iPhone 18 預購盜卡風暴：
1,209 人中招、涉款 2,500 萬，你張卡安全嗎？

兩日之間，
報案人數由 700 升到 1,209

時間線要由星期六晚講起。9 月 12 日晚上 8 時，蘋果開放 iPhone 18 Pro 及 iPhone 18 Pro Max 網上預購。系統開通後不久，各大社交平台及討論區陸續湧現求助帖文——市民係收到發卡銀行發出嘅交易短訊通知，才驚覺自己嘅信用卡在未經授權下，被人用於蘋果網上商店預購手機。

警方嘅數字喺兩日之間急速擴大。9 月 13 日，警方電子報案中心接獲超過 700 人報案，涉及金額約 1,470 萬元，最大一宗約 11.4 萬元。到 9 月 14 日下午 5 時，累計報案人數已升至 1,209 人，涉案總金額約 2,500 萬元，最大一宗約 13 萬元。案件暫列「以欺騙手段取得財產」，由警務處網絡安全及科技罪案調查科統籌調查，暫時未有人被捕。

有幾個細節值得記住。第一，受影響持卡人涉及滙豐、恒生、渣打等多間銀行，並非集中喺單一發卡機構；有人被簽賬超過 6 萬元。第二，大量個案嘅金額係 13,299 元——同 iPhone 18 Pro Max 512GB 版本嘅官方售價完全脗合，即騙徒係瞄準單一高價型號落單。第三，當日蘋果中國官網嘅首批貨源喺開售數分鐘內售罄，反映呢個時間窗本身就有大量真實交易同時進行，異常交易更容易被淹沒喺正常流量之中。

關鍵唔係黑客入侵，
而係「毋須驗證」

警方網絡安全及科技罪案調查科接手後，即時聯絡相關銀行機構及蘋果公司了解情況。根據雙方嘅初步內部技術檢查，兩邊網絡系統運作完全正常，暫時並無遭受黑客網絡攻擊嘅跡象。呢個結論對市民其實有實際意義：唔係你嘅銀行戶口或手機被人入侵，而係資料一旦外洩，就有機會被直接用於簽賬。

警方喺調查中發現嘅關鍵位，係涉案嘅網上預購交易過程並無要求輸入單次短訊驗證碼（OTP）或其他身分認證方式。換句話講，付款過程毋須經過持卡人即時授權確認即可完成，持有外洩信用卡資料嘅人就有機可乘，可以進行大規模惡意簽賬。

香港金融管理局對呢類情況有清晰講法：個別商戶可能基於營運考慮，不使用或暫停額外認證安排（例如手機應用程式內認證或一次性密碼）。喺呢種情況下，商戶須承擔非授權交易嘅責任及財務損失。呢一句係整件事嘅關鍵——認證責任喺商戶一方，而非持卡人自己承擔。

至於信用卡資料由邊度流出，警方現時循兩條線追查：一是分析受影響市民是否曾在共同平台提交過涉案資料，以及過往是否曾經誤墮釣魚網站或短訊陷阱；二是追蹤實際使用被盜資料進行預購嘅人士身分及其數碼足跡。警方已向相關銀行及蘋果公司索取交易詳細資料，並與金管局保持溝通。

收到不明簽賬通知之後，
五個步驟止損

保安局於 9 月 13 日在社交平台提醒市民主動檢查信用卡交易，如發現不明簽賬，應立即按以下五個步驟處理：

1. 一、登入銀行應用程式鎖卡或凍結信用卡。有需要可直接報失，並向銀行清楚說明相關未經授權交易。
2. 二、通知商戶。盡快聯絡蘋果公司客戶服務，要求停止出貨或取消訂單。
3. 三、報案。帶同銀行交易紀錄、短訊通知及訂單資料，透過警方電子報案中心或前往就近警署報案，取得案件編號。
4. 四、通知銀行已經報警。將案件編號提供予發卡銀行，以協助凍結款項及辦理爭議交易手續。
5. 五、保存所有紀錄。包括銀行參考編號、職員姓名、通話日期時間、商戶訂單資料及警方案件編號，全部留底。

至於款項幾時退得返，目前有幾個可以參考嘅時間點。蘋果香港回應傳媒查詢時表示，所有已收到嘅訂單均會在接受處理前審核，公司正盡快識別及取消任何可能已被提交嘅欺詐交易，欺詐訂單不會出貨；滙豐、恒生及渣打亦表示已展開調查，並會適時啟動退單機制。

由於蘋果喺審核階段已攔截相關假訂單，大部分簽賬仍處於「預先授權」嘅凍結狀態，並未實質過數。按主流發卡銀行嘅結算安排，商戶取消簽賬後，預授權通常於數個工作天內自動解除，並全數退回信用額度（個別發卡機構嘅處理時間或有差異）。此外，根據金管局嘅信用卡免責指引，只要持卡人及時報失並證實屬未經授權交易，持卡人毋須承擔損失。

重點係：呢啲保障嘅前提係「及時處理」。凍結、報案、通知商戶三步做齊，同抱住「等佢自己退」嘅心態，結果可以差好遠。

日常自保：
六件可以即刻做嘅事

呢類事件唔會係最後一次。喺資料外洩源頭未查明之前，日常習慣就係唯一由自己掌握嘅防線：

• 一、開啟信用卡交易通知或短訊提示，唔好因為覺得煩而關掉——今次大部分受害人正是靠短訊才及時發現。
• 二、定期檢查月結單及未入帳交易，亦唔好忽略金額為零嘅未授權交易紀錄，呢類紀錄可能係測試卡號嘅前置動作。
• 三、警方提醒，切勿在不明來歷嘅網站提交信用卡資料；網購前先確認網址真偽。
• 四、網購付款盡量選擇有額外認證安排嘅商戶或電子錢包，把握「多一重確認」嘅機會。
• 五、避免將同一張信用卡資料儲存在多個購物平台，減少單一平台外洩所帶嚟嘅影響面。
• 六、如持有較高信用額度嘅卡，可向銀行查詢是否設有網上交易限額或虛擬卡號服務，為網購另設一道閘。

萬一最後要自己找數：
13,299 元只還最低還款係幾重

講呢部分唔係要嚇人，而係想指出一個現實：假如爭議交易最終未能全額退回，或者喺等待退款期間，持卡人為咗找數而動用循環信用，成本可以相當驚人。以今次最常見嘅涉案金額 13,299 元為例，按市場普遍 30 至 40 厘、多數卡款約 35 厘嘅水平計算，如果只償還最低還款額，結果如下。

最低還款額嘅結構係「結欠約 1%（最低 50 元）加上當月利息及費用」。以 13,299 元、年息 35 厘計算，首月利息約 388 元，最低還款額約 521 元，即本金實際只減少約 133 元。首 12 個月合共償還約 5,918 元，其中約 4,407 元屬利息，本金只減少約 1,511 元——還足一年，結欠仍超過 11,700 元。

呢個對照說明一件事：爭議交易能否退款，係銀行、商戶之間嘅程序問題；而一旦要動用循環信用去應付，成本就完全落喺持卡人身上。與其事後計算利息，不如先確保自己有足夠緩衝。想知道自己嘅還款安排會產生多少利息，可以用 FinKit 嘅信用卡最低還款計算機即時試算；若想同時檢視整體收支與財務健康狀況，可用個人理財分析工具一次過看清。

三點總結

一、系統安全唔等於交易安全。今次銀行同蘋果嘅系統都運作正常，問題出喺付款流程毋須持卡人確認。對市民嘅實際啟示係：唔好假設「有加密就一定安全」，要留意嘅係每一筆交易有冇經你確認。

二、主動檢查係成本最低嘅一步。今次大部分受害人係收到短訊通知才知道出事。保持交易通知開啟、定期查看未入帳交易，比任何事後補救都便宜。

三、出事之後，速度就係金錢。鎖卡、通知商戶、報案三步越早做齊，款項凍結同退回嘅安排就越順暢；拖延只會令程序複雜化。

延伸閱讀：清卡數先定投資先？Min Pay 利息黑洞同複利嘅賽跑、應急錢要幾多？3 個月定 6 個月？