根據防詐技術公司 Infinigru Corp. 發布的最新報告，短信釣魚詐騙（smishing）正演變為高度個人化的攻擊，利用被竊取的個人資料來欺騙韓國年長受害者。

詐騙者如今能以近乎完美的準確度稱呼年長受害者為「媽媽」或「爸爸」，某些案件中甚至使用受害者子女的真實姓名。此類詐騙通常聲稱手機螢幕摔壞或聯絡號碼變更，最終目的是竊取銀行帳戶資料，或誘騙受害者安裝惡意應用程式，使詐騙者得以遠端控制其裝置。

當局懷疑此類詐騙仰賴近期大規模資料外洩事件中暴露的個人資料。近年來，韓國發生了多起重大資料外洩事件——包括電信業者、電商平台及金融機構的資安事故——合計暴露了數千萬居民的個人資料，為詐騙者提供了涵蓋姓名、電話號碼、年齡及家庭關係的豐富資料庫。

問題規模

Infinigru 的報告涵蓋2025年12月8日至2026年7月14日的七個月期間，共識別出1,856名受害者，他們收到了金錢或個人資訊的要求，或在安裝惡意應用程式後遭遠端控制手機。這些受害者合計收到40,876封簡訊。

受害者以年長者居多。50歲及以上者約占94%，共1,743人。此一分布與韓國的人口結構趨勢一致：韓國是全球人口高齡化速度最快的國家之一，老年人已快速普及智慧型手機，使其成為可觸及的目標，但往往對不斷演變的釣魚手法較不熟悉。

稱呼準確度與年齡關聯

在1,801名40歲及以上的受害者中，詐騙者正確稱呼1,718人為「媽媽」或「爸爸」，準確率達95.3%。稱呼準確度隨年齡穩定上升：40多歲受害者為79.2%，50多歲為93.2%，60多歲為96%，70多歲為97%，80歲及以上為96.2%。

「來自單一詐騙號碼的訊息高度集中於50歲及以上的接收者，且『媽媽』和『爸爸』等稱呼的準確度接近100%，」Infinigru 在報告中表示。「這疑似並非隨機發送訊息，而是利用近期個資外洩所取得的年齡與性別資訊進行的精準釣魚詐騙。」

使用子女真實姓名

在30起案件中，詐騙者發送了包含受害者子女真實姓名的訊息，這在降低受害者戒心方面極為有效。在這30名受害者中，有29人與詐騙者交換了兩則以上的訊息，訊息交換次數的中位數為34則——是整體樣本中位數10則的三倍以上。這30名受害者中有11人最終透過連結安裝了惡意應用程式，使詐騙者得以遠端控制其手機。

「當提到子女的真實姓名時，並非詐騙者即時竊取個人資訊，而是詐騙者反覆利用過去因惡意應用程式感染而早已外洩的聯絡人清單，」Infinigru 表示。

發送者還使用了「我是你長子」或「我是你大兒子」等自我標識——這些是韓國父母常用的稱謂——推測是直接從受害者手機中儲存的聯絡人名稱複製而來。

時間與數量趨勢

自2026年3月起，釣魚簡訊數量激增。每月簡訊量從12月的1,291則、1月的2,410則、2月的2,137則，攀升至3月的10,162則和4月的10,791則，隨後在5月降至6,300則、6月為7,566則。

詐騙者將首次接觸集中在上午10點至下午2點之間。「詐騙者似乎選擇子女在工作或上學的時段，使手機摔壞的情境聽起來更合理，」報告指出。

攻擊速度與持續時間

受害者往往在意識到受騙之前就已遭受損失。從第一封簡訊到提出金錢或個人資訊要求的時間中位數僅為26分鐘。詐騙者透過長時間對話建立信任，在審查的2,525次交談中，有1,994次持續超過一小時。

透過拋棄式號碼逃避追查

緝拿肇事者仍是一大挑戰。在用於發送訊息的1,160個電話號碼中，有818個僅使用一天即被棄用。詐騙者使用以竊取身分註冊的電話號碼輪替池。韓國當局已要求手機號碼註冊須進行實名驗證，但詐騙者透過身分盜用或非法管道取得SIM卡來規避這些規定，這是該國電信監管機構一直試圖透過更嚴格的開通管控來解決的持續性問題。

專家評論

建國大學警察學系教授李雄赫表示，一連串的大規模資料外洩事件提高了詐騙者利用詳細個人資訊的可能性。

「人們不應立即相信提及個人資訊的簡訊或電話，政府和企業必須加強安全措施以解決根本問題，」李雄赫說。

調查結果凸顯了外洩個資流入有組織詐欺活動所造成的複合風險——這已被韓國警方網路犯罪部門、韓國通訊委員會及金融監管機構列為日益優先的議題，特別是隨著數位活躍的年長居民群體持續擴大。

本文來自《韓國日報》（The Korea Times 的姐妹報），由生成式AI系統翻譯，並經 The Korea Times 編輯。