我們近期發現一種新型網絡釣魚攻擊。不法分子通過高度仿真的郵件及虛假登入網站冒充 Moomoo，試圖獲取客户的帳戶信息。
此類騙局較難識別，因為詐騙郵件及網站可能高度模仿 Moomoo 的品牌標識、頁面佈局及文案內容。其目的是即時獲取您的登入信息及安全驗證碼，從而使不法分子能夠登入並控制您真實的 Moomoo 帳戶。
此類攻擊通常被稱為“中間人釣魚攻擊”（man-in-the-middle phishing scam）。
騙局如何運作？
此類騙局通常包括以下步驟：
1.傳送高度仿真的郵件
詐騙分子會傳送一封看似由 Moomoo 官方發出的通知郵件。郵件可能使用 Moomoo 的品牌標識，並以看似合理或具有時效性的帳戶事項作為理由。
例如，郵件可能聲稱您需要登入帳戶，以更新 W-8BEN 表格、確認税務信息、完成安全審核，或避免帳戶受到限制。
2.郵件將您引導至虛假登入頁面
郵件中會包含一個登入鏈接。點擊後，您將被引導至一個高度模仿 Moomoo 官方登入頁面的虛假網站。
虛假網站的網址可能僅在個別字母、符號或附加詞語上與官方網址有所不同。
3.您的登入信息被即時轉發
當您在虛假網站輸入用户名及密碼時，詐騙分子會同時將這些信息輸入或轉發至 Moomoo 的真實登入系統。
由於詐騙分子正在嘗試登入您的真實帳戶，Moomoo 的系統可能會向您登記的手機號碼傳送真實的一次性密碼或安全驗證碼。
4.詐騙分子獲取您的驗證碼
虛假網站會要求您輸入傳送至手機的安全驗證碼。詐騙分子隨後會立即將該驗證碼轉發至 Moomoo 的真實登入頁面。
收到真實的安全驗證碼，並不代表您正在使用的網站是真實網站。該驗證碼可能是由詐騙分子嘗試登入您的帳戶而觸發的。
5.您可能被要求批准新設備登入
您還可能會在已受信任設備上的 Moomoo App 內收到一項登入授權請求。
由於虛假網站已使您誤以為自己正在完成一項真實的 Moomoo 操作，您可能會按照頁面提示批准該請求。批准後，詐騙分子的設備可能會獲得訪問您帳戶的權限。
6.不法分子搶奪帳戶控制權
成功登入後，不法分子可能嘗試修改帳戶資料、進行未經授權的交易，或通過其他方式轉移帳戶內的資金及資產。
其中一種方式可能涉及在流動性較低的海外證券中進行協同交易，通過相關交易將帳戶價值轉移出去。由於此類交易可能涉及海外市場及多個司法管轄區，後續追蹤及追回資金通常較為困難。
為什麼安全驗證碼可能無法阻止此類騙局？
安全驗證碼及受信任設備授權能夠有效防範多種未經授權的帳戶訪問。
但如果客户受到欺騙，主動向詐騙分子提供驗證碼，或親自批准詐騙分子的登入請求，這些安全措施便可能無法阻止帳戶被入侵。
除非您本人通過真實的 Moomoo App 或官方網站主動發起登入，否則切勿輸入一次性驗證碼或批准新設備登入請求。
Moomoo 工作人員不會要求您向其披露帳戶密碼或一次性安全驗證碼。
需要留意的警示信號
如郵件或信息存在以下情況，請保持警惕：
要求您緊急登入，以更新税務、身份或帳戶信息；
聲稱您可能面臨預扣税、帳戶限制、帳戶暫停或無法登入；
包含您事先並未預期收到的登入鏈接；
將您引導至外觀真實但網址陌生的網站；
要求您提供密碼、短信驗證碼或其他安全信息；
導致您的 Moomoo App 內出現未經預期的新設備授權請求；或
催促您連續完成多項身份驗證步驟，不給您時間獨立核實相關要求。
郵件傳送人名稱、品牌標識及頁面外觀，並不能證明該郵件真實可信。
如何保護自己？
如需進行涉及帳戶安全的敏感操作，請直接打開 Moomoo App，或自行訪問 Moomoo 官方網站。請勿通過未經預期收到的郵件中的登入鏈接進入帳戶。
在輸入任何信息前，請仔細檢查完整的網址。不要僅憑頁面外觀判斷網站是否真實，因為虛假網站可能高度複製真實網站的品牌標識及頁面內容。
切勿向任何人提供您的帳戶密碼或一次性安全驗證碼。除非相關登入或新設備請求是由您本人通過 Moomoo 官方渠道發起，否則請勿批准。
如您無法確認某封郵件或信息是否真實，請立即停止操作，並通過 Moomoo App 或官方網站所列的正式聯絡方式與我們聯絡。
如果我已經輸入了帳戶信息，該怎麼辦？
如您懷疑自己可能已在虛假網站輸入信息，或批准了陌生的登入請求，請立即採取以下措施：
1.通過 Moomoo App 內的客户服務功能立即聯絡 Moomoo，或傳送郵件至 support@au.moomoo.com。
2.使用受信任設備修改您的 Moomoo 帳戶密碼。
3.修改您的電子電郵密碼，特別是當您使用了相同或相似密碼時。
4.請勿批准任何後續登入、設備授權或交易請求。
5.保存可疑郵件、網站地址、截圖及所有相關信息。
6.向 Scamwatch 及 ReportCyber 報告事件。如您的身份信息或個人資料可能已被盜用，IDCARE 亦可提供協助。
及時採取行動可能有助於防止進一步的未經授權活動。
保持警惕
網絡釣魚詐騙手法正變得日益複雜。即使郵件、網站或安全提示看起來真實，也可能是有組織的帳戶入侵行動的一部分。
請始終通過 Moomoo 官方 App 或官方網站訪問帳戶，獨立核實所有未經預期的通信，並切勿批准任何並非由您本人發起的身份驗證請求。
您亦可閲讀我們另行發佈的有關“拉高出貨（Pump and Dump）股票騙局”的風險提示文章。
