深伪视频会议冒充财务总监 Arup 香港职员转走约2,560万美元

重点

骗徒冒充 Arup 英国总公司财务总监发出信息，再以深伪预录影片举行多人视频会议。
职员转账约2,560万美元至五个本地银行账户，事后向总公司查证才揭发。
同类手法2024年5月再出现，一名跨国贸易公司职员被骗近51万美元。

骗局由一则“机密交易”信息开始

据保安局局长邓炳强2024年6月26日在立法会的书面答复，报案人收到假冒英国总公司首席财务官的钓鱼信息，声称要进行机密交易，并邀请他参加多人视频会议。骗徒使用的是以深伪技术预先录制的影片。警方2024年2月2日公布案件时表示，职员起初怀疑信息是钓鱼邮件，但参加视频会议后放下疑虑，因为与会者的样貌和声音都与他认识的同事无异。署理高级警司陈纯青指，会议上除职员外，所有人都是假的。

转账至五个本地账户向总公司查证才揭发

立法会答复指，报案人按指示授权转账至五个本地银行账户，损失约二亿港元。据香港电台引述警方，款项分15次转出。警方表示，骗局在职员其后向总公司查证时才被揭发。

Arup：财务及内部系统未受影响

Arup 发言人向 CNN 确认，公司于2024年1月通知香港警方，骗徒使用了伪造的声音和影像。发言人表示，由于案件仍在调查，不能透露细节，又指公司“财务稳定及业务运作未受影响，内部系统亦没有被入侵”。Arup 全球信息总监 Rob Greig 表示，公司经常受到攻击，包括发票诈骗、钓鱼骗案、WhatsApp 语音冒充及深伪，这类攻击的数量和精密程度近月急升。

同类手法再现第二宗损失近51万美元

立法会答复指，截至2024年5月31日，警方共接获三宗涉及深伪技术的案件。除 Arup 一案外，2024年5月一名跨国贸易公司职员收到假冒英国总公司首席财务官的 WhatsApp 信息，并进行近30分钟的视频会议，期间“假上司”指示职员将近51万美元转至一个本地账户。另一宗发生于2023年8月，犯案者以人工智能换脸程序盗用他人身份向财务公司申请贷款，涉款约2.6万美元，警方拘捕9人。

防守方现在要做什么

大额或“机密”转账，一律以已知的电话号码回拨核实，不用信息或会议中提供的联系方式。（警方建议以电话核实；回拨已知号码是业界常规）
设双人审批，任何人不能单独授权大额转账。（业界常规）
在视频会议中要求对方做指定的头部动作，或问只有真人才答得出的问题。（警方建议）
不接听陌生人的视频通话。（警方建议）
怀疑受骗，立即致电防骗易热线 18222 或报警，并联系银行尝试截停款项。（警方热线；联系银行是业界常规）
把这宗案件的手法纳入财务团队的年度防骗培训。（业界常规）

常见问题

被深伪视频会议骗走约2,560万美元的是哪间公司？

是英国工程顾问公司 Arup 的香港办事处。警方公布案件时没有透露公司名称，Arup 其后在2024年5月向 CNN 确认。

骗徒怎样令职员相信会议是真的？

骗徒先发信息冒充英国总公司财务总监，再以深伪预录影片举行多人视频会议。与会者的样貌和声音都像职员认识的同事，令他放下起初的怀疑。

香港还有其他同类的深伪骗案吗？

有。2024年5月，一名跨国贸易公司职员在近30分钟的视频会议后，被“假上司”指示转账近51万美元。截至2024年5月底，警方共接获三宗涉及深伪技术的案件。

什么是深伪技术？

深伪（deepfake）是以人工智能制作的伪造影像或声音，可以令一个人看来在说他从未说过的话。骗徒通常利用网上公开的影片素材制作。

怎样在视频会议中识破深伪？

警方建议要求对方做指定的头部动作、以对话测试对方，并以电话核实任何转账要求。不要接听陌生人的视频通话，有怀疑可致电防骗易热线 18222。

来源

HKCERT 深伪金管局钓鱼

用 AI 深入了解

ChatGPT

Claude

Perplexity

Grok