協同行動識破網絡欺詐兩部曲

刊於《信報》，2026年2月16日

協同行動識破網絡欺詐兩部曲

許佳龍

科大協理副校長（學術發展）；資訊、商業統計及營運學系講座教授；艾禮文家族商學教授

世界經濟論壇（WEF）1月中旬發布的最新版《全球網絡安全展望2026》報告，分析當前網絡安全威脅的發展趨勢，與我們過往觀察到的基本一致，但報告有一個較新的洞察，筆者認為值得討論，就是當前網絡欺詐已取代勒索軟件，成為企業/機構行政總裁最擔憂的問題。其中，與人工智能（AI）相關的安全漏洞事故顯著增加（見附表）。報告警告，網絡欺詐已成為數字經濟中最具顛覆性的力量之一，不僅侵蝕社會信任、扭曲市場秩序，更直接衝擊市民生活。因此，當前的挑戰，不再只是了解威脅，更多在於能否協同行動，提前佈防。

據香港網絡安全事故協調中心（HKCERT）於1月28日發表的《香港網絡安全展望2026》報告，也提出警示，指AI的發展普及加劇網絡安全風險，2025年本港錄得15,877宗網絡安全事故，按年上升27%，創下歷史新高。

生成式AI詐騙底層技術

對於AI發展所孳生的網絡安全問題，一般人也許簡單地理解，AI是先進科技，運用先進科技手段突破網絡安全防線，似乎是「無奈」的結果，而沒有仔細深究AI是如何影響網絡安全。關於這一點，筆者擬在本文闡釋一下，與讀者分享拙見。

首先，一般性的印象，多以AI作為攻擊方，憑藉先進技術，破防能力大增，可做到更快速和多元的攻擊。值得注意的是——正如筆者在本欄多次論及，基於其特性，AI未必影響傳統的網絡安全領域，如分布式攻擊（Distributed Denial-of-Service Attack‧DDoS），癱瘓目標伺服器或網絡，反而，AI最大的網絡安全威脅，是用來進行網絡欺詐。

由於生成式AI具強大「生成」能力，可以創造對話、故事，影像、視訊、音樂等，它通過學習人類語言，把學習到的詞彙，根據其所掌握的關鍵單詞，按上文下理，便可寫成一個生動故事，甚至寫出一首詩。因此，把攻擊對象的一些基本資料串連起來，即可生成一個幾可亂真的敍事或場景，令攻擊對象在「不虞有詐」下，輕易墮入其運用AI技術設計的詐騙陷阱。

「CEO詐騙」進階版

最近，筆者也見識過不少這類詐騙內容，收到一些以假身份發出的電郵，以「頭頭是道」的敍事，稱聲自己一直留意閣下出色的工作或服務機構，擬進一步與閣下或閣下的公司連繫，發展合作關係。過往，這類電郵相當罕見，然而近一兩年來，這類具「個性化」、對焦詐騙對象，而故事內容詳盡，「條理分明」，令受害人「信以為真」的敍事或場景，出現頻率相當高。

據HKCERT的《香港網絡安全展望2026》報告指出，人工智能技術的迅速普及，網絡攻擊變得更具自動化、針對性和破壞力，威脅企業營運及資訊安全。很顯然，AI破壞力所覆蓋的，不僅是個人，還觸及企業營運。過往的「CEO 詐騙」（CEO Scam），這類商務電子郵件入侵，騙徒假冒公司高層（如行政總裁或財務總監），利用職權施壓或製造「緊急性」，誘導員工轉帳或洩露敏感資料。如今騙徒可不必再使用電郵，索性運用AI深偽技術，仿冒CEO的聲音、視訊影像，在設計的線上會議場景中，直接下令員工匯款。

過往「CEO Scam」的行騙手段和設計都比較粗疏，易為人識破，但當前透過AI深偽技術，無論行騙手段和圈套設計，都十分精密，以假亂真幾乎做到「天衣無縫」，令受害人輕易上當。AI技術行騙的成功率大幅提高，反過來令AI技術行騙得以快速蔓延，形成愈來愈大的網絡安全威脅。

防禦AI攻擊兩部曲

受害目標人如何防範AI攻擊？筆者建議，第一，當收到任何這類潛在行騙訊息時，千萬不要霎時相信，首先要在網上進行資料搜集，查找相關內容訊息，辨識其真假性。第二，這類攻擊訊息並不會簡單地發送給一個人，而是向同一個機構或社群內的多個成員發出，只要大家進行「交叉查証」（Cross-check），若愈多人收到這個訊息，欺騙的可能性就愈大，因為具「個性化」的敍事，忽然短時間內同時向不同的人轉傳，顯然是以「漁翁撤網」方式散播，行騙的機率也愈高。

誠然，AI可以「個性化」敍事，對個人進行詐騙，而且攻擊能力也愈大，不過，其攻擊行動依然是在同一時間，向眾多目標採取行動，以期提高成功獵獲目標的機會，因此，對於收到懷疑欺詐訊息，我們進行相關資料的網絡搜尋，初步辨識真偽，再通過同儕之間的交叉查証，作進一步偵測，「中招」的機會相信可以減少。

世界經濟論壇《全球網絡安全展望》強調，現在「不再只是了解AI的安全威脅，更多在於能否協同行動，提前佈防」。對個人來說，協防之道，除了在網絡查找，通過第三方的訊息，檢証識別訊息的真偽，再透過「交叉查証」、「交叉參考」的協同行動，相信有助遏止AI網絡安全攻擊蔓延歪風之勢。