黑色星期五與網絡星期一：慎防「不安全」警告

感恩節即將來臨，假日購物季亦隨之展開。黑色星期五和網絡星期一是零售業一年中利潤最豐厚的兩個銷售日，美國零售聯合會預計，感恩節周末期間，美國有近70%的成年人會參與購物。去年，黑色星期五單單線上銷售額已達到約62億美元，創下歷史新高；而網絡星期一的銷售額更在此基礎上新增了78億美元。

零售商並非唯一在日曆上標註黑色星期五的群體，這一點並不讓人意外。當數以百萬計的消費者瀏覽線上零售商，花費數百甚至數千美元辛苦賺來的金錢時，網絡罪犯亦在設計愈來愈具迷惑性的手段，誘騙消費者誤將資金轉到他們手上。

以下是網絡罪犯常用的其中一種手段：他們搭建與零售商網站高度仿真的仿冒網站，誘騙消費者瀏覽仿冒站而非合法網站。最常見的引流方式是發送電郵，宣傳某家零售商的優惠或促銷活動。這類電郵看起來可能十分正規，但收件人點擊連結後會被重新導向到偽裝成零售商網站的釣魚網站。除非用戶仔細核對地址欄中的網站URL，否則很難察覺自己瀏覽的是仿冒站。如果用戶在這類網站嘗試落單，所輸入的全部金融資料都會直接落入詐騙者手中。

幸而，這類威脅並非完全無法防範。儘管不法分子的手段不斷更新，消費者的網絡安全意識和辨別能力亦在提升。多款瀏覽器正推出新的防護方式，協助用戶辨識目前瀏覽的網站可能並非表面看來的合法網站。去年，谷歌Chrome開始將所有未加密HTTP頁面標記為「不安全」，火狐亦在今年發布Firefox 70版本時跟進了這一機制。這代表，非HTTPS頁面，亦即未部署SSL/TLS 證書、未經可信性驗證的頁面，將會被標記為存在潛在風險的網站，向消費者提示風險。

需要留意的是，「連線加密」和「網站可信」是兩個不同的概念。

網站部署了SSL/TLS 證書，並不必然代表該網站本身是可信的。證書的作用僅為保障用戶在該網站輸入的資料（如信用卡資料、登入憑證等）不會被第三方竊聽。遺憾的是，現時很多釣魚網站亦能取得SSL/TLS 證書，因此網站顯示「連線安全」，並不自動代表在該網站輸入個人資料是安全的。

但反過來說，如果看到頁面彈出「不安全」警告，即使確認目前瀏覽的是正規網站，消費者也不應在該網站輸入任何敏感資料。未加密的電子商貿網站會為消費者帶來多重風險，信用卡嗅探程式、憑證竊取程式及其他詐騙者必然會伺機竊取未加密的通訊數據。「不安全」警告提示你可能正在瀏覽欺詐網站；即使你瀏覽的確實是正規網站，該警告亦通常代表網站沒有能力保護你的資料，你應當選擇其他可靠的渠道完成交易。

「不安全」警告並非網站安全的終極判斷標準，但對於不確定某一網站是否可信的消費者而言，這是一條非常實用的經驗法則。消費者應當警惕潛在詐騙——尤其是在每年的這個時段——而現時的瀏覽器亦在持續提供更多工具，協助用戶作出更安全的判斷。

事實上，研究顯示，97%的活躍互聯網用戶會選擇計劃開展業務、主動採取措施保護用戶機密資料的企業進行交易。避開主流瀏覽器彈出的「不安全」警告，能夠讓負責任的企業在安全意識薄弱的同業中獲得競爭優勢：他們不僅能為消費者提供優質的假日優惠，還能讓消費者確信，商戶已將保護用戶金融資料列為首要任務。