踏入 2026 年第二季，香港銀行公會同財經事務及庫務局同步更新咗《放債人條例》下嘅利率上限指引，將法定年利率上限由 48% 進一步收窄到 42%，同時要求所有持牌財務公司必須喺廣告同申請頁面列明「實際年利率」計算方式，唔可以再用「月平息 0.1%」呢類誤導字眼。同一時間，香港警務處反詐騙協調中心（ADCC）最新數據顯示，2025 年全年接獲嘅假冒貸款騙案宗數按年升咗 37%，涉及金額突破 3.2 億港元，受害人年齡中位數落到 33 歲，反映連熟悉數碼科技嘅年輕打工仔都一樣中招。喺銀行同 FinTech 財務公司（WeLend、UA Finance、Promise、PrimeCredit）鬥快批 loan、鬥低息嘅競爭環境下，騙徒嘅手法亦同步進化，由傳統 cold call 過渡到 deepfake 視像驗身、偽冒銀行官網、甚至利用 AI 生成嘅「內部員工錄音」去說服受害人過數。呢篇文會拆解 2026 年最常見嘅 6 種私人貸款詐騙手法，同時提供具體嘅核實步驟，等讀者喺申請 HSBC、恒生、Citibank 或者 WeLend、Promise 呢類正規機構嘅貸款時，識得分真假。
假冒銀行職員 Cold Call 進化版：AI 聲紋偽冒
傳統嘅假冒銀行職員電話，多數靠隨機撥打，口音唔純正，對白生硬，唔少人已經識得防範。但 2026 年嘅版本係騙徒先從社交媒體、求職平台或者資料外洩嘅數據庫，撈到目標嘅全名、身份證頭四個數字、任職公司同大概收入範圍，然後用 AI 聲紋合成技術，扮成 HSBC 或恒生銀行嘅「貸款部經理」打電話嚟。
佢哋嘅手法通常係話「你早前申請嘅稅貸預先批核咗，實際年利率 2.8%，但要喺今日內確認，否則優惠會取消」。因為騙徒能夠準確講出受害人嘅個人資料，加上 AI 生成嘅聲線模仿咗某間銀行真實職員嘅語調同用字習慣（呢啲錄音樣本好多係從銀行官方 YouTube 頻道或者客戶服務熱線嘅歡迎語音截取），受害人好容易放下戒心。一旦受害人表示有興趣，騙徒就會要求佢哋透過 WhatsApp 傳送身份證副本、地址證明同收入證明，再指示佢哋去「指定戶口」存入一筆「保證金」或者「手續費」，聲稱係用嚟做信貸評分嘅行政費用。
點樣分辨真假銀行職員來電
正規銀行同持牌財務公司，包括 Citibank、恒生、HSBC、WeLend、Promise、UA Finance，絕對唔會喺電話入面要求客戶提供完整嘅身份證號碼、一次性密碼（OTP）或者要求過數去個人戶口。2026 年 1 月起，香港金融管理局（HKMA）強制所有零售銀行嘅貸款推廣電話，必須喺通話開始後 10 秒內講出一個「一次性驗證碼」，客戶可以即時登入銀行官方 App 嘅「職員驗證」功能核對。如果對方拒絕提供呢個驗證碼，或者話「系統維護緊用唔到 App」，就應該立即收線，再自行打返銀行官網列出嘅熱線號碼確認。
另外，任何要求喺「今日內」過數或者提供全份身份證副本嘅來電，不論對方講出幾多你嘅個人資料，都應該視為高危訊號。騙徒能夠準確講出你嘅資料，只係代表你嘅資料已經外洩，唔代表佢係真職員。
偽冒銀行官網同貸款平台：域名相似度達 98%
2025 年底，香港電腦保安事故協調中心（HKCERT）發出警告，指有犯罪集團註冊咗超過 70 個同本地銀行、財務公司域名極度相似嘅網站，例如將「hsbc.com.hk」改成「hsbc-hk.com」、「welenk.com」（模仿 WeLend）、「promise-hk.net」等。呢啲偽冒網站嘅版面設計同真網站幾乎完全一樣，連貸款計算機、實際年利率（APR）展示方式、FAQ 頁面都抄足，唯一分別係「申請」掣會連結到一個假嘅申請表格，要求申請人輸入完整個人資料、網上銀行登入名稱同密碼。
騙徒嘅操作模式係透過 Google 搜尋廣告或者社交媒體贊助帖文，將偽冒網站推上搜尋結果嘅頭幾位。當用戶搜尋「HSBC 稅貸 2026」、「WeLend 低息貸款」或者「Promise 結餘轉戶」，好大機會撳咗入去假網站都唔發覺。由於呢啲假網站嘅 SSL 證書（即係網址列嘅鎖頭圖示）同樣有效，一般用戶根本冇辦法單憑肉眼分辨。
核實貸款平台真偽嘅三個步驟
第一步，任何貸款申請都應該由官方渠道起步，而唔係經搜尋引擎廣告。想申請 HSBC 私人貸款，就直接喺瀏覽器網址列手動輸入「hsbc.com.hk」；想申請 WeLend，就輸入「welenk.com」（注意 WeLend 官方域名係 welenk.com，唔係 welend.com.hk 或者其他變體）。第二步，入到網站之後，檢查頁面底部係咪有「放債人牌照號碼」同「HKMA 註冊編號」。持牌財務公司必須根據《放債人條例》第 163 章，喺網站當眼位置展示牌照號碼，而銀行則會列出 HKMA 嘅監管聲明。第三步，用 HKMA 嘅「認可機構名單」或者公司註冊處嘅「持牌放債人登記冊」反向核查該牌照號碼係咪真確存在，呢個動作全程唔使 3 分鐘，但足以避開九成嘅偽冒網站陷阱。
社交媒體「內部員工計劃」：偽造員工推薦碼
2026 年其中一個增長得最快嘅貸款騙案手法，係透過 Instagram、Threads 同小紅書嘅限時動態，發放「銀行內部員工推薦計劃」嘅所謂「低息筍 plan」。騙徒會假冒 HSBC、恒生或 Citibank 嘅現職員工，聲稱自己有「員工配額」可以幫街外客申請到年利率低至 1.5% 嘅私人貸款，或者「免 TU 查核」嘅結餘轉戶計劃。
佢哋嘅帖文通常會附上一張模糊嘅「員工證」相片（實際上係 Photoshop 拼貼），再加幾張同「客戶」嘅 WhatsApp 對話截圖，內容係感謝「XX 哥幫手搞掂咗 50 萬貸款，利息真係好低」。受害人留言或私訊查詢之後，騙徒會要求佢哋提供入息證明同身份證，然後話「因為係員工推薦，所以要經我哋內部系統處理，你要先將相當於貸款額 5% 嘅行政費轉去呢個戶口，一個星期內貸款就會批出」。結果當然係過數之後對方便消失，而受害人嘅個人資料亦被轉售畀其他詐騙集團。
點解銀行員工推薦唔會要求事先過數
HSBC、恒生、Citibank 嘅員工推薦計劃確實存在，但流程一定係經官方渠道提交申請，推薦人只需要提供一個員工編號或者推薦碼，申請人自行喺銀行官網或分行完成申請，所有貸款審批、合約簽署同款項發放都係銀行直接處理，唔會經過員工嘅個人戶口。任何要求將「手續費」、「保證金」或「行政費」存入個人戶口或者第三方公司戶口嘅情況，不論對方提供幾多「證明」，都係騙局。根據 HKMA 2025 年 11 月發出嘅《零售銀行業務守則》修訂版，銀行職員嚴禁透過個人通訊軟件（包括 WhatsApp、Signal、WeChat）收取客戶嘅貸款申請文件或款項，違者會即時被吊銷從業資格。
Deepfake 視像驗身：假冒 FinTech 財務公司審批
FinTech 財務公司如 WeLend、UA Finance、PrimeCredit 近年大力推廣「全線上申請、視像驗身、最快 15 分鐘過數」嘅服務，呢個高效率嘅審批流程反而成為騙徒嘅攻擊點。騙徒會冒充呢啲財務公司嘅「審批主任」，透過 WhatsApp 視像通話同受害人進行「身份驗證」。佢哋利用 deepfake 技術，將自己嘅樣貌同聲音實時換成該財務公司廣告入面嘅真人代言人（例如 WeLend 廣告出現過嘅演員或 KOL），背景亦會合成到好似一間真實嘅辦公室。
喺視像通話入面，騙徒會要求受害人手持身份證對住鏡頭，然後讀出一段「同意貸款條款」嘅聲明，整個過程會被錄影。完成「驗身」之後，騙徒會話貸款已經獲批，但因為「信貸評分邊緣個案」，需要受害人先存入一筆「信貸保證金」（通常係貸款額嘅 10% 至 20%）去一個指定戶口，等系統「解鎖」貸款額度。受害人一旦過數，騙徒就會用先前錄取嘅視像片段，去其他金融機構冒充受害人申請貸款或開設戶口，造成雙重損失。
點樣確認視像驗身嘅對方係真職員
正規財務公司嘅視像驗身，一定係由申請人主動登入該公司嘅官方 App 或者官方網站啟動，唔會由「職員」透過 WhatsApp 或者 FaceTime 打電話過嚟要求進行。WeLend、UA Finance、Promise 嘅官方 App 內置咗視像通話功能，整個過程喺 App 內完成，畫面上會顯示申請編號同職員姓名，申請人可以即時喺 App 內核對。如果收到自稱係某財務公司職員嘅視像來電，應該立即收線，然後自行登入該公司嘅官方 App 查閱申請狀態，或者致電官網列出嘅客戶服務熱線確認。
社交工程攻擊：求職陷阱搭貸款詐騙
2025 年下半年開始，出現咗一種結合求職陷阱同貸款詐騙嘅複合手法。騙徒喺 JobsDB、LinkedIn 等求職平台刊登虛假招聘廣告，職位包括「初級貸款顧問」、「客戶服務主任（無需經驗）」等，月薪標示 18,000 至 25,000 港元，吸引正在搵工嘅年輕人應徵。
面試過程會透過 WhatsApp 或 Signal 進行，騙徒會要求求職者提供身份證、地址證明、銀行戶口號碼同入息證明，「以便進行背景審查」。幾日之後，騙徒會通知求職者「你已經獲聘」，然後話「公司需要你協助測試內部貸款系統，會將一筆 30 萬嘅款項轉入你戶口，你再轉返去公司指定戶口，整個過程係模擬測試，唔會涉及真實金錢」。實際上，騙徒係用求職者提供嘅資料去申請貸款，款項獲批後轉入求職者戶口，求職者再按指示轉走，變相成為洗黑錢嘅中間人。到銀行或財務公司追數時，求職者先發現自己孭上一筆幾十萬嘅債務，而騙徒已經消失。
求職期間點樣保護自己嘅個人資料
任何要求喺面試階段提供完整身份證副本、銀行戶口密碼或網上銀行登入資料嘅招聘，都極度可疑。正規僱主喺發出聘用合約之前，最多只會要求睇身份證嘅頭四個數字（用作核對身份），唔會要求求職者提供全份副本。根據個人資料私隱專員公署嘅指引，僱主只可以喺確定聘用之後，先至收集僱員嘅完整個人資料作支薪同報稅用途。如果求職期間被要求提供呢類敏感資料，應該直接拒絕，並向警方或私隱專員公署舉報。
點樣建立防騙習慣：五個具體行動
睇完以上六種手法，重點唔係記晒所有騙案類型，而係建立一套無論面對任何貸款推廣都可以即刻套用嘅核實流程。以下五個行動，係綜合咗 ADCC、HKMA 同持牌財務公司嘅官方建議，適用於銀行（HSBC、恒生、Citibank）同 FinTech 財務公司（WeLend、Promise、UA Finance、PrimeCredit）嘅貸款申請。
第一，永遠由官方渠道起步。唔好經搜尋引擎廣告、社交媒體贊助帖文或者即時通訊軟件嘅連結去申請貸款。想申請邊間機構嘅貸款，就手動輸入佢嘅官方網址，或者下載佢嘅官方 App。第二，任何要求事先付款嘅貸款都係騙局。正規銀行同財務公司嘅手續費（如有）會喺貸款獲批後，直接從貸款金額入面扣除，或者列明喺合約嘅還款 schedule 入面，絕對唔會要求申請人喺獲批之前過數去任何戶口。第三，啟用銀行 App 嘅「職員驗證」功能。2026 年起，HSBC、恒生、Citibank 嘅手機 App 都內置咗呢個功能，當收到自稱係銀行職員嘅來電，可以要求對方提供驗證碼，然後喺 App 內核實。第四，定期檢查自己嘅信貸報告。香港嘅信貸資料服務機構（例如環聯 TransUnion）提供每年一次免費信貸報告，定期查閱可以及早發現有冇人冒認身份申請貸款。第五，遇到懷疑個案，立即致電 ADCC 防騙熱線 18222。呢條熱線 24 小時運作，接線員可以即時幫你判斷對方嘅手法係咪已知嘅騙案模式，並提供下一步行動建議。