“您的账户因异常登录被锁定，请点击链接验证身份。”收到这种短信，很多人手一抖就点了。点进去的网站跟银行官网一模一样，输入账号密码，银行卡就被盗刷了。银行短信钓鱼（smishing，SMS 加 phishing）是 2026 年增长最快的诈骗类型：成本低、精准度高（骗子知道你在哪个银行开户）、中招率高。这篇文章教你 7 招识别、银行的真假沟通规则、中招后的止损。
一、Smishing 的套路：四种剧本
剧本一：“账户被锁定”。最经典的：制造恐慌，让你“立即验证”。链接是钓鱼网站，页面克隆银行官网，输入的账号密码直接进骗子数据库。剧本二：“有大额交易”。短信说“你的账户有一笔 5000 美元的交易，回复 Y 确认，回复 N 取消”，你回复 N，骗子打电话来“帮你处理”，电话里套你的信息。这是短信加电话的组合拳。
剧本三：“积分过期”。冒充银行的信用卡积分：“你的积分即将过期，点击兑换”。链接是钓鱼网站，骗的是你的信用卡信息。剧本四：“Zelle 转账”。短信说“你有一笔 Zelle 转账待确认”，链接点进去，要你输银行登录信息。Zelle 转账不可逆，骗子最爱。四种剧本的共同点：紧迫感、链接、要你输入敏感信息。
二、7 个识别点
第一，看发件人。真银行的短信发件人是短号码（如 728464）或官方名称，骗子用普通手机号或仿冒名称。但注意：发件人名称可以伪造（spoofing），所以这只是第一道筛子。第二，看链接。真银行的链接域名是银行官网（如 chase.com），骗子的链接是 bit.ly 短链接、奇怪的域名（chase-secure.com）。不点链接，是铁律。
第三，看措辞。真银行的短信是模板化的、冷静的：“提醒：你的账单已出，请登录 App 查看。”骗子的短信是威胁性的：“账户被锁定，立即验证，否则冻结。”第四，看索要的信息。真银行不会在短信里让你输账号密码、SSN、卡号。任何让你“点击链接输入”的，都是骗子。第五，看语法。骗子的短信经常有拼写错误、中式英语，真银行的模板是专业校对的。
第六，交叉验证。收到可疑短信，不点链接，自己打开银行 App（从手机桌面进，不是点链接）看有没有通知。App 里没有，短信就是假的。第七，打电话。打银行卡背面的官方客服电话（不是短信里的号码），问“我有没有账户异常”。官方渠道验证，是终极方法。
三、银行的真沟通规则：记住三条
第一条：银行不会在短信里放链接让你输密码。银行的短信最多是提醒，操作都要你自己打开 App 或官网。第二条：银行不会打电话让你报完整卡号、CVV、短信验证码。客服最多问你后 4 位验证身份，要完整卡号的就是骗子。第三条：银行的“紧急”都有缓冲。真账户异常，银行会先限制交易、再通知你，有足够的时间核实，不会“30 分钟内不验证就冻结”。
把这三条记牢，90% 的 smishing 伤不到你。剩下的 10%，靠“不点链接、自己验证”的习惯。银行的安全逻辑是：把操作的主动权交给你，而不是在短信里替你操作。任何“在短信里完成操作”的要求，都违背这个逻辑。
四、点错了链接、输了密码：止损五步
第一步，立刻改密码。用另一台设备（确认没中毒的）登录银行官网改密码，开双重验证。第二步，打银行客服。说明情况，要求冻结可疑交易、换卡。银行的 fraud 部门 24 小时有人，越早打，损失越小。第三步，查交易记录。把不认识的交易列出来，向银行争议（dispute）。信用卡受 FCBA 保护，盗刷的可以拒付；借记卡受 Regulation E 保护，60 天内报告，责任上限 50 美元（及时报告的话）。
第四步，冻结信用。如果输了 SSN，骗子可能拿去开新账户，三大信用局冻结。第五步，报警加举报。FTC（reportfraud.ftc.gov）、FBI IC3（ic3.gov）、转发短信到 7726（垃圾短信举报）。被骗后 24 小时是黄金时间，银行的交易拦截、换卡，都拼速度。
五、手机中毒了怎么办
有些钓鱼链接点进去会下载恶意软件（特别是安卓的 APK）。症状：手机发热、流量暴增、弹出广告、银行 App 闪退。处理：第一，断网（开飞行模式），防止数据继续外传。第二，用手机自带的安全扫描（安卓的 Play Protect、iPhone 一般不需要）。第三，备份重要数据后恢复出厂设置，这是最彻底的。第四，改所有重要密码（银行、邮箱、社交），用另一台设备改。
iPhone 中毒的概率低（App Store 审核严），但也不是零：描述文件（profile）安装、钓鱼 WiFi 都是途径。安卓用户特别注意：不要开“未知来源安装”，不要装短信里的 APK。手机是银行账户的钥匙，手机的安全就是钱的安全。
六、Zelle 诈骗的特别提醒
Zelle 是 smishing 重灾区，因为 Zelle 转账不可逆。骗子的剧本：“你的 Zelle 有一笔可疑转账，回复 N 取消”，你回复后，骗子打电话来“帮你取消”，一步步套出你的信息，最后让你“把钱转到安全账户”。记住：Zelle 没有“安全账户”，让你转账的都是骗子。银行永远不会让你把钱转到另一个账户“保护起来”。
Zelle 被骗的追回很难（不可逆），所以预防是唯一的方法：不点 Zelle 相关的短信链接、不按短信的指示操作、Zelle 只给认识的人转账。银行对 Zelle 诈骗的赔付政策在收紧（2026 年的新规要求银行对特定诈骗赔付，但条件严格），不要把希望押在赔付上。
七、给家人的防骗：三句话
第一句：“银行的短信，不点链接。”第二句：“要输密码的，自己打开 App。”第三句：“拿不准的，打卡背面的电话问。”三句话教给家人，特别是用手机银行的老人。帮家人设置好：银行 App 的指纹登录、交易提醒（每笔交易都推送）、双重验证。技术加习惯，双保险。
八、短信举报：7726
美国有个统一的垃圾短信举报号码：7726（拼出来是 SPAM）。收到可疑短信，转发到 7726，你的运营商会处理。虽然不能立刻关掉骗子，但举报数据会进反诈数据库，帮运营商优化拦截。养成习惯：可疑短信，截图、转发 7726、删除。三步走，为反诈事业做贡献。
九、常见问题快问快答
问：短信里说“我是银行客服，回电 400XXXX”，能回吗？答：不能。回拨的号码可能是骗子的。打银行卡背面的官方电话，这是唯一的客服渠道。骗子的“回电”话术，就是为了让你打给他，好继续骗。
问：银行 App 推送的通知，可信吗？答：可信。App 推送是走银行官方通道的，比短信可信得多。但注意：推送也不会让你“点击输入密码”，操作都在 App 内完成。任何让你离开 App 去“验证”的，都是骗子。
问：我把验证码告诉“客服”了，怎么办？答：立刻打银行官方电话，说明验证码泄露，要求冻结相关操作。验证码是最后的防线，泄露后 1 小时内行动。以后记住：验证码谁都不要给，包括自称银行客服的。
十、Smishing 的法律：TCPA 也管短信
TCPA 不只管 robocall，也管短信。未经同意的营销短信，每条 500 美元赔偿（明知故犯 1500 美元）。诈骗短信更不用说，本身就是违法的。但 smishing 的难点是：骗子用一次性号码、虚拟号，找不到人。TCPA 诉讼针对的是“找得到”的真企业营销短信，对“找不到”的骗子，法律武器的作用有限。所以短信防骗，技术拦截加习惯，比法律诉讼更实际。
运营商的拦截：T-Mobile、AT&T、Verizon 都有免费的垃圾短信过滤，开通。手机的设置：iPhone 的“过滤未知发件人”、安卓的“垃圾短信防护”，打开。第三方的 App：RoboKiller、Hiya 也有短信过滤。但道高一尺魔高一丈，骗子的短信模板天天变，拦截率不可能 100%。最终防线还是人：不点链接、不回短信、自己验证。
十一、短信验证码的保卫战
短信验证码是很多账户的“最后防线”，骗子也在打它的主意。骗术：“你的验证码是 XXX，请告诉我”（冒充客服）、SIM 卡劫持（SIM swap：骗子冒充你去运营商那补卡，你的号码就到了骗子手里，验证码全进骗子手机）。防范：验证码谁都不要给（包括“客服”）；给运营商设 PIN 码（补卡要验证）；重要账户用 App 验证器（Google Authenticator）代替短信验证。
SIM 卡劫持是 2026 年增长最快的攻击：骗子拿到你的号码，就能重置你的银行、邮箱、社交密码。防范的核心是运营商账户的 PIN 码：AT&T、Verizon、T-Mobile 都允许设“账户 PIN”，补卡、改套餐都要验证。设一个，几分钟，防的是灭顶之灾。
十二、银行 App 的安全设置清单
打开银行 App，检查这五个设置：第一，交易提醒全开（每笔交易都推送）；第二，双重验证开（App 内验证，不是短信）；第三，Zelle 限额设低（不用的直接关）；第四，境外交易锁（不用的关）；第五，登录提醒开（每次登录都通知）。五个设置 10 分钟搞定，安全等级升三级。
十三、一句话总结
银行短信三不原则：不点链接、不回短信、不输密码。拿不准的，自己打开 App 或打卡背面电话验证。10 秒钟的核实，能省下几千美元。把这三不原则教给家人，全家防骗。
最后强调：短信是通知渠道，不是操作渠道。凡是让你在短信里完成操作的，都是骗子。这个原则记牢，smishing 近不了身。
相关阅读
- 银行账户被盗刷怎么办：Regulation E 60 天报告、10 天调查与追回全流程
- 来电显示是银行就一定是真的吗？Caller ID 伪造识别与 STIR/SHAKEN 全解
- FasTrak 高速费短信是诈骗：官方从不发短信催费
英文官方来源
核验于 2026年10月7日：FTC 钓鱼诈骗指引以官网现行版本为准；Regulation E 保护规则以 CFPB 现行规定为准。
免责声明
本文仅为一般信息分享，不构成法律意见。被骗后请及时联系银行并向 FTC、FBI 举报。
更多美国华人防骗实务解读，欢迎关注微信公众号：UUUMGT，后台回复“防骗”查看诈骗防范专题。
评论前必须登录！
注册