瀏覽器通知騙局（Browser Notification Scam）是一種欺騙性活動：誘使用戶授予網站通知權限，再利用瀏覽器推送的訊息宣傳假保安警告、獎品、訂閱、客戶服務騙局、釣魚頁面或不需要的下載。［1］網站不會單因被開啟就取得權限，必須先由用戶批准瀏覽器的權限提示；不過頁面可能把這個要求偽裝成 CAPTCHA、影片檢查、年齡確認、下載步驟或「按允許以繼續」的指示。［2］

授權後，Web Push 權限可讓網站在分頁關閉後繼續發送通知。訊息可能出現在真正的作業系統提示旁，比一般網頁橫額更顯權威。但這種持續性不代表裝置必然中了惡意軟件：瀏覽器可能只是在行使已儲存的網站權限。如果陌生提示反覆出現，應把它當作垃圾通知而非真正警告：一般的處理方法是到瀏覽器設定撤銷該網站的通知權限，而不是點擊提示本身。

關鍵要點

正當網站應說明為何需要通知；「按允許以證明你是真人」不是有效的驗證步驟。

跟隨任何提示前，先辨認發送它的瀏覽器和網站來源（origin）。

在瀏覽器或作業系統的通知權限中撤銷該網站，而不是使用通知本身的按鈕。

只授予了權限、點擊過、提交了憑證和執行了軟件，需要不同的應對。

瀏覽器通知騙局怎樣運作？

訪客經轉址、廣告、輸錯的網址、影音或下載網站、搜尋結果或被入侵的連結到達某頁面。頁面用自己的提示指向瀏覽器真正的權限方塊，聲稱必須按「允許」才能看影片、下載檔案、確認年齡、消除錯誤或通過 CAPTCHA。

訪客批准後，瀏覽器會為該網站來源儲存通知權限。之後網站或其推送服務可在瀏覽器和作業系統規則範圍內要求顯示訊息。關閉頁面未必移除權限。Mozilla 解釋，Web Push 讓網站即使沒有載入也能發送訊息，而用戶可透過通知權限保留控制權。［3］

這些通知的說法不斷轉換：裝置據稱發現感染、訂閱已過期、速遞出了問題、帳戶被鎖、中獎、成人內容訊息或軟件更新。點擊後可能經過多個域名，到達聯盟推廣優惠、假病毒警報、釣魚表單、不需要的擴充功能或安裝程式。

它與網頁彈出視窗和 App 通知有甚麼分別？

先確定訊息來自哪一層，關閉方法和補救措施都取決於此。

訊息類型	來源	通常怎樣制止
瀏覽器推送通知	已儲存通知權限的網站來源	在 Site Settings 或 Permissions 撤銷網站通知權限
網頁內彈出視窗	目前開啟頁面的 HTML、CSS 或腳本	關閉分頁；按需要封鎖頁面彈出視窗
作業系統 App 通知	擁有系統通知權限的已安裝應用程式	更改該應用程式的系統通知設定或移除它
假病毒警報	可出現在網頁或通知中的欺騙性內容	不要致電、付款或安裝；關閉它並移除背後的權限

推送提示可能顯示瀏覽器圖示和發送網站，但版面因瀏覽器和作業系統而異。網站能揀選嚇人的文字和圖片，卻無法令它們變成真正的防毒結論。系統風格的通知並不能證明其說法屬實。

所有瀏覽器完全關閉後提示仍出現，或來源顯示為已安裝的應用程式時，請檢查系統通知和已安裝軟件。關閉某個分頁後提示就停止，則問題可能是網頁內彈出視窗，而非 Web Push。

哪些跡象顯示有人濫用瀏覽器通知？

Google 把濫用通知定義為誤導用戶的訊息，包括假系統警告、釣魚，以及誘騙用戶允許通知的提示。濫用可能在授權前已開始，也可能出現在授權後發出的訊息中。

警號包括：頁面在你按「允許」前擋住內容、有箭嘴指向權限提示、假 CAPTCHA 把通知權限當作真人證明，以及通知聲稱某個遙距網站掃描了整部裝置。如果網站來源與訊息提及的品牌或產品毫無關係，也要提高警覺。

其他跡象還有：域名不斷改變的反覆提示、重複倒數、客戶服務電話、要求安裝清理工具或擴充功能，以及聲稱關閉訊息會遺失資料。真實的帳戶或訂閱警告，在你獨立開啟供應商時也應看得到；不要用可疑通知內的按鈕做這項檢查。

怎樣在瀏覽器中撤銷通知權限？

不要點通知找退訂入口。透過可信捷徑開啟瀏覽器，進入私隱、Site Settings 或 Permissions 下的 Notifications，檢視允許清單，把陌生或濫用的來源改為「封鎖」或「移除」。選單名稱和位置各異，但處理對象都是該網站的通知權限。

Chrome 說明介紹了如何控制哪些網站可發通知，以及封鎖干擾性提示。說明亦指出，Chrome 會自動封鎖發送干擾性或誤導性通知的網站的通知，並可能移除你很久未瀏覽的網站的通知權限，同時提示你哪些權限已被移除。把這種自動清理當作後備保障，而不是繼續允許濫用網站的理由。

其他瀏覽器也有相同的權限概念。若瀏覽器交由作業系統顯示通知，還要確認它仍有你想要的系統通知權限；關閉所有瀏覽器通知，比移除一個濫用網站的影響更大。

想清除其他儲存狀態可清除網站資料，但別以為只清除瀏覽紀錄就能在所有瀏覽器撤銷全部權限。被允許的網站再次出現、設定未經同意被改，或無關頁面出現廣告時，請檢查擴充功能。同步可在裝置之間傳播設定，因此若通知在另一個已登入的瀏覽器設定檔繼續出現，也要檢查那裏。

收到或點擊假瀏覽器警報後應怎樣處理？

按實際發生的最高暴露級別處理。如需舉報，保存發送來源和大約時間，但不要為調查而重新開啟目的頁面。

暴露	即時行動	後續
只授予通知權限	撤銷該網站的通知權限	檢查其他獲允許的網站和瀏覽器設定檔有否不需要的權限
點擊了通知	關閉目的頁面；拒絕下載和新權限	檢查下載、擴充功能，以及有否開啟任何帳戶頁面
輸入了憑證或付款資料	經真正服務更改密碼或聯絡銀行	撤銷工作階段，監察交易，檢查復原資料
下載或安裝了軟件	停止在該裝置進行敏感操作，移除不可信內容	執行可信保安檢查；有需要時從乾淨裝置保護帳戶

如輸入過密碼，其他重用該密碼的地方也要更改，先由電郵和金融帳戶開始。如批准過 MFA、帳戶復原步驟或應用程式授權，請撤銷相關工作階段或授權。如款項已轉出，請用可信號碼聯絡金融機構，而不是通知內的支援資料。

如檔案已下載但從未開啟，直接刪除，不要測試。如安裝過擴充功能、應用程式、描述檔或遙距存取工具，單清理通知並不足夠，還要另行檢查權限和常駐項目。清理高風險下載網站帶來的不良行為，可參閱 YTMP3 清理指南。

怎樣預防通知騙局？

除非你認識該網站並想定期收到它的提示，否則拒絕通知權限。影片、檔案、CAPTCHA 或文章不需要推送權限也能載入。瀏覽器如提供較安靜的通知提示或會封鎖濫用要求，請保持開啟。

使用受支援的瀏覽器，及時更新，並限制擴充功能。不要在被催逼或被轉址時授予權限。如頁面聲稱按「允許」是唯一離開方法，請用瀏覽器或作業系統關閉分頁，而不是按頁面上的按鈕。假 CAPTCHA 騙局指南解釋了為何驗證不應要求通知權限或貼上命令。

機構可讓正當的通知訂閱做到明確、可選及可撤回。要求權限前的說明應寫明提示類型，不應模仿系統訊息。網站應監察自己的轉址、廣告和第三方腳本，以免被入侵的途徑借機構信譽向用戶彈出權限要求。

瀏覽器和平台可偵測濫用模式、減少干擾性權限提示，並讓發送來源清楚可見。用戶舉報仍然重要，因為這類活動會迅速更換域名和話術。安全瀏覽指南和網絡安全指南涵蓋更廣泛的瀏覽器、帳戶和復原控制。

總結

瀏覽器通知騙局把網站權限變成持續傳遞欺騙性提示的途徑。分頁關閉後通知仍可繼續，是因為瀏覽器為該來源儲存了權限，未必因為安裝了惡意軟件。先辨認來源，在通知權限中撤銷該網站，再按實際暴露處理任何點擊、憑證輸入、付款或安裝。

常見問題

網站未經允許能發送通知嗎？

一般的 Web Push 需要網站通知權限。不過頁面即使沒有該權限，仍可顯示網頁內彈出視窗；不需要的軟件也可能經其他途徑製造通知。

關閉網站後為何仍有提示？

關閉分頁不會自動撤銷已儲存的通知權限。瀏覽器之後仍可接收並顯示獲允許來源的推送訊息。

瀏覽器通知代表裝置中毒嗎？

不代表。它可能只表示某網站獲准推送。若發現不明軟件已安裝、設定被改或瀏覽器以外有持續異常等其他證據，才需要調查惡意軟件。

應否點擊可疑通知內的「退訂」？

不應該。請獨立開啟瀏覽器設定，撤銷該網站來源。通知內的按鈕可能通往另一個欺騙頁面，或確認你的裝置正在使用中。

需要封鎖所有瀏覽器通知嗎？

通常不需要。移除濫用的來源更精準。如你不使用正當的瀏覽器提示，封鎖所有通知也可作為個人偏好。

點擊了但沒有輸入任何內容怎樣辦？

關閉目的頁面，檢查下載和權限，並保持瀏覽器更新。點擊值得檢查，但單憑點擊不能證明帳戶或裝置已被入侵。

通知權限會同步到其他裝置嗎？

各瀏覽器行為不同。已登入的瀏覽器設定檔可能同步部分設定或網站資料，所以其他裝置或設定檔也出現同樣提示時，請逐一檢查。

怎樣舉報濫用通知？

如瀏覽器或平台提供舉報功能就使用它，並提供發送來源、時間和訊息內容。經可信途徑向被冒充的機構舉報冒充行為。

本文提供一般保安資訊，並非對個別裝置或事件的診斷。

來源

Google Search Console Help — https://support.google.com/webtools/answer/9799829?hl=en
Chrome Help — https://support.google.com/chrome/answer/3220216?hl=en
Mozilla Support — https://support.mozilla.org/en-US/kb/push-notifications-firefox?lang=en-US

Sources checked 2026 年 10 月 4 日。

甚麼是瀏覽器通知騙局？撤銷可疑網站權限並排查後續風險