AI深度偽造「老細騙局」狂襲 數碼詐騙年升四成 銀行傳統認證防線崩潰

合成身份詐騙。 2024年全球金融服務業因為合成身份詐騙損失咗大約220億美元，2025年係310億，預計2026年會超過400億美元——深度偽造技術係最主要嘅推手 。使用AI生成身份嘅複雜詐騙個案，按年增加咗180% 。

根據Vectra AI嘅數據，深度偽造而家佔全球所有詐騙活動嘅11% 。深度偽造身份詐騙預計2026年會比2025年激增495% 。單係金融服務業，由2022年至今，深度偽造詐騙嘗試次數已經飆升咗2,137% 。

「老細騙局」點樣用AI語音克隆同合成影片呃人

典型嘅老細騙局手法大致如下：

AI語音克隆。 騙徒用一條短短嘅錄音樣本（通常喺公開嘅業績發布會、錄咗嘅會議或者社交媒體片段偷到），合成一把令人信服嘅聲 。然後透過電話或留言，叫下屬緊急過數。2026年1月，一位瑞士企業家就因為收到幾通由AI克隆聲線扮成商業夥伴嘅電話，損失咗幾百萬瑞士法郎 。

深度偽造視像會議。 Arup案係最出名嘅例子，但唔係唯一。2025年3月，新加坡有位財務總監喺睇住一個視像會議之後，授權咗大約4200萬美元嘅轉帳——畫面入面嘅「CFO」同「其他高層」都係由AI生成嘅 。

扮屋企人求救。 同一套路，但對象係個人。騙徒用語音克隆扮成仔女或孫仔女，打電話話畀老人家聽「我撞車啦」、「我被拉咗啦」、「我被人綁架啦」，要求即刻俾錢 。呢類家庭緊急騙案有記錄嘅損失已經超過500萬美元 。

多渠道攻勢。 騙徒會同時用WhatsApp、電郵、Microsoft Teams同電話嚟製造權威感同逼切性。佢哋會上網揾公開資料令個騙局更迫真，仲會用偽造嘅緊急情況同保密要求嚟施加壓力 。2026年7月，美國聯邦檢察官起訴咗14名被告，指控佢哋涉及一個4700萬美元嘅深度偽造騙局，目標係超過1200名長者——騙徒扮成銀行職員同家人嚟呃錢 。

點解銀行身份驗證系統守唔住？

銀行同金融科技公司過去十年建立嘅遙距身份驗證機制，離不開一個公式：出示身份證、影張selfie、再做個簡單嘅「活體檢測」。去到2026年，呢個模式已經出現咗好幾個明顯嘅缺口。

「證件 + 自拍」KYC已被攻破。 標準嘅證件加自拍驗證，已經擋唔住換臉同鏡頭注入工具。注入攻擊——即係騙徒將預先錄好嘅深度偽造影片，直接餵入個Live Camera feed入面——喺2024年單年就爆升咗783% 。深度偽造換臉喺58%嘅情況下可以突破現有嘅活體檢測 。

合成身份輕鬆過關開戶。 騙徒會執到或者偷到身份證，改咗張相，再用深度偽造技術通過遙距驗證，之後開戶口用嚟借貸、信用卡詐騙同洗黑錢 。而家每100次驗證入面，就有一次涉及某種形式嘅深度偽造 。

注入攻擊同重播攻擊已經係商品。 攻擊者用OBS Virtual Camera呢類工具或者自訂驅動程式，將預錄好嘅AI生成影片變成「直播畫面」送入驗證系統 。呢啲軟件而家已經係當商品咁賣 。

規模太大，跟唔切。 美國嘅深度偽造詐騙嘗試次數，淨係2025年第一季就升咗1,100% 。估計而家有85%嘅身份詐騙個案用咗生成式AI工具 。Entrust嘅《2026身份詐騙報告》發現，每五宗生物特徵詐騙嘗試入面，就有一宗同深度偽造有關；而深度偽造自拍照嘅數量，2025年增加咗58% 。

印度證監會（SEBI）2026年7月嘅「老細騙局」警示

印度證券交易委員會（SEBI）喺2026年7月17日（新聞稿編號40/2026）向所有上市公司同受監管機構發出咗正式警告，提醒大家留意呢類「老細騙局」 。重點如下：

• SEBI指出，騙徒正利用深度偽造語音克隆同AI生成視像通話，扮成公司高層，呃財務部門過數 。
• 今次警告係因為收到印度網絡犯罪協調中心（I4C）嘅通報而發出 。
• SEBI強烈要求企業對所有資金轉帳實施更嚴謹嘅驗證程序，包括使用「帶外確認」（即係用另一個已知、獨立確認嘅電話號碼打返畀對方），以及要求超過某個金額嘅付款必須由多人審批 。
• 監管機構警告，騙徒會喺公開資料度搜集情報，令成件事睇落更可信，仲會用假嘅逼切感同保密理由嚟迫使受害人就範 。

SEBI嘅警告唔係孤立事件。2025年第四季，美國金融犯罪執法網絡（FinCEN）都出咗指引，提醒金融機構小心深度偽造技術用喺身份詐騙 。歐洲議會、國際刑警（INTERPOL）同好多國家嘅監管機構都出過類似警示 。

公司而家可以做啲乜？

監管機構同安全專家嘅建議相當一致：

• 帶外確認。 絕對唔好淨係靠一個電話、一個視像通訊或者一封電郵就批准匯款。一定要用另一個你肯定係正確嘅渠道（例如係你電話簿入面嗰個號碼）打返去確認，而唔係嚟電顯示嗰個號碼 。
• 多人審批。 規定超過某個金額嘅付款，必須由至少兩個人批 。
• 交易限額。 設定每日或每次交易嘅金額上限，超過就要上報 。
• 員工培訓。 財務團隊需要知道，把熟口熟面嘅聲或者個樣，唔再係可靠嘅身份證明 。
• 持續KYC。 舊嗰套「開戶時驗一次就夠」嘅模式已經唔得，有必要持續監控帳戶行為同身份有冇異常 。

有業界人士一針見血咁話：「喺數碼年代，信任本身已經變成武器。語音克隆、深度偽造技術同詐騙即服務平台愈嚟愈易攞到手，調查人員需要整合式嘅數碼鑑證平台、即時情報共享同全新嘅舉證框架先至應付到。」

結論簡單但令人不安：我哋一直以嚟信賴嘅感官訊號——一把熟識嘅聲音、一張認得嘅臉——已經唔再可靠。機構需要建立一套假設「所有溝通渠道都可能被入侵」嘅驗證流程。