出現在香港消費者警示與加密產業的安全事件中。理解「資料是真的」與「來電者是真的」之間的差別，可以避免在退款、帳戶保安或密碼重設等話術下倉促操作。
最新事件確認了什麼？
Chainalysis 在 2026 年 10 月 30 日公布安全事件，並於 11 月 2 日更新進度。其官方事件說明表示，根據當時調查，未發現調查內容、交易或查詢結果、明文密碼、MFA 秘密或使用者工作階段令牌遭未授權存取；但部分使用者 ID、姓名、電郵地址及機構職位標籤等資料曾被存取。官方亦提醒用戶留意突如其來的密碼重設要求或驗證提示，並建議尚未啟用雙重驗證的機構採取相關措施。
這裡有一個容易被忽略的重點：某些資料被機構分類為「非敏感」，不代表它們對詐騙者沒有價值。姓名、電郵與職位可以被組合成高度個人化的訊息，令假冒客服、主管或合作夥伴的內容看起來更合理。
香港網絡安全事故協調中心在 10 月 27 日的資料外洩與假冒客服警示亦指出，香港航空及友和香港已知事故合共涉及超過 1,600 名市民，受影響資料包括姓名、電話、航班或訂單資料。HKCERT 強調，即使對方能說出正確行程、購物紀錄或送貨資料，也不代表對方是真正職員。
上述事件各自有不同背景，不能互相推論，也不表示 28BET 發生資料外洩。本文要處理的是共同的使用者問題：當訊息內容含有真實資料時，應如何核實後續指令。
為什麼真實資料不能當作身分證明？
資料可能來自不同地方，例如服務供應商事故、第三方平台、舊有外洩資料、公開職業資訊，或此前的釣魚對話。收到訊息的人通常無法單憑內容判斷資料來源。
騙徒真正需要的未必是你的完整密碼。他可以先用部分真實資料建立信任，再聲稱需要「退款驗證」、「修復帳戶」或「確認異常登入」，引導你開啟假網站、批准登入提示、分享螢幕，或把 USDT 轉到指定地址。一旦操作由你親自完成，後續追查會更困難。
因此，核對重點不應是「他知道多少」，而是「這項要求能否在我自行開啟的官方渠道中獨立證實」。
收到精準假客服訊息的四步核對法
1. 把資料準確度與指令真偽分開
先承認對方說出的資料可能是真的，但不要因此接受他的結論。姓名、職位、訂單號碼或航班資料，只能視為待查線索。任何要求立即登入、付款、提供 OTP、批准 MFA 或更改安全設定的內容，都應另外核實。
2. 完全離開原訊息再找官方渠道
不要按訊息中的連結、掃描其中的 QR Code，也不要致電對方提供的號碼。自己開啟已安裝的官方 App、手動輸入官方網址，或從機構公開網站查找客服資料。若帳戶真的被限制、退款正在處理或密碼需要重設，官方帳戶內通常應有相符紀錄。
3. 不批准自己沒有發起的驗證
突如其來的密碼重設電郵、登入批准通知、裝置碼或 MFA 提示，不應因對方能說出你的資料就通過。先拒絕或關閉提示，再檢查目前登入工作階段、復原電郵與電話是否被修改。若想了解合法頁面也可能被利用的情況，可參考本站的裝置碼釣魚核對指南。
4. 依已交出的資料分流處理
若只是收到訊息而沒有互動，保存截圖並封鎖可疑來源即可；若已輸入密碼，立即從官方渠道更改為獨立密碼、登出不明工作階段並啟用 MFA；若曾分享螢幕、安裝程式或批准遠端控制，應中止連線、移除不明軟件並檢查裝置；若已轉帳或傳送 USDT，立即聯絡實際使用的銀行、錢包或平台，保存時間、金額、收款資料與 TxID。及早報告有助調查，但不能保證交易可以追回。
收到正式資料外洩通知後要做什麼？
先從機構官方網站確認通知是否存在，以及事件涉及哪些資料。不要因公告提到「沒有密碼外洩」就完全忽略後續風險；姓名、電郵、電話與職位仍可能被用來製作針對性訊息。
接著檢查與該電郵相關的重要帳戶，確保每個帳戶使用不同密碼，並查看近期登入與復原設定。電郵帳戶尤其重要，因為其他服務的重設連結通常會送到電郵。更完整的事故後檢查，可參考帳戶外洩後的登入安全清單。
HKCERT 建議，若懷疑個人資料被濫用或已受騙，應通知相關機構，監察銀行、信用卡、電郵及其他帳戶活動；曾開啟螢幕共享或安裝不明程式的人，亦應檢查裝置安全。香港用戶需要協助時，可透過警方防騙易熱線 18222 查詢；聯絡資料應從官方網站重新取得。
常見問題
對方能說出完整訂單號碼，是否可以繼續對話？
不建議在原對話內處理帳戶或付款。完整訂單號碼可能來自外洩資料或先前紀錄。記下事件後，關閉對話，改用官方 App、網站或自行查得的服務熱線核實。
公告說沒有密碼或工作階段令牌外洩，還要改密碼嗎？
應按官方公告、帳戶活動及個人風險決定，不必把所有事件都理解成密碼已失竊。但若密碼重複使用、收到未發起的重設通知，或發現不明登入，便應立即更改相關密碼並檢查其他共用密碼的帳戶。
客服要求把資金轉到「安全地址」怎麼辦？
停止操作。不要把 USDT 或其他資產轉往來電者或訊息指定的新地址，也不要用轉帳來「驗證身分」。自行聯絡原平台，從帳戶內核對是否真的有安全事件或資金處理要求。
本文由 AI 輔助整理，資料核對日期：2026-11-04；請以所列官方來源的最新資訊為準。