前言
近年網絡詐騙愈趨「擬真化」，騙徒愈來愈懂得借用政府名義與制式說辭下套。當收件箱彈出一封看似「正牌」的「領款通知書」，不少人或會因顯示的發件人地址與官方一致而放下戒心。問題在於：電郵地址可以被偽造，一個不慎開啟附件或輸入帳密，便可能令個人資料與公司系統門戶洞開。
事件概述｜冒認庫務署「領款通知書」電郵現蹤
庫務署提醒，近期出現冒認由該署發出、聲稱向收件人發送**「庫務署領款通知書」的欺詐電郵。相關電郵呼籲收件人打開附件，以圖盜取帳戶登入資料。署方強調，雖然電郵顯示的發件人地址與庫務署發放通知書所用的「pa@try.gov.hk」相同，但並非**由庫務署發出，雙方毫無關係。事件已轉交警方跟進；市民切勿開啟可疑電郵及其附件。
為何看似「真電郵」？你要知道的兩件事
1）發件人可被偽造
騙徒可透過技術手段偽裝顯示的發件人欄位，令電郵看起來來自官方地址；單靠電郵抬頭不足以證明真偽。
2）話術與版面仿真度高
從主旨、落款到PDF/ZIP等常見附件格式，騙徒往往複製官方語氣與版面，誘使收件人「先開再想」。一旦點擊附件或連結，木馬程式、假登入頁面便會接管後續流程。
市民自保清單｜收件先停一秒
不要開附件／按連結：凡牽涉領款、退款或帳戶重設的電郵，先獨立打開瀏覽器，手動輸入官方網址核實。
核對來源：對照以往官方通知慣常流程；如有疑問，透過政府官方網站或1823查詢，而非回覆電郵或點擊內文連結。
留意細節：語法錯漏、急切語氣、要求提供密碼／一次性驗證碼（OTP）等，均屬高風險訊號。
強化帳戶安全：啟用多重認證（MFA），定期更改強密碼，分開不同服務使用。
若已點擊／輸入資料：立即斷網、以乾淨裝置更改密碼、啟用MFA，並保留可疑電郵報案及作技術分析。
參考連結
— 香港警務處 CyberDefender：https://www.cyberdefender.hk
— 私隱專員公署：https://www.pcpd.org.hk
機構與學校也要做的三件事
安全通告與「假電郵」演習
定期向員工／學生推送近期釣魚樣態，進行模擬釣魚測試，建立「點擊前先求證」文化。
技術防線
部署電郵安全閘道與反惡意程式方案，核對來信的寄件網域驗證（如SPF、DKIM、DMARC）並加強隔離疑似釣魚來信。
單一回報渠道
設立「report-phish@…」或內部表單，鼓勵用戶一鍵上報可疑電郵，讓IT保安團隊第一時間封堵攻擊面。
常見Q&A｜兩個關鍵提問
Q：看到顯示是「pa@try.gov.hk」，可否相信？
A：不可單憑顯示地址判斷。顯示欄可被偽裝；請以官方網站及獨立電話核實，並警惕任何要求輸入密碼／OTP的指示。
Q：附件寫明是「通知書」，是否安全？
A：檔名與格式皆可仿冒。確需處理款項與帳務，請主動登入官方平台或致電查證，不要由電郵內連結帶路。
一圖看懂｜收到疑似公函電郵時的五步檢核
看寄件域名與語氣是否反常
不按內文連結，改用書籤或手輸官方網址
不開任何附件（尤其ZIP/EXE/宏啟用Office）
啟用MFA並檢查最近登入紀錄
向IT／警方回報，留存證據
灣聲評說
這宗假冒「領款通知書」是典型的「以公信力作包裝」的釣魚攻擊。公部門一紙澄清固然重要，但預警機制要前移——例如建立跨部門的「可疑公函黑名單」與即時通報頁，並把常用來往地址、簽署方式、通知流程公開成「信任基線」。與此同時，市民與企業也要把「零信任」當日常：看見官方名號，也先驗證流程；遇上附件與連結，先停一秒。當技術與習慣同時上鎖，釣魚的鉤子，自然難以下嚥。
