我们近期发现一种新型网络钓鱼攻击。不法分子通过高度仿真的邮件及虚假登录网站冒充 Moomoo，试图获取客户的账户信息。
此类骗局较难识别，因为诈骗邮件及网站可能高度模仿 Moomoo 的品牌标识、页面布局及文案内容。其目的是实时获取您的登录信息及安全验证码，从而使不法分子能够登录并控制您真实的 Moomoo 账户。
此类攻击通常被称为“中间人钓鱼攻击”（man-in-the-middle phishing scam）。
骗局如何运作？
此类骗局通常包括以下步骤：
1.发送高度仿真的邮件
诈骗分子会发送一封看似由 Moomoo 官方发出的通知邮件。邮件可能使用 Moomoo 的品牌标识，并以看似合理或具有时效性的账户事项作为理由。
例如，邮件可能声称您需要登录账户，以更新 W-8BEN 表格、确认税务信息、完成安全审核，或避免账户受到限制。
2.邮件将您引导至虚假登录页面
邮件中会包含一个登录链接。点击后，您将被引导至一个高度模仿 Moomoo 官方登录页面的虚假网站。
虚假网站的网址可能仅在个别字母、符号或附加词语上与官方网址有所不同。
3.您的登录信息被实时转发
当您在虚假网站输入用户名及密码时，诈骗分子会同时将这些信息输入或转发至 Moomoo 的真实登录系统。
由于诈骗分子正在尝试登录您的真实账户，Moomoo 的系统可能会向您登记的手机号码发送真实的一次性密码或安全验证码。
4.诈骗分子获取您的验证码
虚假网站会要求您输入发送至手机的安全验证码。诈骗分子随后会立即将该验证码转发至 Moomoo 的真实登录页面。
收到真实的安全验证码，并不代表您正在使用的网站是真实网站。该验证码可能是由诈骗分子尝试登录您的账户而触发的。
5.您可能被要求批准新设备登录
您还可能会在已受信任设备上的 Moomoo App 内收到一项登录授权请求。
由于虚假网站已使您误以为自己正在完成一项真实的 Moomoo 操作，您可能会按照页面提示批准该请求。批准后，诈骗分子的设备可能会获得访问您账户的权限。
6.不法分子抢夺账户控制权
成功登录后，不法分子可能尝试修改账户资料、进行未经授权的交易，或通过其他方式转移账户内的资金及资产。
其中一种方式可能涉及在流动性较低的海外证券中进行协同交易，通过相关交易将账户价值转移出去。由于此类交易可能涉及海外市场及多个司法管辖区，后续追踪及追回资金通常较为困难。
为什么安全验证码可能无法阻止此类骗局？
安全验证码及受信任设备授权能够有效防范多种未经授权的账户访问。
但如果客户受到欺骗，主动向诈骗分子提供验证码，或亲自批准诈骗分子的登录请求，这些安全措施便可能无法阻止账户被入侵。
除非您本人通过真实的 Moomoo App 或官方网站主动发起登录，否则切勿输入一次性验证码或批准新设备登录请求。
Moomoo 工作人员不会要求您向其披露账户密码或一次性安全验证码。
需要留意的警示信号
如邮件或信息存在以下情况，请保持警惕：
要求您紧急登录，以更新税务、身份或账户信息；
声称您可能面临预扣税、账户限制、账户暂停或无法登录；
包含您事先并未预期收到的登录链接；
将您引导至外观真实但网址陌生的网站；
要求您提供密码、短信验证码或其他安全信息；
导致您的 Moomoo App 内出现未经预期的新设备授权请求；或
催促您连续完成多项身份验证步骤，不给您时间独立核实相关要求。
邮件发送人名称、品牌标识及页面外观，并不能证明该邮件真实可信。
如何保护自己？
如需进行涉及账户安全的敏感操作，请直接打开 Moomoo App，或自行访问 Moomoo 官方网站。请勿通过未经预期收到的邮件中的登录链接进入账户。
在输入任何信息前，请仔细检查完整的网址。不要仅凭页面外观判断网站是否真实，因为虚假网站可能高度复制真实网站的品牌标识及页面内容。
切勿向任何人提供您的账户密码或一次性安全验证码。除非相关登录或新设备请求是由您本人通过 Moomoo 官方渠道发起，否则请勿批准。
如您无法确认某封邮件或信息是否真实，请立即停止操作，并通过 Moomoo App 或官方网站所列的正式联系方式与我们联系。
如果我已经输入了账户信息，该怎么办？
如您怀疑自己可能已在虚假网站输入信息，或批准了陌生的登录请求，请立即采取以下措施：
1.通过 Moomoo App 内的客户服务功能立即联系 Moomoo，或发送邮件至 support@au.moomoo.com。
2.使用受信任设备修改您的 Moomoo 账户密码。
3.修改您的电子邮箱密码，特别是当您使用了相同或相似密码时。
4.请勿批准任何后续登录、设备授权或交易请求。
5.保存可疑邮件、网站地址、截图及所有相关信息。
6.向 Scamwatch 及 ReportCyber 报告事件。如您的身份信息或个人资料可能已被盗用，IDCARE 亦可提供协助。
及时采取行动可能有助于防止进一步的未经授权活动。
保持警惕
网络钓鱼诈骗手法正变得日益复杂。即使邮件、网站或安全提示看起来真实，也可能是有组织的账户入侵行动的一部分。
请始终通过 Moomoo 官方 App 或官方网站访问账户，独立核实所有未经预期的通信，并切勿批准任何并非由您本人发起的身份验证请求。
您亦可阅读我们另行发布的有关“拉高出货（Pump and Dump）股票骗局”的风险提示文章。
