iPhone Duo預購熱潮下的假站風險：更新iOS與核實連結同樣重要

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-15

iPhone新品預購前後，消費者最容易遇到的未必只是虛假折扣或付款騙案。iThome報道引述趨勢科技旗下TrendLife研究人員的警告：多個借「iPhone Duo」熱度吸引流量的可疑網站已出現，形式包括仿冒預購頁、廣告及聯盟行銷導流頁，以及可能針對未修補iOS漏洞的惡意頁面。對香港準備換機的用戶而言，從社交平台帖文、搜尋廣告或訊息連結進入優惠頁，均應先視為需要核實的來源。

最重要的限制是，報道所述屬研究人員發現的可疑網站與潛在攻擊風險，並非已確認出現大規模、通用的零點擊入侵事件。所謂「只要開啟網頁也可能有風險」，前提是裝置仍存在可被利用的已知漏洞，而惡意網站亦確實具備相應利用方式。因此，用戶不宜因沒有填寫個人資料便認定安全；同時亦不應把每一個含有Apple關鍵字的頁面一概判定為已入侵攻擊。

三類頁面，三種不同目的

iThome指出，第一類頁面直接模仿iPhone銷售或預購版面，以「提早預購」、「限量優先購買」等訊息催促用戶行動。這類頁面的難處，在於它們可在官方公布規格、售價及發售安排後迅速換上相近內容，令單靠畫面設計、產品名稱或「限量」標示很難辨真偽。若頁面要求即時付款、留下帳戶資料，或以倒數計時製造壓力，用戶更應停下來，改由自己輸入官方網址核實。

第二類是廣告或聯盟行銷導流頁。iThome報道轉述趨勢科技的提醒：聯盟行銷本身不必然涉及詐騙，但帶有Apple或iPhone名稱的網址，並不等於獲Apple授權；頁面上展示的優惠也未必來自官方。這種模式未必一開始便索取敏感資料，卻可能透過多重跳轉，把用戶帶到註冊、點擊或其他推廣頁以賺取佣金。它令「見到優惠便撳入去」成為風險起點，也會稀釋用戶對真正零售資訊的判斷。

第三類的性質較嚴重。研究人員曾發現冒充「iPhone Duo免費抽獎」或折扣活動的網站，會辨識訪客所用的iOS版本；如判斷裝置存在已知安全弱點，便可能再嘗試利用漏洞發動攻擊。iThome指出，這意味風險不只限於釣魚式付款頁：即使用戶沒有輸入密碼、下載app、按下購買鍵，即使只是開啟來歷不明的頁面，亦可能增加受攻擊的風險。這亦解釋了為何更新作業系統，與防範假網站不能分開處理。

為何「不輸資料」仍不足夠

傳統反詐提醒多集中在不要交出信用卡資料、驗證碼或帳戶密碼，這些原則仍然必要；但此個案反映，手機瀏覽器與作業系統的修補狀態同樣是防線的一部分。假如攻擊者只是把網站設計成誘導表單，用戶拒絕提交資料便可大幅降低損失；假如網站另有針對已知漏洞的技術利用，防護重點便延伸至iOS是否已安裝安全更新。兩種風險可以同時存在，不能只用一種習慣應對。

從報道資料可作出的合理分析是，熱門產品週期為可疑網站提供了較高的點擊誘因，而iOS版本辨識則讓攻擊嘗試可按目標裝置狀態調整。這不代表每個假預購頁都有漏洞利用能力，也不代表已更新的裝置可完全忽略釣魚或付款風險；較實際的做法，是把「連結從何而來」和「手機是否完成更新」視作兩道獨立檢查。前者處理社交工程與導流，後者可減低已知技術弱點被利用的風險。

預購前可採取的核實步驟

香港用戶如要查閱預購消息，較穩妥的起點是自行開啟Apple香港官網，再從官方頁面前往所需資訊；如考慮其他銷售渠道，應以授權零售商自行發布的資訊交叉核實，而非直接信任廣告、群組轉發或短網址。即使搜尋結果看似置頂，也應細看網址與最終跳轉目的地。名稱接近官方、以產品名拼湊的網域、過分誇張的免費抽獎，以及要求立即行動的倒數設計，都應視為需要重新核實的訊號。

裝置方面，可在iPhone設定中檢查iOS更新是否已安裝，並保持app更新。遇到不明的優惠或抽獎頁，最簡單的處理是不要繼續互動、不要下載任何檔案或設定檔，也不要依頁面指示輸入帳戶、付款或驗證資料；若確有興趣，關閉頁面後從官方渠道重新尋找同一活動。這些步驟未必保證識破每一個仿冒站，卻可減少把一次好奇點擊直接變成交易、資料外洩或漏洞利用機會的可能。

對買家的實際影響

iThome所引述的發現，提醒預購資訊的可信度不能只看產品頁是否「像真」，還要看資訊如何抵達用戶手機。對習慣在流動裝置上快速比較優惠的人來說，安全更新常被視為與購物無關的維護工作；但在涉及已知漏洞的情況下，它會直接影響開啟惡意頁面後的承受風險。另一方面，即使系統已更新，付款與帳戶安全仍取決於是否進入正確渠道，兩者缺一不可。

下一步值得觀察的是，這類以新品發布為題材的網站會否隨正式預購資訊出現而繼續更新內容及改變導流方式。消費者、零售渠道與平台都可能面對更難憑單一畫面辨識的仿冒資訊。現階段最務實的安排，是在尋找預購資料前先完成手機更新，並養成由Apple香港官網或授權零售商資訊自行起步核實的習慣。