警方破獲詐騙集團利用高仿偽造身份證（改換騙徒頭像但保留受害人真確身份資料），成功騙過「積金易」（eMPF）平台的 eKYC 電子身份認證程序，冒充 3 名供款人開戶並盜取 HK$180 萬強積金存款。事件促使積金易公司緊急暫停以 eKYC 方式註冊，全面引發業界對「純 2D 拍照 OCR + 自拍比對」安全性的深刻反思。
一、 事件回顧：偽造身份證如何騙過「積金易」開戶認證？
根據香港警方公布的案情，詐騙集團於2025年 3 至 11 月期間，掌握了多名受害人的個人敏感資料（包括真實姓名、身份證號碼及出生日期），並製作了高仿實體香港智能身份證。唯一不同的是，證件上的照片被替換成詐騙集團成員自己的相片。
據「積金易」過去的註冊教學，用戶進行遠端 eKYC 開戶時，只需要按照手機 App 指引拍攝自己持有的身份證正面，並對著鏡頭進行即時自拍。騙徒手持「換了自己照片」的假身份證完成拍攝與自拍，系統進行 1:1 人臉比對時，順利判定「持證人就是自拍者」，從而成功建立積金易戶口，並申請將受害人的強積金結餘轉移至指定銀行戶口盜取。
警方接報調查後拘捕包括主腦在內的 5 名男子，並發現該集團另外涉嫌清洗高達 7,800 萬港元的黑錢。積金易公司隨後宣布全面暫停使用 eKYC 方式註冊，公眾如需註冊積金易，需透過政府的「智方便」(iAM Smart) 平台或親臨服務中心辦理。
二、 深度技術剖析：為甚麼傳統 2D eKYC 會出現致命漏洞？
香港資訊科技商會及多位資深資安專家指出，這次事件並非單一系統的偶發缺陷，而是坊間普遍依賴「單一 2D 拍照 OCR + 自拍比對」架構的先天性結構缺陷。具體可拆解為以下三大核心盲點：
「閉環自證」陷阱：商業機構無入境處容貌庫查驗權限
在現行香港法例及個人隱私架構下，商業機構與非執法平台無法即時調閱香港入境事務處（ImmD）的官方中央容貌資料庫。當騙徒上載替換了頭像的偽證時，eKYC 系統只能在「上載的證件相片」與「自拍鏡頭相片」之間做 1:1 比對。因為兩者本就是同一個騙徒，系統自然給出高分匹配，造成「用假證證明自己是持證人」的閉環漏洞。
純 2D 拍照無法辨識新智能身份證的實體光學防偽特徵
香港新一代智能身份證具備多項高規格實體防偽技術，包括具波浪及立體效果的立體透鏡（Hologram）、紫外光照射下的全彩螢光圖案、雷射刻蝕微縮文字、觸覺浮雕特徵及透明視窗。然而，一般低階 OCR 拍照方案僅專注於辨識卡面文字（如姓名、身份證字號），在單一平面光照下根本無法檢驗光學動態反光與物理材質真偽。
缺乏跨維度數據交叉核驗（Cross-Verification）
傳統流程往往將身份核實視為「孤立步驟」，開戶當下未有同步聯動電訊商實名登記姓名比對、信貸資料庫歷史記錄（如信資通 CDS / MCRA）或銀行同名戶口授權扣款（eDDA），導致身份證被偽造時無第二重權威數據進行交叉預警。
三、 金融機構的破局之道：構建「五重縱深防禦體系」
要徹底杜絕偽造身份證與冒名開戶風險，金融機構與持牌放債人必須淘汰過時的單點驗證，升級為具備硬件級晶片校驗、AI 光學鑑識與權威數據協同的五重縱深防禦架構：
防線一：連接香港政府「智方便」(iAM Smart) 權威認證
如資安專家所倡議，「智方便」由香港特區政府數字政策辦公室（Digital Policy Office）主導，直接與政府身份數據庫綁定。透過接入 Cash Direct「智方便」整合方案，用戶使用「智方便+」進行生物認證與數碼簽署，從源頭徹底規避證件照片被偽造或替換之風險。
防線二：手機 NFC 讀取智能身份證加密晶片（Hardware-Grade PKI）
針對高風險或大額交易，可利用智能手機的近場通訊（NFC）功能，透過 Cash Direct NFC 證件讀取方案，直接感應讀取並解密香港智能身份證晶片內部的 ICAO 9303 數碼安全物件（SOD）與政府官方數碼簽名。即使騙徒在卡面外觀偽造照片，晶片內部的加密數碼簽名絕對無法偽造或篡改。
防線三：AI 證件防偽鑑識（Real-Doc）+ 3D 無感活體抗 Deepfake
在無法使用 NFC 的純 Web 或即時通訊環境下，透過 Real-Doc 智能防偽鑑識技術，引導使用者在多角度光影傾斜下拍攝，即時比對全息動態反光、字體微縮排版及邊緣貼合破綻；同時結合 3D 結構光與光流活體檢測，徹底阻斷 Deepfake 換臉與螢幕重放攻擊。
防線四：信資通（Credit Data Smart）與多維數據交叉校驗
開戶及放款審批時，透過 Cash Direct 信資通網關 (MCRA Gateway) 即時調閱信貸資料庫，自動比對申請人歷史電話號碼、住址及信貸異常，並結合電訊商實名登記與銀行戶口名比對，一旦發現資訊不吻合立即觸發風控警報。
防線五：操作存證鏈（Operator Evidence）與階梯式動態核身
建立符合私隱公署（PCPD）規範的完整審計日誌（Audit Trail）。對於低風險瀏覽維持極簡體驗，但當偵測到「變更收款銀行戶口」、「申請提款」或「修改安全憑證」等高風險動作時，強制實施階梯式二次身份核實（Step-up KYC）。
全渠道 eKYC 解決方案：為金融機構築起防偽護城河
面對日益狡猾的高仿偽證與新型詐騙，Cash Direct 全渠道 eKYC 解決方案 為香港持牌金融機構、放債人及企業量身打造，將前沿合規科技與極致開戶體驗融為一體：
突破性全渠道覆蓋 (WhatsApp · Web · App)
首創支援 WhatsApp 遙距對話式開戶、Web 免下載核身與原生 App SDK 深度整合，讓用戶在熟悉的渠道以數秒時間完成高標準開戶。
AI 專利證件防偽與 3D 活體檢測 (Real-Doc)
自動分析身份證動態反光、全息圖案、排版字體微特徵與邊緣篡改痕跡，精準攔截更換照片偽證與 Deepfake 攻擊。
手機 NFC 智能身份證晶片極速直讀
透過手機 NFC 直讀香港智能身份證加密晶片，校驗 ICAO 數碼簽名，硬件級安全保障，徹底實現「零偽造可能」。
「智方便」與「信資通」一體化無縫生態
原生對接香港政府「智方便+」授權登入與填表，並串接信資通 MCRA 網關及自動化名單篩查，打造端到端合規閉環。
四、 結語：從「單點驗證」走向「主動免疫」——重塑金融級數碼信任基石
延伸閱讀：更多專題與技術深度解析
精選相關金融科技、合規指南與行業深入洞察
Claude 引入 eKYC 的應用場景與未來趨勢預測
深入剖析 Anthropic 旗下 Claude 引入 eKYC 電子身份驗證的背景架構、四大核心應用場景及六大未來趨勢預測。探討生成式 AI 與 Agentic AI 如何從無門檻匿名走向實名合規營運。
eKYC 與 Passkey 的關係：前者確認「你是誰」，後者確認「是你本人」
深度解析 eKYC 與 Passkey 的核心區別與協同機制。從開戶身份核實到日常無密碼登入，拆解兩者如何完美結合打造金融級數碼身份安全閉環。
當 AI 可以偽造你的臉：eKYC 如何防禦 Deepfake 身份詐騙？
深入剖析生成式 AI、Deepfake 換臉與數碼注入攻擊對遠程開戶 eKYC 帶來的巨大挑戰，探討如何構建多層縱深防禦體系。