每个月，加拿大都有人因为一条”银行短信”丢钱。骗子冒充 TD、RBC 发短信，说你的账户被锁、有一笔可疑转账，附一条链接让你”立即验证”。点进去的页面和银行官网几乎一模一样，输完用户名密码，你的钱可能几分钟内就被转走。先说三句：加拿大银行绝不会发短信索要密码或验证码；凡短信里带链接让你”立即验证”的，一律先关掉，用官方 App 或官网自己登录核实；如果已经点了链接、输了信息，按本文第 6 节的补救清单 24 小时内处理，越快损失越小。
2026 年，加拿大网络安全中心（Canadian Centre for Cyber Security）联合皇家骑警（RCMP）专门发出预警：针对加拿大人的 smishing（短信钓鱼）攻击越来越精密，骗子用伪造号码发短信，甚至能让假短信混进你和银行的真实对话记录里，让人防不胜防。这篇文章把假银行短信的 4 个破绽一次讲透，附银行 App 内核验方法、点错链接后的补救步骤和挂失流程。
1. 假银行短信长什么样：先看一条典型样本
最常见的假 TD / RBC 短信长这样（请注意，这些都是骗局话术示例，不要当真）：
- “您的账户检测到异常登录，请在 24 小时内验证身份，否则账户将被冻结：td-secure-verify.xyz/login”
- “RBC 提醒：您有一笔 $1,890 的可疑转账待确认，非本人操作请立即点击链接取消”
- “您的银行卡将于今日过期，点击更新信息以免影响使用”
三句话套路完全一致：自称银行 + 制造恐慌 + 给一条链接让你立刻行动。真银行的安全提醒逻辑正好相反：真银行通知你”有可疑情况”，会让你自己打开官方 App 或官网查看，而不是给你一条链接让你点。
2. 破绽一：发件号码是假的，甚至能”混进”真对话
很多人以为”这条短信和银行之前发的在同一个对话里，所以是真的”。加拿大网络安全中心明确提醒：骗子用伪造号码（spoofed number）发短信，假短信可能直接出现在你和银行的真实消息记录中，仅凭”在同一个对话框”无法判断真假。
- 发件方显示”TD”或一串短号（如 722-372），都可能是伪造的——短信的发件人名称在技术上可以随意填写。
- 骗子会买”短信群发器”（SMS blaster）设备，批量向一个街区的人群发伪装短信；不认识的陌生号码+银行口吻，直接删掉。
- 核验方法：真银行给你发过短信，不代表这条就是真的。每一条带链接、要你行动的短信，都单独按第 5 节的方法核验。
3. 破绽二：链接的域名露馅——看”裸地址”，不看显示文字
这是最可靠的破绽。短信里显示的文字可能是”td.com/verify”，但实际指向的链接可能是 td-secure-login.xyz、rbc-verification.top 这类假域名。长按链接（不要点开），看弹出的真实地址。
| 检查点 | 真的长这样 | 假的长这样 |
|---|---|---|
| TD 银行 | td.com 结尾 | td-secure-verify.xyz、tdbank-login.top |
| RBC 银行 | rbc.com 结尾 | rbc-secure-online.xyz、royalbank-verify.net |
| 通用特征 | 银行不会用.xyz/.top/.click 等冷门后缀发安全链接 | 域名里加”secure/verify/login”等词混淆视听 |
- 真银行的安全提醒短信里，基本不会放登录链接；即使有通知，也是让你”登录 App 查看”，而不是点短信里的链接。
- 注意大小写和字母替换陷阱：如 rbc 用 rnbc（r+n 看起来像 m）、td 用 t-d 加连字符等。
- 在电脑上把鼠标悬停在链接上看真实地址（手机上是长按预览），只看域名最后一段：不是 td.com / rbc.com 结尾的，一律按假的處理。
4. 破绽三：话术永远在”催你”——真银行不催
假短信的共同点是制造紧迫感：”24 小时内验证””立即取消否则扣款””今日过期”。紧迫感是让你跳过思考、直接点击的心理武器。记住三条红线：
- 真银行不会在短信里让你”立刻点链接验证身份”；真有账户风险，银行会让你自行登录官方渠道查看，或打电话给你（你也可以挂掉后回拨卡背电话核实）。
- 凡是短信里出现”账户将被冻结””资金将被划走””资格将被取消”等威胁式措辞，警惕值拉满。
- 骗子也常用”退税到账””CRA 退款”等诱饵短信冒充政府机构，逻辑一样：链接+催你点。CRA 相关核验可以看本站之前文章《加拿大 CRA 真假来电：4 个官方核验渠道全解》。
5. 破绽四：索要的东西，真银行永远不会在短信里要
这是铁律，一条就够判死刑。加拿大皇家骑警明确提醒，正规机构绝不会通过短信索要：
- 网银用户名、密码；
- 手机上收到的短信验证码（2FA code）；
- 完整的银行卡号、CVV、有效期；
- 社会保险号 SIN；
- 要求你”转账到安全账户”或提供远程控制电脑。
凡短信（或短信链接打开的页面）索要以上任何一项，100% 是骗局，直接关闭。银行客服即使真给你打电话，也不会在电话里问你要完整密码或验证码。
6. 核验真伪的正确姿势：银行 App 内核验 3 步
收到可疑短信，不要回、不要点链接、不要拨短信里留的电话。按这 3 步走：
- 第 1 步：自己打开官方 App。从手机桌面点开 TD / RBC 官方 App（不是短信里的链接），看”消息中心/通知”里有没有同样内容。银行真正的安全提醒，App 内一定有对应记录；App 里没有，短信就是假的。
- 第 2 步：自己登录官网查。在浏览器手动输入 td.com / rbc.com（不要点短信链接），登录后看账户活动和通知。看不懂的条目直接截图保存。
- 第 3 步：打卡背电话。拨银行卡背面的官方客服电话（一般是 24 小时服务），跟客服说”收到一条短信，帮我确认真伪”。不要拨短信里提供的任何号码。
养成习惯：银行的事，只走”我自己打开的”官方渠道。短信、邮件里的链接一律视为”仅供参考的线索”，真正的核验动作永远在自己主动打开的 App 或官网里完成。
7. 点错了链接怎么办：补救清单（按顺序做）
如果已经点了链接，分两种情况：
情况 A：只点了链接，没填任何信息
- 立刻关闭页面，不要再点页面上的任何按钮。
- 手机跑一次系统安全扫描（iPhone / 安卓自带），确认没有下载安装未知文件。
- 把这条短信转发到 7726（SPAM）——加拿大主要运营商都支持这个举报短码，会把样本送进运营商级反诈系统。
- 删除短信，完事。没填信息一般没有直接损失，但未来几天留意银行账户异动。
情况 B：已经输入了用户名、密码或验证码（最危险）
骗子拿到密码+验证码后，几分钟内就可能登录并转走资金。按下面顺序，越快越好：
- 立刻改密码：自己打开官方 App 或手动输入官网地址登录，修改网银密码。如果还能登录，说明骗子还没改掉你的密码，抢时间。
- 打银行电话挂失/冻结：拨卡背客服电话，说明”网银信息可能泄露”，要求临时冻结网上银行、审查最近交易、对可疑转账提出争议。客服会指导你重设安全问题、换发新卡。
- 查交易记录：逐笔核对过去 7 天的出入账，发现不认识的转账/消费立即告诉银行走争议流程。
- 查 CRA 账户：登录 CRA My Account，检查直接存款（direct deposit）信息有没有被改——骗子有时会顺手改退税账户。
- 报加拿大反欺诈中心：Canadian Anti-Fraud Centre，电话 1-888-495-8501，或上 antifraudcentre.ca 在线举报。留好报案编号。
- 通知两大信用局：如果泄露了 SIN 或其他身份信息，联系 Equifax Canada 和 TransUnion Canada 加 fraud alert（欺诈警示），防止骗子用你的身份开户贷款。
- 本地报警备案：去当地警局或在线报案，拿到 file number（档案号），银行争议和保险理赔可能用得上。
8. 银行卡挂失全流程：电话里这样说
很多人第一次挂失不知道说什么。记住，你打的是银行卡背面的官方客服电话（24 小时挂失专线，各银行号码以官网/卡背为准），接通后按这个顺序说：
- “你好，我怀疑网银信息泄露 / 银行卡信息被盗用，想冻结账户并挂失。”
- 报上你的姓名、出生日期，按客服指引做身份验证（注意：是客服验证你，不是你问客服要信息）。
- 要求：① 临时冻结网上银行登录；② 挂失现有借记卡/信用卡并补发新卡；③ 列出最近 7 天所有交易，逐笔确认。
- 对不认识的交易提出 dispute（交易争议），客服会立案并告诉你调查周期（以银行告知为准）。
- 记下客服给你的 case number（案件号），后续跟进、报警、报反欺诈中心都要用。
- 新卡寄到后：旧卡自动失效；检查所有预授权扣款（水电费、话费、订阅），用新卡号逐一更新，避免断供产生滞纳金。
整个过程一般 15–30 分钟能办完冻结和挂失。补发新卡寄送时间以银行告知为准（通常 5–10 个工作日，加急选项问客服）。
9. 关键数字与时间线：一页看懂
| 事项 | 数字/时限 | 来源 |
|---|---|---|
| 举报短信短码 | 7726（SPAM），加拿大主要运营商支持 | Canadian Anti-Fraud Centre / 运营商反诈体系 |
| 反欺诈中心电话 | 1-888-495-8501 | Canadian Anti-Fraud Centre |
| 信息泄露后改密码 | 发现后立刻，越快越好（骗子几分钟内即可动手） | 银行与反欺诈机构通用建议 |
| 交易核对窗口 | 至少回看过去 7 天，争议交易尽早提出 | 银行争议流程通用建议 |
| 信用局欺诈警示 | Equifax Canada / TransUnion Canada（SIN 等身份信息泄露时） | Canadian Anti-Fraud Centre 指引 |
| 新卡寄送 | 通常 5–10 个工作日，以银行告知为准 | 各银行客服口径 |
核验于 2026年10月17日。具体号码与流程以官网最新公布为准。
10. 常见坑 / 红线：这 5 条碰不得
- 红线 1：回拨短信里的电话。短信里留的”客服电话”可能是骗子同伙。只拨卡背或官网公布的号码。
- 红线 2：在短信链接页面输入验证码。验证码是最后一道门，输进去等于亲手把门打开。任何索要验证码的页面直接关。
- 红线 3：按短信指引”转账到安全账户”。银行没有”安全账户”这种东西，让你转账验证的一律是骗子。
- 坑 4：以为”App 里没通知=没事”就删了短信了事。删之前先转发到 7726 举报，你的举报能帮运营商拦截下一批受害者。
- 坑 5：只改密码不查 CRA 和信用局。骗子拿到身份信息后可能改你的 CRA 直接存款或冒名贷款，银行密码改了不代表风险解除，身份信息泄露必须走信用局 fraud alert。
11. 新手 checklist：收到银行短信时逐项打勾
- ☐ 没点短信里的链接（长按只看裸地址，不点开）
- ☐ 域名不是 td.com / rbc.com 结尾 → 直接判定为假
- ☐ 短信在催我”立即行动” → 警惕值拉满
- ☐ 自己打开官方 App，在消息中心核对有无同样通知
- ☐ 或手动输入官网登录，查看账户活动
- ☐ 拿不准 → 拨卡背电话问客服（不拨短信里的号码）
- ☐ 确认是骗局 → 转发到 7726，并删除短信
- ☐ 已点链接/填了信息 → 按第 7 节补救清单立即处理
12. FAQ：大家最常问的 5 个问题
Q1：银行真的会给我发短信吗？
A：会，但内容一般是交易提醒、验证码（你主动操作时触发）这类通知。银行不会发短信让你点链接”验证身份”或”取消可疑交易”。凡带链接要你行动的短信，先按第 6 节在 App 内核验。
Q2：我点了链接但没填任何信息，需要改密码吗？
A：只点击、没输入信息，一般没有直接风险，不必改密码。但建议：① 把短信转发到 7726 举报；② 未来几天留意账户异动；③ 手机做一次安全扫描，确认没下载未知文件。
Q3：我已经输入了用户名和密码，现在改还来得及吗？
A：来得及，但要快。骗子通常几分钟内就会尝试登录。立刻自己打开官方 App 改密码，然后打卡背电话冻结网银、审查交易。按第 7 节情况 B 的 7 步走完，不要只改密码就停。
Q4：转发短信到 7726 要收费吗？
A：7726（SPAM）是加拿大主要运营商（Bell、Rogers、TELUS 等）都支持的反诈举报短码，举报样本会进入运营商级反诈系统。具体是否计费以你的运营商套餐为准，一般短信套餐内不额外收费。
Q5：钱已经被转走了，还能追回来吗？
A：立刻打银行电话对可疑交易提出 dispute（交易争议），并报警、报 Canadian Anti-Fraud Centre（1-888-495-8501），拿到 file number 和报案编号。能否追回取决于转账方式和发现速度，以银行调查结论为准——所以发现越早、报案越快，追回希望越大。
相关阅读
官方来源：Canadian Anti-Fraud Centre (antifraudcentre.ca)、Canadian Centre for Cyber Security (cyber.gc.ca)、Royal Canadian Mounted Police (rcmp.ca)。核验于 2026年10月17日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
