证券账户诈骗

「美国预扣税、W-8 表格即将到期」券商短信诈骗：一个链接，整个证券账户被清空

一条自称来自富途、微牛或盈透证券的短信，说你的「美国预扣税声明」或「W-8 表格」即将到期，不点链接更新就要按 30% 预扣税从你账户里扣钱。链接打开是一模一样的券商登录页。你输入了账户号和交易密码之后，屏幕另一端的骗子就用它登录了你真实的证券账户，把你的持股一键清仓，再用这笔现金去拉抬他们事先埋伏好的僵尸股。等你反应过来，账户已经空了。香港近两周已有超过 20 宗同类报案，损失超过 400 万港元。本文拆解这套骗局，并教你三条能一眼识破它的铁律。

SB

SafeBrowz 威胁研究团队 券商钓鱼 / 证券账户2026年7月6日11 分钟阅读

这条短信到底说了什么

这波骗局的话术围绕一个大多数港美股投资者都似懂非懂的真实概念展开：美国预扣税。持有美股的非美国投资者，确实要处理 W-8BEN 之类的税务表格，股息也确实可能被预扣 30%。骗子正是抓住这份「好像真有这回事」的模糊记忆，把恐惧和紧迫感一次性塞进一条短信里。

典型的短信长这样：「【富途】您的美国预扣税声明（W-8）将于 24 小时内到期，逾期将按 30% 税率从您账户扣缴。请点击链接更新：……」。有时冒充的是微牛或盈透证券，落点完全一样。短信的三个心理杠杆值得逐一拆开看：

一是搬出一个真实的税务概念。预扣税、W-8、30% 这些词都不是骗子凭空编的，它们在真实的港美股投资里确实存在。用真概念包装假流程，是为了让你在「这我好像听说过」的一瞬间放下戒心。

二是制造到期倒计时。「24 小时内」「逾期作废」「立即扣缴 30%」，目的只有一个，就是不给你留出打开官方 App 核实的时间，逼你在慌乱中直接点那个链接。真正的税务表格更新从来没有这种以小时计的短信死线。

三是用一个链接收口。整条短信所有的铺垫，最终都指向那一个链接。点进去是一个和富途、微牛或盈透官方登录页几乎一模一样的仿冒页面，要你输入账户号和登录/交易密码。你以为在「更新税务信息」，其实是在把账户钥匙亲手交出去。

骗子拿到密码后做了什么：清仓，再拉高出货

这套骗局和普通的「盗刷银行卡」不同，狠也狠在这里。骗子要的不是你卡里那点余额，而是你整个证券账户的持仓。拿到账户号和交易密码后，他们做的第一件事，是登录你真实的券商账户，把你手里的股票、基金全部卖掉，换成现金。有些手法还会进一步动用账户里的孖展（融资）额度，把可动用的资金放到最大。

接下来是关键一步。骗子不会简单地把现金转走，因为券商账户的出金往往有绑定银行卡、二次验证等门槛。他们改用一种更隐蔽的洗劫方式：拉高出货。在动手之前，骗子已经用自己的账户，提前低价买入了一批成交极其清淡、几乎没人交易的「僵尸股」。控制了你的账户后，他们用你账户里的现金去大量买进这些冷门股。由于这些股票平时几乎没有成交，你这一笔大额买单会把股价瞬间拉高，骗子则在高位把自己手里的货全部卖给「你」。

结果是，骗子那边完成了高位套现，赚得盆满钵满；而你的账户里，原本健康的持仓变成了一堆买在最高点、无人接盘、价格随即崩塌的僵尸股，价值几乎归零。整个过程你可能全程没收到一条像样的提醒，等你下次打开 App，看到的已经是一片废墟。这也是为什么这类骗局单宗损失动辄数十万港元：它清空的是你多年积累的整个投资组合，而不只是一次转账。

香港警方反诈骗协调中心（ADCC）已就冒充富途牛牛（Futubull）及盈透证券的钓鱼短信发出警示。据本地媒体报道，仅两宗案件的投资者合计损失就超过 55 万港元，近两周同类报案超过 20 宗，累计损失逾 400 万港元。而在更早的一波攻势中，同类骗局曾造成 137 名受害者、约 4600 万港元的损失。数字背后的机制，就是上面这套清仓加拉高出货。

短信开头有「#」号，就一定是真的吗

这是这波骗局里最需要讲清楚的一个技术细节，很多人正是栽在这里。为了对抗钓鱼短信，香港推行了「短信发送人登记制」，登记后的机构发出的正规短信，发送人名称前会带一个「#」号前缀，例如以「#富途」之类的登记名义显示。富途证券国际（香港）等券商都已加入这一计划，官方短信理论上都会带「#」。

问题在于，「#」号可以被伪冒。骗子会利用假基站（伪基站）等技术，伪造发送人名称，让钓鱼短信也顶着一个看起来带「#」的名头，甚至把假短信塞进你和真券商此前正规短信的同一个对话串里，让它看上去就是官方发来的延续。所以请把这条记牢：「#」号只能作为一个参考信号，绝不能当成真伪的证明。一条带「#」、又躺在官方对话串里、还带着一个登录链接的短信，恰恰可能是最危险的那一条。判断真假，永远不看短信长什么样，只看你有没有离开官方 App。

真券商绝不会做的几件事

你不需要懂税法，也能识破这条短信。因为它要你做的每一件事，都踩在正规券商明确不会做的红线上。把下面这份清单记牢，任何一条命中，就可以直接判定为诈骗。

• 用短信发登录链接。香港证监会已要求持牌券商不得在短信或电邮中嵌入链接引导客户登录或交易。所以但凡一条券商短信里带着让你「点此登录/更新」的链接，无论名头多正规，都是假的。
• 用短信索取登录密码或交易密码。真券商永远不会通过短信、链接或客服对话问你的登录密码、交易密码或短信验证码。这些是你账户的钥匙，正规流程里任何环节都不需要你在一个网页上把它们打出来。
• 把税务表格做成一个短信链接。W-8BEN、预扣税声明这类税务事项，只会在你已经登录的官方 App 或官网内部办理，绝不会用一条限时短信、一个陌生链接来「更新」。真到期了，App 里会有正规提示，而不是短信催你点链接。
• 用「小时级」死线逼你。「24 小时内不处理就扣 30%」这种话，制造的是恐慌而非真实的税务规则。正规税务流程有充足的处理窗口，不会用一条短信把你逼到墙角。
• 让你在陌生域名上输入账户信息。只要登录页的域名不是券商官方域名，无论它和真页面长得多像，都不要输入任何东西。仿冒页往往用连字符拼接品牌词加廉价后缀，或挂在免费托管的子域名上。

SafeBrowz 会标记的假券商登录页（示意）

这整套骗局里，唯一活在你浏览器里、能被扫描器在你输入密码之前拦下的环节，就是短信里那个仿冒登录页的链接。这些页面几乎都搭在新注册的仿冒域名或免费托管子域名上，把「futu」「moomoo」「webull」「ibkr」这类券商品牌词，连同「hk」「tax」「w8」「verify」之类的字眼缝进域名，再配上一个正规券商绝不会用来做官方登录页的廉价后缀。下面是用于演示的去活化（不可点击）示意域名，并非真实存在的服务，方括号是故意加上以防误点的：

• futu-hk-verify[.]online
• moomoo-tax[.]top
• webull-hk[.]info
• ibkr-w8form[.]cc

注意它们共同的形态：一个让人安心的券商品牌词摆在前面，后面用连字符缝上「tax」「w8」「verify」这类和话术呼应的词，最后跟一个正规券商不会用的廉价后缀。真正的券商登录页只有几个官方域名，例如富途的 futuhk.com 与 moomoo.com、微牛香港的 webull.hk（全球站 webull.com）、盈透证券的 interactivebrokers.com.hk 与 ibkr.com。收到任何要你登录或更新税务信息的链接，先用下面的检测框验一验，或者干脆无视链接、自己打开官方 App。

如何核实这条短信是真是假

核实的动作其实只有一句话：不碰短信里的任何东西，自己从头打开官方渠道。把下面几步做熟，你就再也不会被一条券商短信牵着走。

1. 直接打开你自己装好的官方 App。如果账户真有税务事项要处理，登录后 App 内会有正规提示。App 里没有的事，短信说得再急也是假的。永远不要从短信链接进入登录页。
2. 要上网就自己手动输入官方域名。不要点短信里的链接，也不要在搜索引擎里点排在最前面的推广结果（那可能是钓鱼广告）。自己敲入 futuhk.com、webull.hk、interactivebrokers.com.hk 这类你确认过的官方域名。
3. 把可疑号码、网址丢进「詐騙搜尋器」Scameter 查一查。香港「守網者」CyberDefender 提供的 Scameter（cyberdefender.hk）可以查电话、网址、账户是否与已知骗案相关，也可以用 Scameter+ App。
4. 拿不准就打防騙易 18222。香港反诈骗协调中心（ADCC）的防騙易热线 18222 全天候接受咨询，一个电话就能帮你判断一条短信是不是骗局。
5. 核对券商是否为证监会持牌机构。可在证监会（SFC）官网的持牌机构名单与「提防无牌活动」警示名单（Alert List）中核对，任何不在名单上、却催你转账或登录的「券商」都要高度警惕。

SafeBrowz 如何拦下这类券商钓鱼

短信本身落在你的手机里，运营商拦截能挡下一部分。但真正让整条骗局得手的那个环节，也就是收你账户号和交易密码的仿冒登录页，是一个网页，这正是浏览器端检测发挥作用的地方。在 SafeBrowz 的三层引擎里，这类假券商登录页的表现高度一致，我们从三个角度把它拦下。

本地层：60+ URL 模式加 550+ 品牌专属签名，全部在扩展程序里直接运行，在页面渲染之前完成。它能即时抓住把「futu」「moomoo」「webull」「ibkr」等券商品牌词，与「tax」「w8」「hk」「verify」这类字眼用连字符拼在一起、或挂在免费托管子域名上的仿冒家族，也识别廉价 TLD 的滥用，比如上面那几个 futu-hk-verify[.]online 形态的域名。

接口层：聚合 Google Safe Browsing、PhishTank、URLhaus、ScamAdviser 等威胁情报，再加上域名年龄查询（这类券商钓鱼站几乎都在群发短信前几天甚至几小时才注册）和 30+ 诈骗 TLD 的判定，把那些刚上线、专为这一波短信而生的域名尽早标红。

AI 层：支持 100+ 语言的内容感知品牌冒充分析，能读懂一个把富途、微牛、盈透官方登录页几乎复刻、却索要账户号和交易密码的页面，即便这个域名任何黑名单都还没收录过。这一点很关键，因为这类站点被批量生产、用完即弃的速度，比任何静态名单能追踪的都快。

需要坦白说清楚的是，SafeBrowz 扫描的是链接和页面这一层。它能在你即将输入密码之前，把那个仿冒登录页标红拦下；但它无法替你判断一条短信里的文字真假，也无法在你已经把密码填进假页面、骗子已经登录并下单之后，撤销那一笔已经成交的交易。那条短信从运营商网络到达你手机，也不在浏览器的管辖范围内。最终那道防线，仍然是你自己那条铁律：券商短信里的链接，一个都不点。检测签名源自威胁情报研究和我们内部的品牌数据库，而非用户浏览数据，SafeBrowz 不保存每个用户的浏览历史。

不想安装任何东西的人，可以使用同一引擎驱动的免费 公共网址检测工具，粘贴任意可疑链接，几秒钟得到结论。

已经填了账户号和交易密码，现在怎么办

如果你刚刚在一个链接里输入过券商账户号和密码，时间就是一切。骗子从登录到清仓可能只需要几分钟，下面这几步请按顺序、立刻做。

1. 马上修改券商密码，并强制登出所有设备。直接打开官方 App 或手动进入官方网站，第一时间改掉登录密码和交易密码，开启或重设双重认证，把所有已登录的会话踢下线，抢在骗子下单之前夺回账户控制权。
2. 立即联系券商冻结账户、拦截交易。拨打券商官方客服（号码从官方 App 或官网获取，不要用短信里给的），说明账户可能已被入侵，要求冻结账户、暂停出金与交易，并核查是否已有异常买卖。若发现被清仓或买入不明股票，要求立即介入。
3. 检查并撤销关联授权。查看券商账户绑定的银行卡、出金账户和任何第三方授权，撤销你不认识的部分，同时留意关联邮箱是否被改动。
4. 报警并向反诈渠道举报。在香港，紧急情况直接拨 999；非紧急可拨防騙易 18222 咨询，并向警方报案。把可疑短信、网址和账户异动丢进「守網者」CyberDefender 的 Scameter（cyberdefender.hk）核查与记录，也可向证监会（SFC）与金管局（HKMA）反映涉及券商与资金的情况。保留短信截图、网址、交易记录作为证据。
5. 提醒家人朋友，约定一条铁律。把这条简单到不会忘的规则讲给身边同样在炒港美股的人：券商绝不会用短信发登录链接，税务表格只在官方 App 里办，任何催你点链接更新预扣税的短信都是骗局。

这套针对投资者的钓鱼与账户接管手法有很多近亲，识破一个就能识破一类。我们写过 飆股簡訊与假股票 App 投资诈骗 拆解「加群荐股」那一路，AI 换脸名人直播荐股骗局 则揭穿假直播间如何把你引向钓鱼平台。香港本地的账户接管与短信钓鱼，可以对照 「積金易」eMPF 钓鱼骗个人资料 与 假汇丰、香港邮政「自动扣费」钓鱼短讯。如果不幸已经被骗，假冒反诈中心 ADCC 追款二次诈骗 与 《被骗了怎么办：追损与举报指南》 能帮你走完应急处置。

免费安装 SafeBrowz

添加这款浏览器扩展，或安装 SafeBrowz 安卓版 App，它会扫描每一个链接，包括短信里那个让你「更新预扣税、登录券商账户」的仿冒登录页，在页面渲染之前完成。永久免费。

添加到 Chrome 添加到 Firefox 添加到 Edge 通过 Google Play 下载

常见问题

收到券商「美国预扣税到期」的短信是真的吗？

不是，这是券商钓鱼短信。正规券商不会用短信通知你预扣税或 W-8 表格「即将到期」，更不会在短信里放一个登录链接让你去填账户号和交易密码。香港证监会已明确要求持牌券商不得在短信或电邮中嵌入登录链接，所以短信里出现这种链接本身就说明它是假的。真有税务事项要处理，只会在你已经登录的官方 App 内部提示。判断真假不看短信写得多像官方，只看你有没有离开官方 App，自己打开 App 或手动输入官方网址核实即可。

短信开头有「#」号，是不是就代表是官方发的？

不能这么认为。香港的「短信发送人登记制」下，登记机构的正规短信会带「#」前缀，但这个前缀可以被伪基站等技术伪冒，假短信也能顶着一个带「#」的名头，甚至被塞进你和真券商此前正规短信的同一个对话串里。所以「#」只是一个参考信号，绝不是真伪的证明。一条带「#」、又带着登录链接的券商短信，恰恰可能是最危险的那一条。

富途、微牛、盈透会用短信发登录链接让我填密码吗？

绝对不会。这些券商的登录、交易、税务表格更新都在它们的官方 App 或官网内部完成，官方域名例如富途的 futuhk.com 和 moomoo.com、微牛香港的 webull.hk、盈透证券的 interactivebrokers.com.hk。它们不会用短信发登录链接，也不会在任何页面外的环节问你的登录密码、交易密码或验证码。任何用短信发链接、催你登录或输入密码的，都是骗子。

W-8 表格或预扣税申报到底在哪里填？

只在你已经装好的官方券商 App 或官网内部填写，登录之后在账户或税务相关的设置里办理。W-8BEN、预扣税声明这类税务事项从来不会通过一条短信链接来「更新」，也没有以小时计的短信死线。如果对自己的税务状况不确定，向券商官方客服或合资格的税务顾问咨询，不要相信短信里给出的任何链接或号码。

我已经在链接里输入了账户号和交易密码，怎么办？

立刻行动。第一时间打开官方 App 或手动进入官网，改掉登录密码和交易密码、重设双重认证、强制登出所有设备；随后拨打券商官方客服要求冻结账户、暂停交易与出金，并核查有无异常买卖，若发现被清仓或买入不明股票要求立即拦截。在香港，紧急拨 999，非紧急拨防騙易 18222 咨询并报案，把短信和网址丢进 CyberDefender 的 Scameter 核查，涉及资金可向证监会与金管局反映。动作越快，止损机会越大。

在香港怎么举报这类券商钓鱼短信？

可拨打香港反诈骗协调中心（ADCC）的防騙易热线 18222 咨询，紧急情况拨 999 报警。可疑电话、网址、账户可用「守網者」CyberDefender 的 Scameter（cyberdefender.hk）或 Scameter+ App 查询与举报。涉及证券账户和券商的情况，可参考证监会（SFC）官网的警示名单，资金相关也可向金管局（HKMA）反映。举报时保留短信截图、网址与交易记录作为证据。