葉嘉豐釣魚詐騙案：48萬封電郵與藏於酒店雪櫃後的電腦有關
據稱，葉嘉豐曾協助在神戶一間酒店的雪櫃後安裝電腦，令葉嘉豐釣魚詐騙案與約48萬封欺詐電郵產生關聯。據報，這項安排將住客 Wi-Fi 變成某項行動的基礎設施，而遠端操控者的身分仍在調查中。釣魚詐騙即利用具欺騙性的訊息取得敏感資料，據稱是取得收件人信用卡資料的途徑。
焦點在於，經由合法企業網絡進行的活動，責任應如何界定。酒店可以擁有互聯網連線，卻未必僱用、授權，甚至知悉使用該連線的人。據報，本案調查人員循證據追查至一間客房，但操控該電腦的人相信身處其他地方。
911 S5 可作為更廣泛的先例：這項被指涉犯罪的服務，曾透過遭入侵的住宅電腦轉送客戶流量。神戶的指控描述了另一種安裝方式，但涉及同一類常見的調查難題：可見的網絡地址未必能辨識操作者。對酒店、保安團隊及支付服務供應商而言，這個落差比不尋常的藏匿位置更重要。
葉嘉豐釣魚詐騙案實際指稱甚麼
核心指控涉及帶入酒店的電腦，而非已證實酒店自身系統遭入侵。
根據 The Standard 對神戶酒店指控的報道，葉嘉豐據稱於2025年5月15日與另一人進入該酒店。他們據報假扮住客，並將一部小型電腦藏於客房雪櫃後。調查人員相信，另有一人透過酒店的網絡連線遙距操作該電腦。
The Standard 指出，葉嘉豐與其妻申琦均居於神戶，兩人同為39歲。報道又指，他們涉嫌使用他人的信用卡資料作出不同購物行為。外界未有披露兩人對指控的回應。
這些指控之間的區分值得注意。報道將這對夫婦與兩項調查聯繫起來，但並未證實他們在每一項被指行為中擔當相同角色。被捕亦不等同有罪。
時間線同樣需要審慎處理。2025年5月15日是據報的安裝日期，並非此事進入英語科技媒體報道的日期。於2026年10月流傳的報道，是關於較早前活動的調查。
讀者不應據此推斷該電腦在整段期間持續運作。在未有經核實的發現日期及詳細活動紀錄下，安裝日期不能證明電腦發送訊息的時間有多長，也不能確定每日發送量。
雪櫃是令人印象深刻的細節，但該電腦與酒店物業的關係才是實質問題。一部裝置可以放置於客房內，卻不會因此成為酒店獲授權設備的一部分。這個差異會改變調查需要回答的問題。
例如，調查人員需要區分誰將電腦帶入酒店、誰負責設定，以及誰其後指揮其活動。這些責任可以重疊，但公開報道並未證實本案確有如此情況。
同樣審慎的態度亦適用於「酒店」一詞。所檢視的報道沒有證明該物業的員工明知而參與其中。提供網絡連線與明知協助詐騙，是兩項不同命題。
因此，據報事件支持一個聚焦的結論：調查人員發現有人涉嫌利用藏匿、外來提供的設備使用酒店網絡連線。這並不支持對酒店內每一個系統作出廣泛結論。
這種較狹窄的理解仍具重大意義。機構往往將網絡安全定位為保護其擁有的電腦。這些指控提出另一個問題：當外來人士的電腦使用機構刻意向外提供的服務時，會發生甚麼事？
答案始於區分存取權與授權。獲准連接住客裝置，並不代表獲准在離開後繼續運行藏匿設備。然而，落實這項區分，需要協調的範圍超出保障酒店業務應用程式安全這項慣常工作。
酒店可以成為調查線索，卻不必然是操作者
據報的安排令酒店置身於涉嫌操作者與調查電郵的人員之間。
Hackread 在10月20日的報道指出，一名收件人在與電郵相關的資料中發現酒店的互聯網地址後，聯絡了酒店。據報，員工發現該電腦後通知警方。其對藏匿的釣魚詐騙電腦的報道，亦區分了涉嫌實體安裝設備與入侵酒店 Wi-Fi 設備兩回事。
IP 位址是一種用於轉送互聯網流量的網絡識別碼，可以將調查人員引向某個連線，但本身不能識別所有使用該連線進行活動的責任人。當多名住客共用互聯網存取服務時，這項區分尤其重要。
因此，眼前壓力落在被要求解釋事件的物業身上。內部尚未有人識別未經授權設備前，員工已可能面對外部投訴。有關可疑流量的查詢，可能演變成實體搜查問題。
這形成一個值得審視的機構交接環節。接到投訴的前台員工，需要接觸理解網絡證據的人員；調查流量的技術人員，則需要協助在客房內定位設備。
兩種視角不能互相取代。網絡紀錄無法實體檢查家具後方的空間；客房檢查亦無法說明誰操控電腦，或它傳送了甚麼內容。
對酒店營運者而言，影響在於誰負責回應。發現無法解釋的裝置後，應有由發現、評估至處理的清晰流程。否則，實體證據及技術證據可能變成兩段互不相連的討論。
這是根據據報方法所得出的分析性推論，而不是對該酒店程序的結論。公開報道沒有描述其內部升級處理流程，亦未能證明發現設備前已有何種保障措施。
同一區分亦適用於評估訪客連線服務的企業買家。將訪客存取與業務系統分隔，可處理一類風險，但不會自動解答訪客能否濫用互聯網存取服務本身。
網絡分段，即把系統分隔為不同存取區域，可限制活動轉移至敏感內部資源。然而，外來人士毋須接觸這些資源，已可引發外部濫用投訴。網絡連線本身可能正是被尋求的資源。
這令不同各方承擔不同責任。物業控制實體存取及營運程序；其網絡連線供應商控制服務的某些環節，而外部收件人及電郵供應商則看見活動的其他部分。
回應計劃應承認這些界線，而不假設任何參與方掌握完整全貌。即使投訴的接收者無法即時識別責任人，濫用報告仍可提供調查起點。
當中亦有聲譽上的區分。出現在可疑流量中的企業，可能在背景情況未明之前已受到審視。公開描述應區分被涉嫌違法者利用的地點，以及被指參與其中的機構。
神戶的報道說明了為何這種精確表述同時有利讀者和企業。將事件稱為「酒店被黑」會暗示現有資料未能證實的入侵；描述為涉嫌濫用住客網絡連線，則較能保留核心機制。
壓力不僅限於酒店業。任何向訪客提供互聯網存取服務的機構，都有興趣區分獲准使用與持續、隱蔽的使用。相關問題在於，訪客的正常逗留結束後，機構對服務仍有多少控制。
借用網絡連線令歸因更複雜，但不一定妨礙偵測
合法企業的網絡連線，不會令欺詐訊息變得合法，亦不保證保安工具會接受它。
Hackread 引述 SecurityScorecard 聯合創辦人兼行政總裁 Aleksandr Yampolskiy，區分偵測與歸因；歸因是識別誰應對某項活動負責的過程。他評估指，合法網絡可令追查更複雜，但不會自動令釣魚詐騙偵測失效。
這項區分避免事件變成對電郵安全毫無根據的主張。發送電腦的實體位置，本身對訊息質素說明有限，也難以說明目標網站的可信程度。
收件人的電郵供應商可評估與酒店所掌握不同的證據；支付服務供應商則會看見涉嫌計劃的另一部分。把這些觀察串連起來的調查人員，面對的工作與過濾系統決定是否投遞訊息並不相同。
偵測問的是活動是否可疑；歸因問的是誰造成活動；干擾問的是可在哪裏介入以阻止活動。這些問題互有重疊，但其中一題的答案並不能解決其餘問題。
歷史比較在這裏很有用。美國司法部於2024年5月宣布對涉嫌的911 S5 殭屍網絡採取行動。殭屍網絡是一組由遙距控制的電腦。當局指稱，其操作者入侵住宅 Windows 電腦，並出售對這些網絡連線的存取權。
FBI 隨附的住宅代理指引解釋，代理伺服器作為承載另一方流量的中介者，如何可掩蓋流量來源。這為理解調查人員為何區分可見連線與指揮活動者，提供了既有的參照。
這項比較有其限制。當局在 911 S5 案中描述的是遭入侵的住宅電腦；神戶報道則描述據稱實體安裝於酒店內的設備。兩項行動之間沒有已證實的關聯。
兩者的共同相關性，在於網絡擁有權與營運控制權之間的分離。無論是哪種安排，調查人員所見的機構或住戶都可能並不知悉背後活動。識別到該連線只是調查的起點，而不是終點。
從防禦角度看，這項區分會影響優先次序。只尋找公司電腦的未經授權變更，可能忽略公司從未購買的設備；只尋找奇怪的實體物件，則可能忽略在其他地方發生的濫用。
這並不證明需要任何特定保安產品，而是表明在選擇控制措施前，必須準確界定問題。一款旨在保護員工手提電腦的產品，不能自動解決所有有關無人看管住客設備的問題。
因此，兩種相互競爭的取向分別是傳統的系統保護，以及對共用存取的更廣泛問責。兩者都重要，但本案的壓力點落在後者。指控核心是持續使用可取得的連線，而非已證實的技術漏洞利用。
此案亦挑戰一個對技術複雜度的常見假設。把硬件藏在傢俬後方，與精密的軟件入侵相比似乎很粗糙。然而，實體裝置的簡單程度，並不能決定透過該硬件進行活動的複雜性。
反過來說，報稱的規模亦不能證明技術上有任何新意。自動發送及遙距操作並不代表出現了新類別的攻擊。它們描述的是能力，其意義取決於這些能力如何被結合及持續運用。
對開發者及採購資安方案的人士而言，這是應保留的實際判斷。即使不涉及新型軟件漏洞，一項不尋常的安裝也可能暴露團隊之間的缺口。重要的比較在於責任涵蓋範圍，而非各方對先進技術的競逐式說法。
這令葉家鋒釣魚詐騙案的意義超越其不尋常的場景。其更廣泛的重要性，取決於活動表面上出現的地點，與就該活動作出決定的地點之間的距離。
電郵數量並不能確立受害者人數
已儲存的地址、已傳送的訊息、被盜資料及財務損失，是衡量涉嫌行動的不同指標。
報道指，警方在被尋回的電腦上發現約 480,000 封已發送電郵及約 240 萬個已儲存電郵地址。這些數字反映的是不同形式的證據，兩者皆不能證明有多少人失去資料或遭遇未經授權的交易。
已儲存的地址可以代表潛在的發送目的地，卻不能證明訊息已送達。傳送紀錄可以顯示活動曾經發生，卻不能證明收件人曾開啟任何內容。即使訊息已被開啟，仍不能證明有人提交了信用卡資料。
當標題使用「目標」一詞，而讀者將其理解為「受害者」時，這個區分尤其重要。潛在受眾與已確認的損害數目回答的是不同問題。將兩者混為一談，會令表面上的結果顯得比已核實證據所支持的更嚴重。
現有數字亦未能提供有意義的成功率。這項計算需要明確界定結果，以及可供比較的可靠母體。公開報道並未確立這些前提。
同樣的審慎亦適用於另行提出的購物指控。它們在調查中出現，並不證明涉及的每項信用卡資料都來自這部特定電腦。要確認關聯，必須有證據連結具體資料、訊息、網站及交易。
據報調查人員懷疑另有一人遙距控制該電腦，令責任歸屬仍未釐清。安裝、遙距指揮、資料收集及購物行為，不應只因出現在同一宗報道中便被歸併為單一角色。
本文檢視的公開報道亦未提供完整的技術鑑證，未能確立每封電郵的完整傳送路徑，也沒有披露足夠證據讓人重建遙距控制者的身分。
這個缺口限制了對哪些特定網絡限制本可阻止該行動的說法。不同的傳送安排帶來不同的介入機會。在缺乏該等證據下指定某項修復方案，會暗示報道並未提供的知情程度。
另一項不確定性在於持續性。報稱隱藏電腦的安裝日期，並不能說明它是否一直保持連線。中斷、設定變更及後續存取，都會影響完整的時間線。
同樣沒有依據可推斷已儲存地址屬於酒店住客。設備的實體位置並不能證明資料來源。把事件描述為住客資料庫被盜，會引入未獲支持的指控。
這些限制並不抹煞報稱行為的嚴重性，而是界定證據可以承載哪些結論。較狹窄的主張仍可具有重大後果，無須把未核實的結果加諸每一個已記錄地址。
對評估後續報道的讀者而言，措辭的變化將很重要。一則關於新增已儲存紀錄的報道，與一則識別出資料被盜人士的報道並不相同。針對購物行為的調查，亦有別於已證實與特定釣魚詐騙活動存在關聯。
美國聯邦貿易委員會的釣魚詐騙指引將消費者的決定置於對方索取敏感資料的環節。指引建議，如訊息看似可疑，應透過已知網站或電話號碼聯絡相關公司。
這個觀點讓涉嫌使用硬件的安排保持合乎比例。收件人一般無法檢查發送電腦所在的房間；他們當下面對的風險，在於訊息本身及其要求採取的行動。
這個區分亦釐清企業的責任。了解基礎設施有助調查行動，但不能取代檢視具欺騙性的要求本身。有效的分析應保留這兩個問題，而不假裝其中任何一個能提供完整答案。
目前而言，最有力的描述是一次涉嫌發送行動，以及一項尚未釐清的調查。它應維持為對指控的敘述，而非對已證實罪責、受害者總數或已證明損失的宣告。
三項發展將決定案件的更廣泛意義
下一批有用證據將涉及行動責任、已證實損害，以及任何相關活動的範圍。
首先，應留意有關誰人指揮該電腦的權威性結論。識別遙距操作員的證據，將釐清安裝與持續控制是否由同一批參與者負責，亦會更清楚區分本地安排與更分散的行動。
這類發現將強化一項論點：調查人員必須把視線放在可見連線的擁有人以外。反之，如證據顯示完全由本地控制，則會收窄這種解讀。無論結果如何，都會改善事件敘述，並不改變須區分連線擁有權與責任的需要。
單靠拘捕進展未能回答每一項技術問題。有價值的發展，是有證據支持、說明存取、指揮及個別角色的解釋。讀者應尋找這些實質內容，而非把任何程序進展視為完整結論。
其次，應留意把訊息與實際損害連結起來的證據。已確認的資料盜竊、可識別的投訴人，或與該活動有關聯的交易，將證實發送紀錄以外的後果，從而容許更有根據地評估影響。
如發現大量訊息未有導致資料被盜，將收窄已證實的損害範圍。但這不會令涉嫌利用酒店的行為變得無關緊要。濫用基礎設施與成功詐騙，仍是不同的結果。
這個區分對業界反應很重要。發送活動龐大但已證實損害有限的行動，與有文件證明涉及盜竊及購物的行動，帶來不同問題。政策及採購回應應反映證據，而非最大的可用數字。
第三，應留意有關相關安裝或活動的相互印證證據。若有記錄證明多個物業存在模式，將強化採取更廣泛行動回應的理由。若屬孤立發現，則會支持一個更有限、聚焦此事件的解讀。
有意義的訊號應包含足夠細節，以區分真正模式與表面相似。另一個房間裡的隱藏電子設備，並不會自動證明是同一批操作員或具有同一目的。關聯需要證據，而非共同的藏匿位置。
未來數月，這些發展比預測犯罪分子會否採用更小型電腦或不同傢俬更重要。設備大小並非本敘述核心中尚未解決的問題；責任、持續性及已證實後果才是。
對酒店營運者而言，報稱的方法提出一個具體的協調問題：職員能否將外來的濫用投訴，連結至實體檢查及技術調查？公開紀錄並未確立任何特定物業如何處理這個問題。
對企業資安團隊而言，對應的問題在於範圍。他們對可用連線的理解，是否包括公司資產清單以外的設備？這是一個值得提出的問題，但不應假設每部訪客設備都構成威脅。
對支付服務供應商而言，將欺騙性訊息與被擷取資料連結起來的證據仍然是核心。電腦的位置提供背景，而由被盜資料通往未經授權活動的路徑，則構成調查的另一部分。兩者均不應取代對方。
葉家鋒釣魚詐騙案值得持續關注，因為它將一個普通實體空間與報稱龐大的數碼活動量連結起來。隨着有關這些紀錄背後人物及後果的證據出現，其意義將會更清晰。
閱讀下一次更新時，請記住這些區分。留意是否有已記錄的操作員、已核實的損害，以及支持任何聲稱更廣泛模式的證據。若收到意外的付款警告，請透過你已信任的渠道核實。若你管理共用連線，請檢視投訴如何傳達至負責房間、設備及網絡活動的人員。雪櫃解釋了這宗事件為何吸引注意；尚未釐清的責任鏈，則解釋了它為何重要。甚麼證據能將這部隱藏電腦，連結至其以外的決策、資料及交易？
