商戶 SMS 點樣先唔會被當詐騙？已登記發送人「#」制度＋退訂合規全拆解
一、SMS 仍然常用，但信任已經透支
SMS 仍然係商戶同顧客溝通的常用渠道：發送訂單通知、預約提醒、促銷訊息，成本低、到達率高。但呢個渠道的信任已經被透支。HKCERT 2025 年接獲 15,877 宗網絡安全事故，按年升 27%，創紀錄新高；以升幅推算，2024 年約 12,502 宗（衍生數字）。當中釣魚攻擊佔 57%，即約 9,050 宗（衍生數字）。當顧客日日收到釣魚 SMS，佢哋對所有 SMS 的第一反應已經變成懷疑，而唔係信任。
攻擊渠道亦已經擴散：社交媒體／即時通訊平台佔 34%，加密貨幣平台佔 18%。注意：57% 係威脅類別佔比，34% 同 18% 係傳遞渠道佔比，兩個唔同切面，不可相加。生成式 AI 令釣魚訊息越來越逼真、越難分辨，單憑「睇落專唔專業」已經分唔到真假。中小企的防禦落差亦值得注意：只有 26% 中小企有專責網絡安全人員，大企有 59%，相差 33 個百分點；48% 中小企採用電郵安全措施，大企有 79%，相差 31 個百分點。
對商戶嚟講，結論好直接：SMS 呢個渠道冇死，但「隨便發」已經行唔通。顧客會用最嚴格的標準去檢視每一則 SMS，發送人身份唔清、退訂機制唔明、內容叫人㩒連結入密碼，全部都會被當成詐騙。以下落嚟，本文會拆解「#」制度係咩、點申請、點發，先至合規。
二、「#」制度係咩：證明「邊個發」，唔係證明內容真
「#」制度全名係 SMS Sender Registration Scheme（短訊發送人登記計劃），由通訊事務管理局辦公室（OFCA）、金管局、警務處、香港銀行公會（HKAB）同電訊業共同建立，細節見 OFCA 指引 GN-10/2024 第 2.1 段。計劃喺 2023 年 12 月 28 日起實施，首批覆蓋電訊業；2024 年 2 月 21 日起開放所有行業申請。已登記發送人可以用「#」開頭的已登記發送人識別碼，向香港本地流動服務用戶發送 SMS。
機制好簡單：登記冊由 OFCA 建立及維持，並公開畀公眾查閱；未經登記、冒用「#」的 SMS 會被電訊網絡攔截。計劃只適用於香港流動服務供應商用戶、用香港手提號碼、喺香港境內接收 SMS。換句話說，「#」只係一個身份標記，證明呢則 SMS 的發送人身份經過登記，唔保證內容合法，亦唔代替退訂責任。
參與數字逐年上升，以下全部帶日期：截至 2024 年 8 月底逾 320 間機構參與，包括 63 個政府部門及法定機構（OFCA 營運基金報告書 2023/24）；截至 2025 年 3 月逾 490 間，包括 77 個政府部門及法定機構（OFCA 營運基金報告書 2024/25）；據《The Standard》2026 年 10 月 3 日報道引述 OFCA，截至 2026 年 8 月逾 880 間機構參與。數字上升代表越嚟越多機構願意用可核實的身份發 SMS，顧客亦越嚟越習慣「冇 # 就懷疑」。
三、商戶點申請：資格、文件、時間、費用
資格方面，有真實及實際需要以 SMS 同顧客／公眾溝通的公司或機構，可以向 OFCA（或其指定代理）申請成為已登記發送人；OFCA 有絕對酌情權決定接納與否。銀行界經 HKAB（OFCA 指定代理）處理，其他行業經 OFCA。換句話說，唔係入表就自動批，OFCA 會審。
申請文件按指引第 8.1 段，包括：申請人全名；指定聯絡點全名、電話、電郵；所屬行業業務證明；擬用發送人識別碼；身份證明文件（例如商業登記證、公司註冊證書）；獲授權人簽署＋公司／機構印章；合作或擬合作的已登記短訊服務供應商（RSSP）名單。時間目標方面，OFCA 收到全部所需資料後，目標喺 15 個工作天內通知結果。收到批准通知之前，切勿同 RSSP 做發送測試。
費用方面，指引生效日當日，登記／取消登記免費；OFCA／其指定代理保留日後收取合理費用的權利。取消方面，申請取消後，取消喺收到申請後 15 個工作天內生效；公司／機構停業後，登記即時撤回。撤銷資格情形按指引第 8.6 段，包括：違反指引要求；行為損害計劃完整性或可信性；因業務相關罪行被定罪或認罪；申請資料失實／誤導。
四、發送人識別碼格式規則：有明確限制
識別碼分配先到先得；每個已登記發送人的識別碼數量不限（受指引第 5.4 段規限）。識別碼切勿共享、切勿轉讓，除非獲 OFCA 批准。識別碼必須同公司／機構名稱及／或品牌名稱直接相關，且為公眾普遍認識——顧客見到識別碼，應該即刻諗到係邊間機構。
格式方面，「#」之後用 3 至 10 個字元，即連「#」計共 4 至 11 個字元（驗算：3＋1＝4，10＋1＝11）。「#」之後可用英文字母、數字、特殊字元或其組合；但只得特殊字元或只得數字的識別碼不獲接納。英文字母分大小寫。特殊字元只限附件 1 名單：! & * - = + ? / @ _ . 空格；空格切勿喺開頭或結尾；@ 切勿同大寫字母一齊用。
內容限制方面，切勿通用，例如 #OTP、#SMS 呢類唔會獲接納；切勿暗示同中央人民政府、香港特區政府、政府部門／機構、法定機構或監管機構有關連，除非有充分理據並獲 OFCA／指定代理信納；切勿違法、侵犯知識產權、淫褻／不雅／醜化／煽動／違反法律或道德、冒犯宗教信仰。OFCA 對邊個識別碼可用有絕對酌情權，可以拒絕、暫停、移除。
五、發送規則：邊個發、經邊個發、點樣發
已登記發送人只可用自己已登記的「#」識別碼，只可向香港本地流動服務用戶發送，且只可經 RSSP，透過專用及安全網絡連接發送。切勿經未向 OFCA 登記為 RSSP 的短訊服務供應商發送「#」訊息；RSSP 名單喺 OFCA 網站查到。
如委託授權代表代發，授權代表須遵守同樣要求；RSSP 只接受同佢有商業關係的已登記發送人所委任的授權代表的「#」訊息；授權唔會免除已登記發送人本身的責任；授權前須向相關 RSSP 發出授權信，副本抄送 OFCA。
例外情況係回覆類短訊：收件人預期要經電話號碼直接回覆的 SMS，發送人識別碼通常只得數字，方便直接回覆，唔用「#」，呢類 SMS 唔受計劃覆蓋。商戶設計回覆流程嗰陣，要分清楚邊啲 SMS 行「#」制度、邊啲行回覆類例外，切勿撈亂。
六、三個制度並行，互不代替：SSRS、Cap 593、PICS
呢度係全文最關鍵的分界，三個制度各管各，互不代替。SSRS（「#」制度）＝證明「邊個發」——身份驗證，唔保證內容合法，唔代替退訂責任。Cap 593《非應邀電子訊息條例》＝管「點樣發商業電子訊息」——須提供準確發送人資料＋退訂設施；須履行退訂要求；切勿向已登記「拒收訊息登記冊」的號碼發送商業電子訊息。「拒收訊息登記冊」分別設傳真、短訊、預錄訊息三個登記冊。PICS《個人資料（私隱）條例》＝管「用顧客個人資料做直接促銷」——須先取得同意＋提供拒收機制，詳見 post-48。注意：SSRS 係 OFCA 指引計劃，唔係條例本身；「#」要求嚟自 OFCA 指引，唔係嚟自 Cap 593。
以下三句全部錯誤，商戶切勿咁諗：第一，有「#」就可以亂發；第二，登記咗「#」就唔使退訂；第三，有顧客同意就唔使理 Cap 593。退訂處理方面，按 OFCA 實務守則，須喺 10 個工作天內處理退訂要求，並保存退訂紀錄 3 年。
罰則方面，違反執行通知：首次定罪罰款 HK$100,000，其後 HK$500,000（政府新聞稿 2007 年；以條例現行版本為準）。收穫地址軟件／已收穫地址名單：切勿用嚟發商業電子訊息；簡易程序第 6 級罰款；明知而犯可公訴罰款 HK$1,000,000 及監禁 5 年（條例文本；以條例現行版本為準）。2025 年 OFCA 接獲 831 宗涉嫌違反 UEMO 的舉報，當中只有 10 宗投訴人指稱涉及 AI 預錄電話訊息，約 1.2%（10÷831＝1.203%）。全程 AI、無真人互動的 AI 營銷電話受 UEMO 規管（立法會答問 2026 年 6 月 24 日）。至於人對人電話促銷的進一步規管，目前只屬建議，尚未立法。
三個制度分工
| 制度 | 管咩 | 商戶要點 |
|---|---|---|
| SSRS「#」制度 | 證明「邊個發」：發送人身份驗證 | 用已登記識別碼，經 RSSP 發送 |
| Cap 593《非應邀電子訊息條例》 | 管「點樣發商業電子訊息」 | 準確發送人資料＋退訂設施＋履行退訂＋避開拒收登記冊 |
| PICS《個人資料（私隱）條例》 | 管「用顧客個人資料做直接促銷」 | 先取得同意＋提供拒收機制（詳見 post-48） |
七、「#」唔等於安全：顧客點核實，商戶點自保
「#」只證明發送人身份經登記，唔證明內容真實、唔證明商戶信譽；「已登記發送人」亦唔等於「政府認證商戶」。OFCA 原話口徑：即使發送人識別碼有「#」，都要保持警惕；任何情況下切勿向不明發送人披露個人資料、銀行戶口號碼或信用卡資料、轉帳或㩒入 SMS 內超連結。商戶要明白：顧客用呢個標準嚟睇你嘅 SMS，係正常而且正確的。
銀行方面的提醒亦一致。上海商業銀行保安提示：「切勿單憑『#』前綴判斷 SMS 真偽」；如收到自稱某機構職員的來電，應經官方熱線／網頁／應用程式核實身份，切勿單憑來電號碼相信。金管局提醒（2026 年 6 月 30 日，經政府新聞稿）：銀行唔會發出附有嵌入式超連結、引導顧客去銀行網站做交易的 SMS 或電郵；唔會經電話、電郵或 SMS（包括嵌入式超連結）索取登入密碼或一次性密碼等敏感資料。
顧客核實三步：第一，睇發送人識別碼有無「#」；第二，去 OFCA 登記冊對照識別碼＋對應機構；第三，有懷疑就經官方渠道（官方熱線／官方 App）直接聯絡該機構核實，切勿㩒 SMS 內連結。防騙視伏器（Scameter／Scameter+）由警務處網絡安全及科技罪案調查科推出，可輸入平台帳戶名稱或號碼、付款戶口、電話號碼、電郵地址、網址等，評估詐騙及網絡安全風險；Scameter+ 另有來電提示（已核實的釣魚／詐騙電話號碼）同網站偵測功能。反詐騙熱線 18222（ADCC 24 小時）。
八、發送前檢查清單：逐項對齊先發送
發送前逐項對：已登記發送人＋識別碼有效＋經 RSSP 發送；授權代表有授權信＋副本已抄送 OFCA。每則商業 SMS 有準確發送人資料＋退訂設施；已對照拒收登記冊；退訂要求有處理流程＋紀錄保存。呢啲係實務建議，非法例要求，但跟住做先至唔會喺合規位出事。
顧客名單來源合法：切勿買名單、切勿用收穫地址軟件／已收穫地址名單。SMS 內容切勿要求顧客㩒連結輸入登入密碼／一次性密碼／銀行資料——銀行本身都唔會咁做，商戶咁做只會令顧客當你係騙徒。促銷 SMS 用顧客已同意的個人資料（PICS，見 post-48）。SMS 營銷同 POS 交易紀錄係兩套紀錄，POS 唔會自動發 SMS，SMS 亦唔會自動入 POS。
POS 角度亦要講清楚：POS 只做付款方式記錄／分類對數，收款經八達通機／KPay／YedPay 等獨立渠道處理。如需協助，POSKing 聯絡資料：電話／WhatsApp +852 2186 8010；新界沙田石門安麗街18號達利廣場1209室；每日 12:00–19:00。
「#」證明邊個發，唔證明內容真；退訂責任同個人資料同意要另外做齊。發 SMS 之前對照檢查清單，先至唔會被顧客當成詐騙。
