隨著港股的吸引力越來越大，不少內地居民也都紛紛開通了港股賬戶。但陳尚近期就遇到一件糟心的事情，他在國都證券（香港）公司（以下簡稱“國都香港”）開設的港股賬戶被“騙子”修改登錄密碼進行未授權操作，將市值170多萬港元的騰訊（00700.HK）股票“換成”了不到0.5港元/股的“仙股”。
該事件還在進一步調查處理中，國都香港回覆稱，接下來可能會轉介到“香港金融糾紛調解中心”解決。
騰訊股票變“仙股”
2018年4月10日14時50分左右，陳尚接到國都香港員工的電話，聲稱監控到他的賬戶存在即時“高買低賣”的不正常交易，詢問是否為本人操作。陳尚已經有一個多月沒有使用過自己的港股賬戶，於是立即同意券商提出的凍結賬戶，減少損失。
事後經過向國都香港詢問了解到，有人冒充陳尚給國都香港客服人員打電話，聲稱不記得賬戶密碼，讓客服人員發送新密碼至陳尚登記的郵箱。
澎湃新聞記者在陳尚從國都香港處獲得的錄音中聽到，“騙子”致電國都香港客服人員，準確提供了陳尚的姓名、身份證號、賬號以及預留的郵箱地址，隨後客服人員即表示將發送預設密碼至郵箱。
幾分鐘後，陳尚在國都香港的證券賬戶的交易密碼被更改，有人盜用他的賬戶及密碼進行操作，造成陳尚直接損失近100萬港元，間接損失約200萬港元。詭異的是，陳尚經過郵箱後臺確認，在其賬戶被盜用期間（2018年4月10日14時30分-2018年4月10日14時56分），其在券商處登記的郵箱無任何登錄記錄。
根據從券商處調取的操作記錄顯示，“騙子”使用的電話和IP地址均為深圳。
隨後，陳尚據此分別向深圳市沙頭派出所以及香港灣仔分區警署報案，但截至發稿時並未收到回應。澎湃新聞記者按照報案回執上的“報警查詢電話”致電深圳市沙頭派出所，接電話的一位女士要求記者添加派出所的微信，稱該電話號碼已經不再具備查詢受理情況的功能。按照其要求添加微信並留言後，截至發稿時記者並未收到任何回覆。記者也多次撥打香港灣仔分區警署電話，一直未曾接通。
上海市君悅律師事務所刑事風險防控團隊李俊傑律師認為，本事件中“騙子”使用的是深圳地區IP地址，登錄他人的香港證券賬戶發出相關交易指令，其行為所破壞的是香港地區而非內地的金融管理秩序，該情形即可能涉及內地與香港區的刑事司法管轄權衝突問題，學術界將此類情形稱之為區際刑事管轄衝突。
據李俊傑介紹，區際刑事管轄衝突，就是在一個國家內部不同法域的制度之間區際刑事管轄衝突。這種衝突在本案中即體現為內地刑法所規定的：屬地原則為主，兼採屬人原則、保護原則和普遍原則的廣泛管轄權，與香港地區所享有的獨立司法、終審權之間的衝突。
“不能忽視的是，區際刑事管轄衝突這一現實情況存在，將為本案刑事立案的管轄帶來較大的現實困難。”李俊傑認為。
通過國都香港獲取的賬戶交易記錄顯示，“騙子”在將陳尚賬戶中市值170.36萬港元的4100股騰訊股票賣出後，分19次以0.5078港元的均價買入420萬股的華信金融投資（01520.HK）。觀察當日該股的K線圖可以看到，4月10日該股在下午2時40分左右從0.4港元左右被迅速拉抬，最高漲至0.56港元，當日的成交額也高達307萬港元。而平日該股的成交額基本都維持在100萬港元以下，有幾日甚至僅有20多萬港元的成交額，是標準的“仙股”。
7月24日，華信金融投資股價收報0.275港元，跌6.78%。
華信金融投資2018年4月10日分時圖
“騙子”如何獲利？
事實上，港股賬戶“被盜”事件由來已久、屢見不鮮。
據港媒報道，業界表示，“黑客”入侵網上股票戶口各種企圖都有，最常見是託高細價股（指那些相對來說股票的發行股數比較少的股票。這些股票的好處是因為股票數量少，所以當不太多的資金或者投資者群體打算購買這隻股票時，因為供給少，所以比較容易造成價格飆升）股價獲利。“黑客”同時可利用有關戶口接貨，方便套現。
“騙子”獲利過程
公開報道顯示，早於2012年，香港證監會已關注證券行有關信息科技（IT）騙案有增加趨勢，其中有個別證券行曾遭“黑客”入侵網站、有人冒認客戶發假電郵欺騙經紀行，香港證監會已要求證券行提高警覺。
2016年3月，香港證監會再表示，近年多家金融機構成為不同類型網絡攻擊的干擾目標，這些網絡攻擊越趨頻繁及精密，建議券商加強網絡保安監控措施。
香港證監會於2017年10月27日發出《降低及紓減與互聯網交易相關的黑客入侵風險指引》，要求所有從事互聯網交易的持牌人或註冊人遵行20項基本規定，藉此加強它們在網絡保安方面的抵禦能力和降低及紓減黑客入侵風險。香港金管局亦提醒註冊機構須依照香港證監會指引所載的規定，加強互聯網交易服務的保安措施。
疑點1：僅憑基本信息即可修改密碼？
本次事件中一個質疑在於，為何僅憑客戶的基本信息即可修改密碼？修改密碼的流程是否規範？
澎湃新聞記者以投資者的身份致電國都香港，客服人員告知，如果想要修改賬戶密碼，需要客戶本人致電客服，在核實客戶的基本信息後，會向客戶事先預留的郵箱發送一份密碼重置的表格，由客戶本人打印表格後親筆填寫並簽名，再拍照回傳給券商。表格中會包括客戶的姓名、賬戶等基本個人信息，而手寫簽名是必須的。
這位客服人員介紹，此前修改密碼的方式只需打電話核實個人信息，但今年（2018年）開始比較嚴格，必須要手寫的簽名。
在國都證券（香港）公司的官網的“幫助中心”欄目中顯示，該公司於2018年4月26日發佈了一份《關於通過“國都令牌”APP實施交易登陸雙重認證以及交易軟件升級》的通知。
這份通知稱，為提高客戶互聯網交易的安全性，香港證監會發布了《降低及紓減與互聯網交易相關的黑客入侵風險指引》，要求所有從事互聯網證券交易的持牌人遵守相關基本規定。其中，證監會要求所有券商必須實行互聯網交易賬戶登錄雙重認證，此項措施將於2018年4月27日生效。
雙重認證規定使用兩項獨立的認證因素用以識別登錄及下單行為是由用戶本人作出，從而大大提升保安防護的作用。
“為進一步提高客戶的交易安全性，根據香港證監會指引，我司將在4月27日正式啟用登入交易系統雙重驗證功能。” 國都香港稱，雙重認證指使用下列任何兩項因素的認證機制：客戶所知的（例如密碼）、客戶所有的（例如硬件編碼器、在短時間內失效的一次性密碼）及客戶是誰（即生物特徵）。
其他券商也在響應這一指引。澎湃新聞記者在國泰君安國際的官網上看到，一則通知顯示，“由2018年4月25日起，因應香港證監會對全港業界所發出的網絡保安指引，客戶在登入網上及手機交易系統時，必須通過已登記的手機號碼或電郵地址接收，成功輸入客戶賬號、網上交易密碼及‘一次性驗證碼’方能進行網上及手機交易。”
疑點2：並未登錄郵箱如何獲取預設密碼？
陳尚認為，國都香港雖然向其登記的郵箱發送了交易賬戶的新密碼，但接受該新密碼的郵箱無任何登錄記錄，因此該密碼並非通過陳尚的郵箱洩露，有理由相信是國都香港電子系統等風險管理制度及設施存在重大漏洞而導致陳尚客戶賬戶密碼隱私信息洩露。
澎湃新聞記者在其提供的郵箱登錄日誌中看到，在其賬戶被盜用期間該郵箱確實無任何登錄記錄。
那麼，是否存在並未登錄郵箱但獲取郵件內容的情況呢？
一位資深IT人士表示，也是有這種可能性的。“比如，假設原告的手機被黑客入侵，在其上一次登錄郵箱時就和郵箱服務器建立連接以後一直保持連線狀態，並且截取包含密碼的郵件之後終端連接。”
另一位從事賬戶防護工作的人士則認為，不登錄郵箱就獲取郵件內容，需要直接到郵件存儲的服務器，繞過密碼，甚至可能在郵件發送出來時信息即被攔截。
在國都香港給澎湃新聞記者的書面回函中，該券商並未就記者提出的疑點給出回覆。“一般對於尚處於有關部門調查階段的事件或尚未解決的糾紛，如果對外提供有關資訊，有可能直接觸犯香港《證券及期貨條例》378條法律條款。”國都香港在回函中寫道。
據介紹，一般來說，香港的證券公司會按照監管指引制定處理客戶投訴的內部流程。在香港證券現行監管制度下，證券公司與客戶的糾紛可以轉介到“香港金融糾紛調解中心”解決。該中心的調解計劃主要是以“先調解，後仲裁”的方式去協助解決金融機構與客戶之間牽涉金錢的爭議。如該爭議未能通過調解方式達成和解，可以選擇通過仲裁方式解決。按照相關證監會的指引，證券公司全面遵從金融糾紛調解計劃，並受調解計劃所訂定的糾紛解決程式所約束，對於調解過程中的事件也有相關的保密要求。
（應受訪人要求，本文人物為化名）
閱讀更多 澎湃新聞 的文章
