RM100一天，最后处理的却是陌生人的钱
2026年9月，一名来自古晋的22岁商科大学最后一年学生在Facebook寻找兼职时，看到一份每天RM100的线上会计工作，之后通过WhatsApp与招聘者联系。
真正开始“工作”后，她被要求使用自己的银行账户和电子钱包接收款项，再按照指示转给其他账户。
报道显示，9月22日至23日，五人把合计RM12,246汇入她的银行账户；另外八人把RM20,117转入其电子钱包。这些钱随后被转往多个不同账户。
她最终没有拿到承诺的工资，对方也失去联系。银行账户被冻结后，她通过Semak Mule查询，发现有关账户已有三宗警方举报记录，并在9月29日报警。
Malay Mail — Final-year student falls for RM100-a-day ‘accounting job’
Semak Mule出现举报记录，并不代表账户持有人已经被定罪，它反映的是有关银行账户或电话号码曾出现在警方收到的诈骗举报资料中。PDRM也提醒，即使Semak Mule查不到记录，也不能单凭这一点判断一笔交易安全。
PDRM — Semak dulu, baru transfer
钱骡账户的风险，不只是“钱不是自己的”
Bank Negara Malaysia把Mule Account解释为：个人银行账户被其他人用来接收或转移资金，而这些钱可能来自盗窃、诈骗或其他非法活动。
BNM提醒，一旦账户涉及这类活动，银行账户可能被关闭，持有人未来申请银行服务也可能遇到困难，并可能面对涉嫌协助犯罪活动的风险。
Bank Negara Malaysia — Mule Account
这里也必须区分参与程度。
有人是在假兼职中被骗，以为自己只是完成公司安排的收付款；有人知道对方要使用自己的账户，却为了报酬出租账户或交出控制权；也有人直接参与转移诈骗资金。
这些情况不能简单放在同一个层次判断。
即使当事人声称自己不知情，银行账户仍可能因为可疑资金流被冻结并接受调查。最终是否构成刑事责任，要看资金流、聊天记录、账户控制情况、当事人的实际行为以及适用条文。
PDRM曾提醒大学生，《刑事法典》第424A至424C条涉及银行账户控制及相关交易行为，其中第424C(1)条在定罪后最高可面对10年监禁、RM150,000罚款，或两者兼施。
PDRM — Mahasiswa dinasihati usah gadai masa depan jadi ‘keldai akaun’
为什么这种兼职不像传统骗局？
每天RM100，是一个很容易让人降低警觉的数字。
如果每个月工作20天，就是RM2,000。它并没有夸张到“每天赚RM1,000”那么明显，对于学生、刚毕业的年轻人或正在找副业的人来说，看起来甚至接近正常兼职收入。
对方也不会直接告诉求职者：“把银行账户借给我。”
他们可以把转账包装成“线上会计、客户付款、退款处理或佣金结算”，让求职者误以为只是帮公司处理日常业务。
防诈骗如果只告诉年轻人“不要贪心”，解决不了全部问题。更实际的知识是让求职者知道：公司的客户资金原则上应该进入公司的正式账户，并有订单、发票、授权和会计记录，而不是不断经过一名兼职员工的私人银行账户。
正常工作与高风险“兼职”有什么不同？
很多时候，不需要先证明对方是不是诈骗集团，单看工作流程已经可以判断风险。
| 项目 | 正常工作 | 高风险“兼职” |
|---|---|---|
| 收款账户 | 公司名下账户 | 求职者私人账户或电子钱包 |
| 工作内容 | 开单、对账、记录公司交易 | 收到陌生人的钱后再转出 |
| 资金依据 | 有客户、订单、发票及授权 | 钱从哪里来、为什么转账说不清 |
| 银行资料 | 只需提供发薪所需的账户资料 | 索取PIN、密码、OTP或账户控制权 |
| 软件 | 官方应用商店或公司管理设备 | 要求安装经WhatsApp发送的外部APK |
| 报酬 | 工资或正式佣金记录 | 从收到的款项自行扣“工资” |
| 公司身份 | 公司名称、地址及资料可验证 | 无法核实身份，只以私人账号联络 |
其中最关键的问题其实很简单：
为什么一家公司的钱，要先进入你的私人银行账户？
只要所谓工作要求求职者反复代收、拆分或转出陌生人的款项，就应该先停止操作。
假兼职还有另一种风险：要求安装“工作App”
不是所有假兼职都会要求受害者成为资金中转者。
MyCERT在2026年10月发出安全警告，LongKong Android Banking Trojan会利用兼职、送货、促销等广告，把用户引导到Facebook广告或WhatsApp链接，再要求安装Google Play以外的Android应用。
安装后，恶意程式可能要求Accessibility等高权限，并覆盖真实银行App的登录页面、读取设备内容，甚至在受害者自己的手机上操作银行App。
MyCERT观察到，部分攻击从诱导安装到取得关键权限的前三个阶段，可以在五分钟内完成。
这种恶意APK攻击和前面的代收、代转资金不是同一种手法，但入口非常相似——都是一份看起来普通的兼职。
所以求职时除了不要借出账户，也不应该因为“公司要求”，从WhatsApp或陌生网页安装不明APK。
MyCERT — Active LongKong Android Banking Trojan Campaign
如果已经收过钱或转过账，应该怎么办？
最不应该做的，是因为已经转了第一笔，就继续按照对方指示把剩下的钱处理完。
如果发现工作涉及可疑资金，应停止继续转账，并尽快联系自己的银行，保存招聘广告、聊天记录、电话号码、账户号码、电子钱包记录及所有转账凭证。
如果诈骗交易刚发生，应立即联系银行及NSRC 997，并尽快报案。Malaysia.gov.my资料显示，997目前每日24小时运作，并建议受害者发现诈骗后尽快通报，尤其应把握最初24小时，以提高拦截资金的机会。
Malaysia.gov.my — NSRC 997 Hotline
如果曾经安装不明APK，则不要继续使用该设备处理银行交易。MyCERT建议从另一部可信设备更改网上银行登录资料、检查近期交易，并联系银行处理，同时检查并移除可疑App及其Accessibility或Device Administrator权限。
防诈骗不能只告诉年轻人“不要贪心”
一名学生想靠兼职每天多赚RM100，本身并不是异常行为。
更实用的判断标准是：正规公司不会要求一名刚招聘、没有正式财务授权的兼职员工，用私人银行账户反复接收和转出陌生人的钱，也不会通过WhatsApp要求安装来历不明的APK。
出现任何一种情况，都应该先停止操作，再核实公司和资金来源。
资料来源
Malay Mail — Final-year student falls for RM100-a-day ‘accounting job’ that turned her bank account into a mule account
https://www.malaymail.com/news/malaysia/2026/10/04/final-year-student-falls-for-rm100-a-day-accounting-job-that-turned-her-bank-account-into-a-mule-account/237609
Bank Negara Malaysia — Mule Account
https://www.bnm.gov.my/muleaccount
PDRM — Mahasiswa dinasihati usah gadai masa depan jadi ‘keldai akaun’
https://www.rmp.gov.my/news-detail/2025/04/21/keratan-akhbar-pilihan-mahasiswa-dinasihati-usah-gadai-masa-depan-jadi-%27keldai-akaun%27
PDRM — Semak dulu, baru transfer
https://www.rmp.gov.my/news-detail/2026/06/04/posting-pilihan-scam-alert-semak-dulu-baru-transfer
MyCERT — Active LongKong Android Banking Trojan Campaign
https://www.mycert.org.my/portal/advisory?id=MA-1482.102026
Malaysia.gov.my — NSRC 997 Hotline
https://www.malaysia.gov.my/en/categories/safety-community-and-law--order/cybersecurity/nsrc-997-hotline
