2026 年主要手機安全風險：香港用戶面對的威脅
從針對八達通用戶的 smishing 活動到複雜的 spyware 及香港機場的 juice jacking——香港智能手機用戶面對的手機威脅全景圖。
從針對八達通用戶的 smishing 活動到複雜的 spyware 及香港機場的 juice jacking——香港智能手機用戶面對的手機威脅全景圖。
短訊 phishing——即 smishing——一直是香港最常見的手機網絡威脅。香港警方 ↗網絡安全及科技罪案組（CSTCB）每年記錄數以萬計的 smishing 投訴，總財務損失達數十億港元。攻擊者發送大量短訊，冒充受信任的機構：HSBC、恒生銀行、香港郵政、入境事務處、稅務局和八達通卡系統。
這些訊息通常製造緊迫感——「你的帳戶已被暫停」、「有包裹等待繳付海關費」、「你的報稅表需要立即核實」——並將受害者引導至收集憑證、信用卡號碼或一次性密碼的令人信服的偽造網站。現代 smishing 活動通過短訊欺騙使用看似合法的發件人 ID，使其在不仔細審查所連結的網址時與真實訊息難以區分。
在 2026 年，人工智能生成的 smishing 訊息日益令人擔憂。大型語言模型允許攻擊者大規模生成語法完美、語境恰當的英文和繁體中文 phishing 訊息，消除了以往作為可靠警示的拼寫和語法錯誤。使用人工智能語音克隆冒充銀行職員和政府官員的語音 phishing（vishing）電話在香港也越來越多被報告。
手機 malware 已遠遠超越粗糙的病毒。現代手機威脅包括：在合法銀行應用程式上方覆蓋偽造登入介面以竊取憑證的銀行木馬、靜默錄製通話和訊息的 spyware、加密設備存儲並勒索付款的 ransomware，以及在後台消耗設備資源挖掘加密貨幣的加密貨幣挖礦程式。由於側載的可用性，Android 設備面對的 malware 量遠多於 iOS，但兩個平台都曾遭受複雜的定向攻擊。
由以色列 NSO 集團開發的 Pegasus 代表手機 spyware 光譜中最複雜的一端。它利用零點擊漏洞——完全不需要用戶互動——完全控制 iPhone 或 Android 設備：讀取訊息、錄製通話、啟動攝影機和麥克風，以及竊取位置歷史。雖然 Pegasus 主要針對記者、活動人士和知名人士，但它已被記錄在香港地區使用，展示了資源充足的對手所具備的能力。
對於普通香港用戶而言，更實際的威脅來自以「家長監控」工具出售的商業 stalkerware——這些應用程式通常被秘密安裝在伴侶或員工的手機上。這些應用程式靜默運行，隱藏其圖標，並將位置、訊息、通話記錄和瀏覽歷史報告給第三方伺服器。它們通常通過直接實體接觸設備分發，構成嚴重的私隱和安全威脅，在家庭暴力情況下尤為如此。
香港是全球連接最密集的城市之一，在整個港鐵網絡、政府設施、主要購物中心以及數百個商業場所均提供免費公共 WiFi。這種連接性帶來了風險。公共 WiFi 網絡是中間人攻擊的理想環境，攻擊者在同一網絡上截取你的設備與互聯網之間的流量——可能捕獲登入憑證、會話 cookie 和敏感數據。
惡意雙胞胎攻擊——攻擊者創建與合法網絡同名的 WiFi 網絡——在高流量地點特別有效。你的手機可能在沒有任何警告的情況下自動連接至惡意的「MTR_Free_WiFi」或「HK Airport WiFi」網絡。一旦連接，所有未加密的流量對攻擊者都是可見的，即使是加密的 HTTPS 流量也可能通過 SSL 剝離攻擊成為目標，前提是受害者的設備被迫降級至 HTTP。
Juice jacking 代表相關的實體網絡威脅。惡意 USB 充電站——在機場、購物中心和酒店均有報告——可以在為你的設備充電的同時嘗試通過 USB 數據通道傳輸 malware 或竊取數據。這種攻擊媒介對商務旅客在抵達香港前或離港時在國際機場連接時尤為令人擔憂。
針對手機用戶的帳戶接管攻擊變得越來越複雜。SIM 交換——攻擊者說服流動電訊商將你的電話號碼轉移至他們控制的 SIM 卡——允許他們接收你的短訊驗證碼，並有效繞過基於短訊的雙重驗證。一旦攻擊者控制你的電話號碼，他們就可以重置銀行應用程式、電郵帳戶以及任何使用短訊作為恢復方式的服務的密碼。
在香港，SIM 交換攻擊已針對三大主要電訊商（HKT、HGC 和 CMHK）的用戶。這些攻擊通常涉及對電訊商客服人員的社會工程，或使用通過數據洩露或 phishing 獲取的身份證明文件。受害者通常在其手機突然失去所有信號時發現這次攻擊——即攻擊者欺詐性轉移完成的那一刻，他們的 SIM 卡被停用。
防禦 SIM 交換的方法是盡可能從基於短訊的 2FA 遷移。Google Authenticator、Authy 或 Microsoft Authenticator 等認證應用程式在你的設備上本地生成基於時間的一次性密碼（TOTP）——它們無法通過 SIM 交換被截取。硬件安全密鑰（FIDO2）為關鍵帳戶提供最強的保護。此外，聯繫你的流動電訊商設置 SIM 鎖定或轉出 PIN，要求在任何 SIM 轉移可以處理之前進行額外驗證。
