“您的账户存在异常登录，点击链接验证身份，验证码 10 分钟内有效。”短信里的链接点进去，页面和 Chase 官网一模一样，输入了用户名、密码、短信验证码。第二天醒来，账户里的 2 万美元没了。这就是 smishing（短信钓鱼），2024 年之后美国增长最快的诈骗手段之一。它难防，因为短信的发件人可以伪造，链接的页面可以高仿，你输的每一步都“很合理”。这篇文章讲清 smishing 的识别方法、中招后的黄金 24 小时，以及钱被转走后的追回路径。
smishing 的 5 个套路
套路一：冒充银行，“账户异常”“卡被冻结”“大额交易待确认”，制造恐慌，让你“赶紧点链接”。银行真的发现异常，会让你“打官方电话”或“登录官方 App”，不会发链接让你点。套路二：冒充快递，“包裹派送失败，点击更新地址”，USPS、UPS、FedEx 的短信只发物流状态，从不让你“点链接输卡号”。套路三：冒充政府，“IRS 退税待领取”“DMV 罚单未缴”，政府不发短信要钱，这是铁律。
套路四：验证码钓鱼，“您的验证码是 123456，如非本人操作请点击链接”——你没操作，却收到了验证码，说明骗子正在用你的账号登录，验证码是发给你的“临门一脚”。正确的做法是：不点链接，直接登录官方 App 改密码。把验证码告诉“客服”（骗子），等于把家门钥匙递过去。套路五：“银行客服”来电。短信之后，骗子打电话来，“工号 9527，帮您处理异常”，一步步套你的验证码。记住：真正的银行客服，永远不会问你要短信验证码。问你要的，100% 是骗子。
识别 smishing 的三秒法则：一看发件人。银行短信的短号是固定的（Chase 是 24273 等），陌生号码、“+1”开头的长号、邮件地址发件人，直接删。二看链接。chase-secure-login.com 这种“长得像”的域名，都是假的。银行的域名就是 chase.com，多一个字母都是假。三看语气。“10 分钟内不验证就冻结”，制造紧迫感是诈骗标配。真银行不催你，催你的都是骗子。
中招后的黄金 24 小时
第一小时：打银行官方电话。卡背面的电话、官网上的电话，哪个都行，就是别打短信里的。告诉银行“我遭遇了短信诈骗，账户可能被盗”，要求：冻结可疑交易、重置网银密码、换发新卡。银行的欺诈部门 24 小时有人，半夜也打得通。第二小时：改密码。从官方 App 或官网登录，改网银密码，开启双重验证（用 authenticator App，不用短信验证码——你的短信已经不安全了）。
24 小时内：报警，拿案件编号；向 FTC（ReportFraud.ftc.gov）和 IC3 报案；检查信用报告（annualcreditreport.com），看有没有被冒名开户；给三大信用局（Equifax、Experian、TransUnion）加 fraud alert 或 credit freeze。骗子拿到你的信息，不会只动一个账户，信用冻结是“一锁了之”。另外，把那条诈骗短信截图，转发到 7726（SPAM），这是运营商和 FCC 的举报通道。
不要做的事：不要“再点一次链接看看”（二次感染）；不要相信“银行安全部门”的回电（骗子会回拨）；不要觉得“钱不多算了”（你的信息还在骗子手里，下次可能是大的）。黄金 24 小时的核心是“止损”：冻结、改密、报警、冻信用，四件套做完，损失就锁死了。
钱被转走：追回路径
先分清两种情形，追回难度天差地别。情形一：“未经授权”的转账。骗子用你的账号密码直接转钱，这是 unauthorized transfer，受 Regulation E 保护：你要在 60 天内向银行报告（越快越好），银行必须在 10 个工作日内调查（新账户 20 天）， provisional credit 先垫给你。这是法律给你的盾，大多数银行会赔。情形二：“你授权”的转账。骗子让你“把验证码告诉我”，你说了，转账是你“授权”的——法律上这叫 authorized push payment，Reg E 的保护很弱，银行可以说“是你自己同意的”。
现实中，大量 smishing 案子卡在“情形二”：钱是你“自愿”转的（虽然是被骗的）。这时候的追回路径是：第一，银行申诉，写书面材料，强调“我是被欺诈诱导的，不是真实意愿”，要求银行按“善意”处理。有些银行会对小额“善意赔付”，尤其是老客户。第二，报警立案，案件编号给银行，增加“这是诈骗”的可信度。第三，CFPB 投诉，如果银行拒绝， consumerfinance.gov 提交投诉，银行必须正式回应。CFPB 投诉是“大杀器”，银行的合规部门会认真看。
第四，收款方追踪，钱转到哪里去了？Zelle 转个人、wire 转境外，难度递增。Zelle 的钱，如果对方还没提现，银行有可能拦截——所以“快”是关键。Wire 转出美国的，基本追不回。第五，小额法庭，如果查到收款人是美国境内的真实身份，可以起诉“不当得利”。金额大的，找律师。记住时间线：Reg E 的 60 天是硬 deadline，错过了，银行的法定义务就没了。先报银行，再慢慢打官司，顺序不能反。
银行会赔吗：实话实说
实话：看情形。“未经授权”的，银行基本会赔，这是 Reg E 的法定义务，银行不敢不赔。“被骗授权”的，看银行心情和你的材料。银行内部有个“欺诈 vs 纠纷”的判断：你能证明“对方是骗子”（报警记录、短信截图、FTC 报案），银行赔的概率大；你说不清、材料不全，银行大概率拒绝。大额（5 万以上）的，银行审查更严，因为骗赔的也多。
提高赔付概率的三个动作：第一，书面材料一次备齐，时间线、短信截图、报警编号、FTC 报案号，打包发给银行欺诈部门。材料齐的人，银行处理得快。第二，态度坚定但专业，“我是诈骗受害者，要求按欺诈案件处理”，而不是“你们银行怎么这么不负责”。骂人不解决问题，材料才解决。第三，升级投诉，客服拒绝，找 supervisor；supervisor 拒绝，CFPB 投诉。CFPB 投诉之后，银行的回应级别完全不同。
如果银行最终拒绝，金额大的，找律师评估：银行有没有违反 Reg E 的调查义务？有没有“明知是诈骗还放行”？有些案子能打，但成本高。小额的，认栽，买教训。最后，所有“追回被骗资金”的二次诈骗（“交 500 手续费帮你追回”），都是骗子，别再上当。钱被骗一次是受害者，被骗两次是“回头客”，骗子最爱。
以后怎么防：短信安全手册
第一，银行短信只看不点，任何让你“点链接”的银行短信，默认是假的。真有事，打开官方 App 看。第二，验证码是核武器，短信验证码只输在官方 App/官网，绝不告诉任何“客服”、不填在短信链接里。第三，开启 App 双重验证，用 authenticator（Google Authenticator、Authy），不用短信验证。SIM 卡劫持（SIM swap）能截获你的短信，authenticator 截不走。
第四，信用冻结，三大信用局全部 freeze，需要贷款时再临时解冻。这是防身份盗用的终极武器，免费，10 分钟搞定。第五，银行 alerts 全开，大额交易、异地登录、密码修改，全部短信+邮件提醒。骗子动你的账户，你第一时间知道。第六，定期查账单，每周花 5 分钟看一眼账户，小额测试交易（骗子先转 1 美元试水）要警惕。
再补充一个高阶技巧：给银行设置“口头密码”（verbal password）。很多银行支持在账户上加一个电话验证口令，客服在电话里必须先对上口令才办业务。这样即使骗子拿到了你的基本信息，打电话冒充你时也会被拦下。口令别用生日、纪念日，用无意义的组合，写在安全的地方。再补一个容易被忽视的环节：短信里的“退订”回复。诈骗短信末尾常写“回复 STOP 退订” , 千万别回。回复 STOP 等于告诉骗子“这个号码是活的” , 你会被标记为优质目标 , 收到更多诈骗短信。正确做法是直接删除 , 并转发到 7726 举报。不回复、不点击、不回拨 , 三不原则要刻进脑子里。最后一句：smishing 防的是“人性”，不是“技术”。骗子不黑你的手机，黑的是你的“慌”。“账户异常”四个字，就是让你慌。记住：天塌下来，先打开官方 App 看一眼，再决定。慢 30 秒，省 2 万美元。这笔账，划算。
常见问题
问：短信发件人显示的就是“Chase”，怎么是假的？答：发件人姓名可以伪造（spoofing），显示“Chase”不代表真是 Chase。看短号：银行用固定的短号（如 Chase 的 24273），陌生号码一律是假的。最保险的：不看发件人，直接打开官方 App，有没有异常，App 里说了算。
问：我点了链接但没输密码，有事吗？答：可能有事。光点链接，风险主要是“设备指纹被采集”和“恶意软件”（安卓机风险高）。做了三件事：杀毒软件全盘扫描、改银行密码、观察账户 7 天。iPhone 相对安全，但密码还是改了放心。下次记住：链接不点，这是铁律。
问：Zelle 转出去的钱，能追回吗？答：看速度。Zelle 是即时到账，对方提现了就难了。但如果对方是 Zelle 新用户、钱还在“待领取”状态，银行有可能拦截。所以被骗后第一时间打银行电话，强调“Zelle 诈骗，要求拦截”。Zelle 的“授权转账”不受 Reg E 保护，追回全看银行愿不愿意帮忙，态度+速度决定一切。
问：银行让我签“欺诈声明”（fraud affidavit），签吗？答：签。这是银行调查的标准流程，签了银行才会启动 Reg E 调查。如实填写，别夸大（“损失 2 万”写成“损失 5 万”，查出来你的案子就黄了）。签完问银行要案件编号，10 个工作日内跟进调查进度。
问：骗子知道我的社安号了，怎么办？答：三件事。第一，三大信用局 credit freeze，立刻做。第二，IRS 身份保护 PIN（Identity Protection PIN），防止骗子用你的社安号报税。第三，annualcreditreport.com 查报告，看有没有冒名账户。社安号泄露是长期风险，freeze 是长期对策，一次设置，长期有效。
相关阅读
- 银行账户被盗刷怎么办：Regulation E 60 天报告、10 天调查与追回全流程
- 美国经销商买车 add-on 费用维权：doc fee、GAP、延保、VIN 蚀刻怎么砍
- 美国生活指南总导航：17 个深度专题
英文官方来源
- Consumer Financial Protection Bureau: Ask CFPB
- Federal Communications Commission
- Federal Trade Commission: Consumer Advice
核验日期：2026-10-07
免责声明
本文仅为一般信息分享，不构成法律/税务/财务/移民建议；具体情况请咨询持牌专业人士，并以官方最新公布为准。
更多美国生活实用法律知识，欢迎关注我们的官方微信号：UUUMGT（美国通），回复对应关键词可获取相关主题的实操指南。
评论前必须登录！
注册