轉數快與 HKQR：香港二維碼騙案與網店防範要點

轉數快（FPS，Faster Payment System）是香港的即時支付系統：透過手機號碼、電郵地址、轉數快識別碼或二維碼代替銀行帳戶資料，全日 24 小時在銀行與電子錢包之間即時轉帳。對網店來說，這代表付款頁面上顯示的二維碼或識別碼，決定了錢會落入誰的戶口。二維碼騙案正正針對這一點；而由於款項即時結算，防範必須在買家確認付款之前完成。

轉數快與 HKQR 如何運作

香港金融管理局（金管局）於 2018 年 9 月推出轉數快，同月 30 日起全面開通轉帳。系統把銀行和儲值支付工具營運商連接到同一平台，支援港元及人民幣，全天候運作。開通時有 21 間銀行及 10 間儲值支付工具營運商參與。收款人須登記手機號碼、電郵地址或轉數快識別碼；付款人則毋須登記。

與轉數快同步，金管局公布了零售支付共用二維碼標準，以及由香港銀行同業結算有限公司（HKICL）開發的免費應用程式「香港共用二維碼」（HKQR）。它可以把不同支付服務營運商的二維碼合併成一個，小商戶不必在收銀處擺放多個二維碼。

香港現有的轉數快防騙措施

2023 年 11 月，金管局聯同警方及 HKICL 推出「轉數快可疑識別代號警示」。轉帳前，如果收款人的手機號碼、電郵地址或轉數快識別碼在警方的防詐騙陷阱搜尋器「防騙視伏器」中被列為「高風險」，應用程式會先向付款人發出警示。推出時共有 44 間銀行及儲值支付工具營運商參與。2024 年 8 月，警示擴展至以銀行帳號轉帳；截至同年 6 月底，已發出超過 65.5 萬次警示，平均每日約 3,000 次。

警方亦特別提醒二維碼的風險。反詐騙協調中心（ADCC）指出，釣魚訊息經常附有超連結、二維碼或附件，用來在裝置安裝惡意程式，並建議付款前先在防騙視伏器查核收款帳戶。

盲點：付款頁面本身

轉數快警示的前提，是騙徒的識別碼已經被舉報。一個沒有紀錄的新傀儡戶口，未必會觸發任何警示。而在網購場景，還有一種任何銀行警示都看不到的截款方式：在付款頁面內直接調包二維碼。

手法是這樣的：結帳頁面載入了惡意腳本（可能來自有漏洞的外掛程式、被入侵的第三方服務，或網店本身遭入侵），把畫面上的 HKQR 或轉數快識別碼換成另一個同樣有效、金額相同的。買家掃碼，看到一個收款人名稱便確認付款。這種情況已在其他即時支付系統出現過：2026 年 9 月，Kaspersky 披露一宗攻擊活動，在巴西 90 間中小型網店的付款頁面調包 Pix 二維碼，而網店系統只顯示訂單「已放棄」或「待付款」。

網店的良好做法

• 每張訂單生成動態二維碼，附上金額及參考編號，避免只提供一個固定的轉數快識別碼作付款方式。
• 在二維碼旁註明應用程式內會顯示的收款人名稱，提醒顧客確認前先核對。
• 精簡付款頁面： 只保留必要的腳本，並定期檢查載入了甚麼。
• 保持平台、主題及擴充功能更新，移除不再使用的部分。
• 以銀行或服務商的入帳紀錄確認訂單，切勿只憑買家傳來的截圖。
• 把「我已付款但訂單未成功」視為保安事故，檢查顯示的二維碼有否被改動。
• 監察正在運行的付款頁面，核對買家實際看到的內容。

出事時怎麼辦

請顧客立即聯絡發款的銀行或電子錢包。如有疑問，可致電反詐騙協調中心的 18222 防騙熱線，該熱線 24 小時運作，但只提供諮詢：懷疑受騙須到就近警署報案，緊急情況請致電 999。網店方面，應記錄訂單、時間及當時顯示的二維碼，並通知支付服務商。

轉數快的警示保障的是轉帳本身；付款頁面顯示內容是否完整，則是網店的責任。Proteside 會在買家的瀏覽器內核實所顯示的 HKQR 及轉數快識別碼是否與網店發出的完全一致，在確認付款前攔截任何調包，並即時通知您的團隊。了解 轉數快及 HKQR 保護。歡迎免費試用 14 天，適用於任何平台及支付服務商。