截至 2026 年，香港最新網絡釣魚事故形勢如何？

根據香港網絡安全事故協調中心（HKCERT）2026 年上半年數據，共接獲 8,358 宗網絡安全事故報告，其中 5,305 宗涉及網絡釣魚（Phishing），佔整體事故約 63%，比 2025 年同期大幅增加約 25%。

香港企業是否有法例強制要求定期進行模擬釣魚測試？

香港並無統一法例強制要求所有企業完成固定時數的釣魚培訓。然而，《個人資料（私隱）條例》（PDPO）保障資料第 4 原則、香港金管局（HKMA CFI 2.0）及證監會（SFC）對持牌機構的要求，均明確要求企業採取與風險相稱的人員防禦與內部監控措施。

為甚麼傳統年度網絡安全培訓無法阻擋生成式 AI 釣魚攻擊？

傳統培訓主要存在三個瓶頸：培訓內容與實際部門工作情境脫節、僅追蹤課程完成率而非實際安全行為變革，以及在員工出現高風險行為後缺乏即時的跟進與微培訓（Just-in-Time Training）反饋。

KnowBe4 平台如何協助香港及東南亞企業建立人因風險管理迴圈？

KnowBe4 提供在地化繁體中文培訓與模擬釣魚演練，利用 SmartRisk™ 進行部門與個人風險分級、配置 Phish Alert Button 一鍵舉報插件，並透過 AIDA AI 自動化分派個人化培訓，自動生成符合監管審計（HKMA, SFC, PCPDO）要求的量化合規報告。

企業應如何分階段啟動人因安全防範計畫？

建議遵循四步法：1. 進行無預警基準模擬釣魚測試評估真實風險；2. 依職能配置情境化繁體中文培訓；3. 部署 Phish Alert Button 可疑電郵舉報機制；4. 定期提交量化報告向管理層與監管機構匯報。

【虹科方案】香港企業人因安全防線：合規、培訓與 AI 釣魚應對 – KnowBe4 解決方案 - 虹科電子有限公司

虹科最新文章

HongKe

在此添加您的标题文本

I. 引言：關鍵基礎設施法規下的數據層戰略變革

【虹科方案】香港企業人因安全防線：合規、培訓與 AI 釣魚應對

一封看似由管理層發出的付款電郵、一則要求重新登入帳號的 WhatsApp 訊息，或是一個極度逼真的視像會議邀請，都可能成為黑客入侵企業網絡的起點。生成式人工智能（Generative AI）顯著降低了社交工程與釣魚攻擊的門檻。攻擊者能快速模仿香港在地常用的書面語、品牌語氣及內部溝通習慣，並透過電子郵件、短訊（SMS）、社交平台及即時通訊軟件精準接觸員工。即便企業已部署防火牆、端點偵測與回應系統（EDR）及郵件安全閘道（Email Security Gateway），依然難以完全阻斷利用人際信任、急迫感及權限審批流程發動的網絡釣魚與社交工程攻擊。

因此，企業管理層與 IT 資安團隊需要處理的已不單是「員工是否有完成培訓」，而是三個更關鍵的實質問題：

威脅應對能力：員工在遇到可疑要求或異常訊息時，能否及時辨識並採取正確的通報與防禦行動？
風險分級管理：哪些部門、特定職位或個別員工正面臨較高的資安暴露風險？
量化證明機制：管理層能否透過客觀數據與報告，證明安全意識培訓及模擬演練確實改善了員工的資安防護行為？

KnowBe4 安全意識培訓平台，正是協助企業將資安培訓、模擬釣魚攻擊、員工主動報告、風險評估及即時提醒整合為一個持續運作與優化的改善迴圈。

香港最新網絡安全形勢：釣魚仍是最主要威脅

截至 2026 年上半年，香港網絡安全事故協調中心（HKCERT）共接獲 8,358 宗網絡安全事故報告，其中 5,305 宗涉及網絡釣魚（Phishing），佔整體事故約 63%，較 2025 年同期大幅增加約 25%。這些官方數據充分顯示，網絡釣魚攻擊並未因企業加大技術防範投資而消失，反而持續透過更多元化的渠道滲透企業用戶。

此外，Verizon《2026 年數據外洩調查報告》（Data Breach Investigations Report）亦指出，在金融及保險業的已確認資料數據外洩事件中，65% 涉及人為因素（Human Element）；常見的初始入侵途徑包括系統漏洞利用、網絡釣魚以及被盜用的登入憑證。這比早期引用數據中的「74%」更符合 2026 年最新市場環境與產業實際情況。

針對香港及東南亞企業，以下幾類常見的攻擊情境尤其需要高度警惕：

商業電郵詐騙及高層冒充（BEC）

攻擊者冒充企業行政總裁（CEO）、財務總監（CFO）、合作供應商或專業顧問，要求財務或行政員工變更收款銀行帳戶、處理緊急外匯轉帳，或交付敏感交易與客戶數據。此類詐騙訊息通常刻意營造「高度保密」、「管理層已特別批准」或「必須於今日內完成」等急迫語氣，強迫員工繞過標準的內部審核程序。

帳號與憑證盜用（Credential Theft）

攻擊者偽造銀行、物流快遞、雲端服務平台、Microsoft 365 或其他企業常用工具的登入通知，誘騙員工輸入企業帳號密碼、多重認證碼（MFA）或一次性密碼（OTP）。黑客一旦奪取帳號控制權，便會利用真實的企業電郵帳號發送詐騙訊息，進一步欺詐內部同事、客戶及供應商夥伴。

香港證券及期貨事務監察委員會（證監會 / SFC）於 2025 年發佈的網絡釣魚防禦通函中特別強調，曾有客戶收到偽冒持牌法團的釣魚短訊，在虛假網站輸入登入憑證後，導致帳戶遭未經授權操控及非法交易。

多渠道社交工程（Omnichannel Social Engineering）

網絡攻擊已不再局限於傳統電子郵件。攻擊者往往先在 LinkedIn 等職涯社交平台收集目標企業的組織架構與匯報關係，再透過 WhatsApp、電話語音、短訊（SMS）乃至視像會議建立信任關係。若員工僅接受過「如何識別釣魚電郵」的單一培訓，在面對跨渠道的社交工程陷阱時便極易忽視相同的風險訊號。

不當使用生成式 AI（Generative AI Governance Risks）

員工若將客戶個人資料、商業合約、財務數據、系統程式碼或內部機密文件直接輸入未經授權的公共 AI 工具，極易引發資料管治、商業保密及個人私隱合規風險。解決此項問題絕非單靠宣導「禁止使用 AI」即可落實；企業必須制定清晰的 AI 使用範疇政策、數據分類指引、已核准工具清單，並配合符合實際日常工作情境的資安培訓。

合規重點不是「上過一堂課」，而是管控是否與風險相稱

香港並沒有一項適用於所有企業、規定每名員工必須完成固定時數網絡安全培訓的統一法例。實際要求取決於企業所屬行業、持牌狀況、處理的數據資料、業務風險及相關監管規定。

因此，企業在官網或合規文件中，不宜籠統聲稱所有香港企業均被法例強制要求定期進行模擬釣魚測試。更準確的定位是：企業需要按其法律及監管責任，採取與風險相稱的人員、流程及技術防禦措施，並保留足夠記錄證明相關措施得到切實落實。

《個人資料（私隱）條例》（PDPO）

根據《個人資料（私隱）條例》下的保障資料第 4 原則（Data Protection Principle 4），資料使用者必須採取所有切實可行的步驟，保障個人資料免受未經授權或意外的查閱、處理、刪除、喪失或使用。

條例本身並未指定企業必須採購特定類型的培訓平台，但香港個人資料私隱專員公署（PCPDO）的指引建議機構建立完善的數據處理政策與程序，並定期提醒員工遵守。換言之，安全意識培訓是整體數據保安控制體系的一部分，而非完成一次課程便能自動證明合規。

香港金融管理局（HKMA）

香港金管局推行的 Cybersecurity Fortification Initiative 2.0（CFI 2.0） 以網絡韌性評估、專業發展及威脅情報共享為三大核心支柱，適用於認可機構。2026 年，金管局亦就人工智能增強型網絡威脅（AI-enhanced Cyber Threats）發出有關強化網絡韌性的通告，反映銀行業需要持續檢視現有管控能否應對新一代攻擊。

需要特別釐清的是，網絡安全專業資歷架構（ECF-C）主要面向在認可機構擔任指定網絡安全職能的相關從業員，並非全體銀行員工的通用安全意識培訓時數規定，且 ECF-C 本身並非強制發牌制度。