以香肉為餌釣水魚 (Patreon)

有騙徒誘騙欲購買狗肉的人士，下載惡意手機應用程式，盜取銀行帳戶登入資料及密碼；據聞有超過十人受騙，損失金額高達一百三十多萬元。

初次得悉此事時，我的直覺是這可能是一位熱愛動物的人士所為，意在懲罰那些企圖食用狗肉的人。然而，進一步的了解讓我意識到情況可能並非如此單純。

為何我會有此想法？起初，我認為如果目的僅是為了詐騙金錢，則無需選擇狗肉這一特定且邊緣化的主題。

但很快，我又有了新的領悟，認為這一詐騙策略相當巧妙。

儘管如此，我在事件的執行過程中也發現了一些瑕疵。究竟這些瑕疵何在？

為甚麼我認為這個以狗肉為餌的詐騙應用程式，其主謀未必是動物愛護者？

有個細節值得注意：若被騙者使用 iPhone，則該程式會指示其轉賬三十元至所謂的「流浪狗之家」；但該機構表示未曾收到這些款項；只可以說，暫時尚未可以確定詐騙有心要懲罰想食狗肉的人。

但可以肯定是，用「香肉」作為誘餌的策略是極為巧妙的。記得《Freakonomics》一書中也提到，大多數「尼日利亞騙局」會用極不可信的前設，因為在詐騙過程的後期，操作相當繁瑣且有一定成本，因此詐騙者需在第一步篩選出貪婪或無知而易受騙的群體，並排除那些具有正常判斷能力的人。

另外，騙徒亦往往會針對某些有特殊癖好的人；例如，那些利用色情元素欺騙的案件，通常不是針對一般人，而是專門對有戀童癖的人，又或者是未成年人。選擇這樣的目標，原因有二：一像未成年人由於缺乏經驗，一旦受騙，他們往往不敢報警。二，如果是有怪癖的人，因為他們不願公開自己不道德的行為，往往破財亦不敢反抗。實際上，吃狗肉也符合這些特點：一方面，吃狗肉在某些地區是違法的；另一方面，吃狗肉在社會上帶有某種污名。因此，被騙的人不太可能四處宣揚自己因購買狗肉而受騙。

除此之外，還有第三個原因，這是我個人主觀的觀點。在當今社會，只有某種特殊文化背景的人，才是覺得吃狗肉是正常的。在我腦海中，今次這宗案件裡被騙的，可能都是一些年紀稍長的男性；當這些人在遭遇問題時，可能會特別注重面子，即使落入陷阱，也不太可能向他人透露，更可能選擇默默承受。

回顧事件的時間線，11 月 19 日有新聞報道揭發「香肉 App」，漁護署亦表示會進行調查。我不能確定，被騙者是否正是在那天上當，但有理由相信不少人可能是因為看到新聞，以及在 Facebook 和 WhatsApp 群組的相關信息後，才陷入圈套。

但這次騙局的美中不足之處，在於曝光一天後就被揭發「局中有局」；作為騙徒，你花費心思設局，開發應用程式，自然希望能持續更長時間；至少能夠持續一週，吸引一百多人上當吧。有主觀地覺得，策劃這場騙局的人，也沒有預計會在這麼短的時間內被揭露。

一來，他們低估了香港愛護動物人士的影響力，以及漁護署在接到信息後的迅速反應。甚至乎，那怕他們認為，反正又不是真正出售狗肉，漁護署也不可能追查到甚麼，反而有免費宣傳，吸引更多人中計。

真正的問題是，為甚麼一天之內就引起警方的注意？我認為，這是因為有個別人士被騙了大量金錢，超出了他們原先預計的心理防線而報警。

如果騙徒沒有提取受害者銀行賬戶中的所有款項，而只是提取不至於讓人報警的金額，這件事或許不會這麼快曝光。但究竟要提取多少錢才能達到這樣的效果，我也沒有一個具體的概念。

騙徒也應該不會那麼蠢。但為何最終要草草地在一天內完成收割？我認為這與騙局的整體設計有關。

根據新聞資料，騙徒要求想購買狗肉的人，輸入其網上銀行的登入名稱和密碼。在今日的網路安全措施下，僅憑帳號和密碼是無法登入網上銀行的，因為還涉及到所謂的「雙因素認證」（2FA）。這意味著除了密碼和帳戶名外，還需接收一則短訊；所以只有 Android 用戶才會「中招」，是因為該惡意程式還多做了一步，就是可以閱讀由短訊發送的「認證碼」。假設該手機同時也是網上銀行用的號碼，一旦用戶輸入了帳號和密碼，程式便會聲稱發送一個認證碼，而該程式能夠讀取手機的短訊，騙徒便能夠使用帳戶名、密碼和認證碼進入受害者的銀行帳戶。

在這種情況下，騙徒只有一次機會提取資金。從博弈論的角度看，騙徒會提取多少錢？如果每個人的帳戶只有少量資金，且轉帳限額低，他們可能只能獲得一兩萬元。大多數銀行帳戶，都有轉帳限額；但很可能其中一、兩個受害者的帳戶轉帳限額，可能非常高，達數十萬元，這些少數人可能就是被盜取特別多錢的受害者。

雖然有十幾人受騙，總損失達百萬以上，但不要假設每個受害者平均都被騙了數十萬。很多時候，都是根據 80/20 的比例分布，即時少數人承擔了大部分的損失，可能有一至兩人被騙數十萬，而其他人損失可能在數千到一兩萬之間。

假如騙徒只是騙三數千元，懷疑受害者可能不會立即察覺。這次騙局的美中不足之處在於，一來，狗肉這個題材並不足以讓受害者不敢報警；另外，騙局的設計使得騙徒在發現某些帳戶轉帳限額特別高時，可能會一次性提取大筆金額，從而提早結束這次的詐騙行動。

今次騙局由曝光到結束，只進行了兩天時間。大家試想想，開發那個應用程式需要時間；雖然從我剛才的估計來看，這個應用程式並不是高科技或難以開發的產品，但究竟這次行動究竟花了多少時間進行策劃？根據資料顯示，相關的 Facebook 專頁大約在兩個月前創建。

搭建一個 Facebook 專頁並吸引關注、加入各種群組；騙局的執行者對香港網上行銷的生態環境還是頗有了解，知到在那裡可以找到潛在的目標群體。

我膚淺的想法是：如果有其他方式可以讓「收集期」延長一點，應該可以賺到更多。例如，如果這個賣狗肉的應用程式最終真的找來一些羊肉罐頭送給這些人，他們在買了一兩次後可能覺得很滿意，之後再繼續購買。當交易量達到一定規模後，騙子們才一網打盡。到那時，每天可能已經有超過千人登錄。這樣一次性大範圍的行動可能會帶來更多收益。

但大家要記住，我不是在教導大家犯罪，我只是想說明那些高明的犯罪分子在策劃時會考慮成本與效益問題。在我們社會中，每天都有各種形式的詐騙案件發生。有些詐騙的準備時間更長，涉及的金額也不小。有些人在被騙過程中，甚至會對騙徒深信不疑，以至於當有人提醒他們時，他們反而為騙徒辯護。這些才是最高明的詐騙。

從經濟學的角度來看，這場行動的成本效益是什麼？投入兩個月的準備期，最終只賺得一百多萬，是否值得？最大的問題是是否會被抓到。如果真的被抓到，只為了一百多萬就被逮捕，顯然是不值得的。擁有這樣的技術和準備能力，卻只賺得這麼少，是不划算的。

這件詐騙案件所謂的「黃得太快」，指的是在非常短的時間內就引起廣泛關注，導致很多人嘗試參與。據報導，中招的人數為十幾人，但我相信實際想嘗試的人數遠超過這個數字。然而，許多人的銀行帳戶設置可能未能給詐騙者機會提取資金，因此詐騙者只有一天的時間來提取現金。

從經濟學角度來看，賺取一百多萬，用兩個月時間進行鋪墊，這是否划算？最關鍵的問題是是否會被抓捕。冒這麼大風險只為了一百多萬，如果最終被捕，那肯定是不值得的。這樣的技術和策劃能力，如果只賺到一百多萬，顯然不夠划算。當然，如果沒被抓到，哪怕只賺一毛錢也算值得。

另外，騙徒最大的風險在於如何將黑錢洗白。既然是通過銀行轉賬的資金，幾乎可以一定會被追蹤，因此我對後續的調查進展非常好奇。如果最終詐騙者能夠用更高明的方法成功取得資金並逃避追蹤，那將是另一個值得關注的話題。但如果不能，我認為他們目前面臨的風險相當高。要記住，任何罪案行為最考功夫的一步是如何將非法收入變成合法；甚至 Netflix 的《Breaking Bad》劇情，表面上講製毒，但故事的另一部分是「洗黑錢」。

最後，我希望大家記住的是，不論是正當的行銷，還是不法的行為，首先還是要鎖定目標群體。雖然不知道設局者是否有意懲罰了那些食狗肉的人，但以這件事來區別目標群體，的確是高明的做法。