你嘅公司名，可能已經被人用咗
香港中小企老闆通常會問：「我哋規模細，邊有人會冒認我哋？」現實係，冒認唔需要你大，只需要你有一批客戶名單、一個收款戶口，或者一個看起來正常嘅網站。過去一年，本地新聞多次提到資料外泄同釣魚攻擊增加，而攻擊者往往唔係直接入侵你嘅系統，而係喺你客戶面前「扮你」。
呢篇文章唔講抽象嘅網絡安全理論，而係講一件具體嘅事：當有人用你公司名義開假網站、發假電郵、開假社交帳號，你可以點樣喺最短時間內發現、處理，同埋事前用幾多錢築防線。
冒認最常見嘅三種形式
1. 假網域（Lookalike Domain）
攻擊者會註冊一個同你網域極相似嘅域名，例如你係 abc.com.hk，對方用 abc-hk.com、abccompany.com，甚至用同字母替換（rn 扮 m）。呢類網域一年成本大約 HK$100 至 HK$300，攻擊者可以大量註冊，然後用嚟發電郵、開假登入頁收集客戶密碼。
2. 電郵冒充（Spoofing）
如果你嘅網域未設定好 SPF、DKIM、DMARC 三組 DNS 記錄，攻擊者可以直接用你嘅域名發電郵，客戶嘅郵箱唔會顯示任何警告。設定呢三組記錄通常係網站維護範圍內嘅工作，技術人員做一次大約 1 至 2 小時；如果你嘅 DNS 由網頁公司代管，可以直接要求對方代辦。
3. 假社交帳號與假客服
用你公司標誌開一個 Facebook 或 Instagram 帳號，再主動私訊你嘅追蹤者，聲稱「訂單有問題，請重新付款」。呢類手法唔需要技術，只需要你公開展示嘅品牌素材。
五個可以今個星期做完嘅檢查步驟
- 查自己網域嘅 DMARC 狀態。用任何免費 DMARC 檢查工具輸入你嘅域名，如果結果顯示
p=none或完全冇記錄，即代表你嘅網域可以被冒充。目標係逐步收緊到p=quarantine或p=reject，過程一般需要 2 至 4 個星期觀察，唔好一次過收緊，否則可能連自己公司正常發出嘅郵件都被攔截。 - 搜尋相似網域。用網域註冊查詢工具，搜尋你公司名嘅幾個常見變體，睇下有冇人已經註冊。發現可疑網域唔代表可以即刻取回，但你可以記錄低，必要時向相關註冊商投訴。
- 檢查你網站嘅聯絡表格同登入頁。確認表格只收集必要資料，唔好喺同一個頁面同時問身份證號碼、銀行資料同密碼。客戶資料收集得越集中，一次外泄嘅代價越大。
- 喺網站加一段「我們唔會點樣聯絡你」嘅說明。例如清楚寫明公司唔會用私人訊息要求客戶重新付款、唔會索取一次性密碼。呢段文字成本近乎零，但係客戶一旦收到假訊息，會記得你講過。
- 建立一個內部通報點。指定一個人（可以係老闆本人）負責接收「客戶話收到可疑訊息」嘅報告，並且訂明 24 小時內要回應。冇指定人，通報就會散落喺唔同同事嘅對話框裡面。
時間與費用估算
| 項目 | 時間 | 大約費用 |
|---|---|---|
| 設定 SPF／DKIM／DMARC | 1 至 2 小時設定，2 至 4 星期觀察 | 通常包含於網站維護；單次約 HK$800 至 HK$2,000 |
| 相似網域搜尋與記錄 | 1 小時 | 免費工具可完成 |
| 網站加防冒認說明頁 | 1 至 2 小時 | HK$500 至 HK$1,500 |
| 員工釣魚意識簡報 | 每次 1 小時 | 內部進行，成本主要係時間 |
| 事後處理（假網站投訴、客戶通知） | 3 至 10 個工作日 | 難以預算，視乎涉及客戶數量 |
值得留意嘅係，事前設定嘅成本幾乎全部係一次性或者年度維護範圍內，但事後處理往往牽涉客戶補償、聲譽損失同人手時間，差距可以係幾十倍。
出事之後嘅優先次序
如果你發現有假網站或者客戶已經收到冒充訊息，次序應該係：先通知客戶（唔好等查明全部細節），再向相關平台同網域註冊商投訴，同時保留截圖同時間記錄。呢啲記錄唔止用嚟投訴，亦係日後向客戶解釋同內部檢討嘅依據。
另外，唔少中小企會忽略一件事：假網站嘅目的通常係收集客戶嘅登入資料或信用卡資料，而唔係入侵你嘅伺服器。所以「我哋網站冇被黑」唔等於「我哋冇事」。你需要問嘅問題係：我哋嘅客戶，能唔能夠分辨邊個先係真正嘅我哋？
品牌冒認唔係大公司先會遇到嘅問題，而係任何有客戶聯絡資料嘅公司都會面對嘅風險。分別只在於你有冇事前準備。
總結：防冒認係一場「客戶信任」嘅保衛戰
對香港中小企嚟講，品牌冒認嘅殺傷力唔在於技術層面，而在於客戶嘅信任。一次假電郵，足以令客戶懷疑你嘅收款戶口係咪安全。與其等到出事後補救，不如今個星期先做三件事：檢查 DMARC 狀態、搜尋相似網域、喺網站寫清楚你嘅聯絡方式。呢三步加起來唔需要一個工作日，但可以大幅收窄攻擊者嘅空間。
如果你唔肯定自己嘅網域設定係咪已經到位，或者想有人幫你逐項核對，可以參考我哋嘅 網站維護及安全檢查方案，或者直接 聯絡我們 安排一次檢查。網絡安全攻防演練每年都有，但攻擊者唔會等你演練完先出手。