如果你想知道Smishing 是甚麼，最短答案是：它是透過短訊實施的釣魚攻擊。 Federal Communications Commission、CISA 和 FTC 都把這類短訊描述為利用連結、電話、回覆指令或身份偽裝，誘導你交出帳戶、驗證碼、銀行卡資料，甚至安裝惡意軟件。［1］［2］［3］

它和普通垃圾短訊最大的分別，不是「煩不煩」，而是它有明確的詐騙目標。有些要你點進假頁面登入，有些催你付款，有些叫你回撥假客服。

這也是為甚麼不少 smishing 看起來比傳統電郵釣魚更容易令人中招。短訊更短、更急、更像系統通知，而很多人對手機訊息的警覺性也較低。

你可以把這篇網絡安全指南作為基線清單，順手檢查帳戶、裝置、瀏覽器和網絡加固。

如果你最近同時被陌生來電或區號騷擾，和陌生區號電話是騙局嗎？一起看，會更容易把電話和短訊騙局放進同一套判斷框架。

關鍵要點

Smishing 就是短訊釣魚，不只是普通 spam。［1］［2］［3］

常見話術包括快遞異常、帳戶凍結、道路收費、中獎、稅務退款和銀行驗證。

真正危險的動作通常是點連結、回撥電話、回覆敏感資料或安裝檔案。

受騙後不要只刪短訊，更要改密碼、檢查帳戶和支付工具。

短訊之所以高效，是因為它很容易製造「立即處理」的壓迫感。

Smishing 是甚麼，它和普通垃圾短訊有甚麼分別？

垃圾短訊可能只是營銷、騷擾或群發廣告； smishing 則更明確地瞄準你的資料、帳戶、驗證碼或金錢。

換句話說，smishing 更像是「披着短訊外衣的釣魚攻擊」。

Smishing 常見套路有哪些？

假快遞或包裹異常

叫你點連結補地址、補稅費、重新派送。

假銀行或支付驗證

聲稱你的帳戶有異常登入、待處理轉帳或被凍結，需要立即驗證。

假政府通知或收費提醒

例如道路收費、稅務、罰款、社保或證件續期。

假抽獎、禮品卡或優惠返現

靠「限時領取」把你趕進假頁面。

這些套路的共通點，是都想令你馬上動手，而不是給你時間核實。

怎樣判斷一條短訊像不像 smishing？

以下信號越多，風險越高：

用緊急語氣逼你馬上處理；
連結域名很怪，或看起來像縮寫、拼錯、錯位；
要你提供驗證碼、卡號、密碼或身份證件資料；
發件人看似機構，但語氣和格式很粗糙；
叫你繞過官方 App，改到網頁或回撥陌生號碼。［1］［2］［3］

如果你最近已經點過類似連結，可以直接接着看點了釣魚連結怎麼辦？先別慌，按這 6 步把損失壓住。

如果它偽裝成「帳戶異常」或「安全驗證」，那篇2026 年最新釣魚攻擊手段：如何識別和防範也能幫你把短訊釣魚和更廣義的 phishing 放在一起看。

為甚麼 smishing 這幾年特別高發？

因為手機是大家最頻繁處理資訊的地方。通知一來，很多人幾乎是條件反射地點開。

再加上短訊天然短、上下文少，看起來像「系統催你辦事」，更容易利用緊迫感和權威感。CISA 和 FTC 在消費者提醒裏反覆強調的，也是這種社交工程特徵。［2］［3］

收到 smishing 短訊，最穩的處理順序是甚麼？

1. 不點、不回、不回撥

不要幫對方確認這個號碼有人在用，也不要順着它給的入口走。

2. 自己去官方 App 或官網核實

如果真的擔心帳戶異常，自己手動打開官方 App、官網，或撥打卡背面的客服電話。

3. 標記、封鎖、舉報

手機系統和電訊商通常都有垃圾短訊過濾或舉報功能。如果你是 Android 用戶，也可以配合Android 垃圾短訊怎樣攔？先別回，按這 7 招把數量壓下去（2026）一起做。

如果它已經和電話騷擾一起出現，也別忽略垃圾電話怎樣攔？按這 7 步把騷擾和詐騙來電壓下去（2026）這條線。

4. 如果已經點了連結，馬上補救

重點檢查：

有沒有輸入帳戶密碼；
有沒有輸入銀行卡資料；
有沒有安裝設定檔或 App；
有沒有交出短訊驗證碼。

只刪短訊並不夠，後面這些影響才是真正需要處理的。

如果已經上當了，先做甚麼？

改相關帳戶密碼

尤其是和短訊提到的服務相關的帳戶。

聯絡銀行或支付平台

如果涉及支付資料、卡號或驗證碼，越早聯絡越好。

檢查裝置和訊息轉發設定

如果你安裝了陌生 App、設定檔，或發現驗證碼被異常讀取，就不能只當成「點錯連結」。

留證並舉報

保留短訊截圖、號碼、連結、付款記錄和時間線，後續處理會更順。

我的建議：不要把短訊當成「比電郵更可信」的渠道

很多人明明會警惕可疑電郵，卻會相信短訊裏的「官方提醒」。但從攻擊者角度看，短訊只是換了一個更容易製造即時反應的外殼。

你真正該信任的，不是訊息外形，而是你能否離開它提供的入口，回到官方渠道重新核實。

如果你準備把釣魚、短訊騙案、帳戶保護和補救順序一起補上，網絡安全完整指南可以作為總入口。

如果你想順着詐騙場景看真實案例，也可以補讀Coinbase 詐騙電郵怎樣識別？常見套路、補救步驟與防護建議（2026）。

如果你更想看「假客服」和「假退款」這類老套路如何演變，也可以繼續看Geek Squad 騙局是甚麼？如何識別假續費電郵與退款詐騙（2026）。

總結

Smishing 是甚麼，一句話就是：透過短訊實施的釣魚攻擊。［1］［2］［3］
它和普通垃圾短訊的分別，在於目標是騙走資料、帳戶控制權或資金。
處理原則很簡單：不點、不回、不回撥，自己去官方渠道核實。
一旦已經點開或輸入資料，後續補救比「刪短訊」重要得多。

常見問題（FAQ）

Smishing 和 phishing 有甚麼分別？

Smishing 是 phishing 的一個分支，只是載體從電郵等渠道換成短訊。［1］［2］

收到銀行短訊就一定是真的嗎？

不一定。發件人名稱、文字格式和連結都可能被偽裝。

點了連結但沒輸入資料，還要處理嗎？

建議至少檢查是否跳轉到異常頁面、是否觸發下載，並繼續觀察帳戶安全。

回覆「STOP」有用嗎？

對正規營銷短訊可能有用，但對詐騙短訊未必安全，最好先確認來源。

Smishing 只會騙錢嗎？

不只是錢，也可能騙帳戶、驗證碼、裝置權限或誘導安裝惡意軟件。［2］［3］

最穩的核實方法是甚麼？

自己手動打開官方 App、官網，或撥打你自己查到的官方電話。

免責聲明

本文僅供一般網絡安全教育參考，不構成詐騙追償、帳戶恢復成功承諾或法律意見。不同國家、地區和機構對舉報渠道與處理流程可能存在差異。

AethoVPN 發布《Smishing 是甚麼它不是普通垃圾短訊，而是一步步騙走資料和金錢》；VPN 不能取代相關核對。

來源

FCC, Smishing Robotexts: https://www.fcc.gov/smishing-robotexts
CISA, Avoid Social Engineering and Phishing Attacks: https://www.cisa.gov/resources-tools/resources/avoiding-social-engineering-and-phishing-attacks
FTC, How to recognize and report spam text messages: https://consumer.ftc.gov/articles/how-recognize-and-report-spam-text-messages

Sources checked 2026 年 5 月 8 日。

延伸閱讀：

Smishing 是甚麼？它不是普通垃圾短訊，而是一步步騙走資料和金錢