冒充別人行騙並不新鮮，新的是冒充的成本大幅下降：歹徒可以用網路上的公開影片和聲音，做出足以騙過員工的「主管」[1]，生成式 AI 也會修掉過去讓人起疑的錯字與破綻[2]。對企業來說，風險來自兩個方向：一是歹徒冒充你的老闆、同事或往來對象，騙公司的人匯款或交出權限；二是歹徒冒用你的公司名義，用假官網、假粉專、假客服去騙你的客戶與求職者，最後由公司承受客訴與商譽損失。
這篇寫給財務與採購主管、IT 服務台、客服與品牌行銷人員，以及需要決定流程與預算的管理階層。電子郵件釣魚、商業郵件詐騙（BEC）與付款帳戶變更的核實流程，已在網路釣魚與商業郵件詐騙說明，這裡不重複；本文聚焦在語音與視訊的深偽冒充、品牌冒用的監看與下架、台灣《詐欺犯罪危害防制條例》的相關規定，以及款項已經匯出後該怎麼做。
深偽冒充主管：「看到老闆」不再等於確認
香港案例：一場預錄的視訊會議
香港保安局局長 2024 年 6 月 26 日書面答覆立法會時說明：警方在 2024 年 1 月底接獲一宗案件，受害人先收到冒充英國總公司財務長的釣魚郵件，被邀請加入一場討論「機密交易」的多人視訊會議，最後依指示授權把款項轉到五個本地銀行帳戶，損失約港幣 2 億元[1]。警方調查認為，這場會議是用網路上下載的公開影片與被冒充者的聲音預先製作的，受害人與詐騙者之間其實沒有互動；詐騙者下完指示就找藉口結束會議，之後改用即時通訊軟體繼續下達匯款指示[1]。
同一份答覆還提到另一案：2024 年 5 月 20 日，一家跨國貿易公司的員工收到冒充英國總公司財務長的 WhatsApp 訊息，雙方視訊將近 30 分鐘，「假老闆」要求轉帳近港幣 400 萬元；警方相信，會議中播放的是以網路公開影片經深偽技術改造的內容[1]。
為什麼「看過、聽過」不能當作驗證
美國聯邦調查局（FBI）網路犯罪申訴中心（IC3）指出，歹徒會用 AI 產生的影片假扮公司高階主管、執法人員或其他權威人士進行即時視訊，也會用 AI 產生的聲音冒充本人，取得銀行帳戶的存取權[2]。IC3 雖然列出可以留意的破綻，例如手腳或臉部變形、陰影不自然、畫面延遲、聲音對不上[2]，但同時提醒，生成式 AI 能修正過去可以當作詐騙警訊的人為錯誤[2]。靠眼睛和耳朵分辨真假，只會越來越難。
不少企業主管都有法說會、受訪或演講影片公開在網路上，香港案用的正是這類公開素材[1]。比較務實的假設是：任何主管的臉和聲音都可能被複製，所以「視訊裡看到老闆」「電話裡確實是他的聲音」都不能當作授權依據。驗證必須建立在歹徒控制不了的東西上：由你主動撥出的電話、事先約定的流程，以及第二個人的確認。
驗證靠流程，不靠眼睛
- 先定義高風險請求：匯款、新增或變更收款帳戶、傳送機密資料、重設密碼或 MFA、開通系統權限、購買點數或禮物卡。只要是這類請求，不論透過電子郵件、通訊軟體、電話或視訊提出，都走同一套驗證。
- 掛斷後自己回撥：IC3 建議先掛斷電話，自行查詢對方機構的聯絡方式後直接撥打[2]。企業可以規定一律使用員工通訊錄或合約上的號碼回撥，不用對方在訊息或會議中提供的號碼與連結。
- 第二人覆核：超過一定金額或首次付款給新對象，須由另一位主管透過另一個管道確認；付款變更的完整核實步驟見網路釣魚與商業郵件詐騙。
- 約定驗證暗語：IC3 建議家人之間約定只有彼此知道的暗語或通關句[2]。企業可以讓高階主管與財務、秘書約定緊急請求時使用的驗證問題，離線保存、定期更換，不寫在郵件或通訊軟體裡。暗語是補強，不能取代回撥。
- 把互動當成測試：香港警方建議請對方在鏡頭前做指定動作，例如抬頭、低頭、左右轉頭，觀察影像是否異常，或用對話內容測試對方真偽[1]。對方迴避互動、急著結束會議、改用通訊軟體下指示，都是香港案出現過的模式[1]。
- IT 服務台同樣是目標：既然 AI 產生的聲音可以冒充本人取得銀行帳戶存取權[2]，冒充員工打給服務台要求重設密碼或 MFA 也同樣可行；重設前的身分驗證做法見多因素驗證導入指南的帳號復原一節。
- 由最高主管背書：請執行長公開宣布「我不會要求任何人跳過流程，照流程確認的人不會被責怪」，第一線員工面對「老闆很急」時才有底氣按流程走。
品牌冒用：歹徒用你的名義騙你的客戶
冒名詐騙近年一直是美國聯邦貿易委員會（FTC）收到最多的詐騙申訴類型：2025 年 FTC 收到超過 100 萬件冒名詐騙通報，申報損失將近 35 億美元；而在所有申報被詐騙且有損失的人當中，將近三成表示最初是在社群平台上被接觸，相關損失達 21 億美元[3]。FTC 並在 2026 年 9 月公開徵求意見，研議是否修訂冒名規則或採取其他行動，處理平台的廣告最佳化工具助長冒名詐騙的問題[3]。
台灣也看得到同樣的現象。165 全民防騙網定期公布「民眾通報高風險業者」，並在公告中提醒民眾慎防詐團偽冒業者電子郵件或假客服來電，謊稱資料外洩、訂單設定錯誤、誤操作為大額訂單或會員服務升級，再轉介假銀行專員，要求操作 ATM、網路銀行或電子支付進行「匯款認證」[4]。數位發展部自 2024 年 9 月 30 日建置「網路詐騙通報查詢網」，截至 2026 年 8 月 29 日共接獲 1,314,577 則疑似詐騙訊息，經審查確認 673,351 則為詐騙，已依《詐欺犯罪危害防制條例》通報 Meta、Google、LINE、TikTok 等平台下架[5]。
常見形式
- 假官網與相似網域：複製官網外觀，以近似的網域名稱接受訂單、收集信用卡資料或帳號密碼。
- 假粉專與假廣告：冒用品牌或名人形象開設粉專、投放廣告。數位發展部觀察到，詐騙集團常以「限時優惠」「立即選購」等話術在社群平台發文，吸引民眾點擊不明連結下單，再引導填寫個資與信用卡資料；該部的週報也會列出當週被偽冒的熱點名人[5]。
- 假客服：冒用業者名義寄信或來電，謊稱訂單或會員設定有誤，再轉給假銀行專員要求操作轉帳[4]。
- 假徵才：冒用公司名義刊登職缺，向求職者索取證件、銀行帳戶，或要求先繳費用。
- 假 App：仿冒官方 App，或以連結誘導下載安裝檔，竊取登入資料。
企業可以做的事
- 公告官方管道：在官網設立「官方管道」頁面，列出公司使用的網域、社群帳號、客服電話、LINE 官方帳號與 App 下載連結，並寫明「我們不會要求你做的事」，例如不會要求客戶操作 ATM 或網路銀行解除設定、徵才不收任何費用。把這段文字放進訂單通知、電子發票與 App 內，讓客戶接到可疑電話時有地方可以對照。
- 建立監看：定期搜尋品牌與主管姓名在社群平台、廣告與 App 商店上的結果，留意新註冊的相似網域；客服系統增加「冒名通報」分類，把客戶回報當作資安訊號，轉給資安或法務追蹤；也定期查看 165 公布的高風險業者名單是否出現公司名稱[4]。
- 保存證據後檢舉下架：先截圖並記錄網址、帳號 ID 與發現時間，再使用各平台的冒名或商標侵權檢舉功能。詐騙廣告與貼文可通報數位發展部的網路詐騙通報查詢網，經審查確認後由政府通報平台下架[5]；也可以透過 165 全民防騙網線上檢舉[6]。
- 處理網域：.tw 與 .台灣 網域涉及網路釣魚、惡意軟體、網址嫁接等濫用，可向 TWNIC 的國碼頂級域名濫用通報窗口檢舉，通報表單會要求提供通報人身分或單位證明文件，以及疑似濫用的網址與截圖[7]。若是搶註或冒用公司商標、名稱的網域，可依 TWNIC「網域名稱爭議處理辦法」向認可的爭議處理機構申訴，申訴人須主張三項要件：網域與自身商標、名稱等標識相同或近似而產生混淆，註冊人對該網域沒有權利或正當利益，以及註冊人惡意註冊或使用；可請求的救濟以取消或移轉該網域為限[8]。其他頂級網域則向該網域的註冊商與主機業者的濫用通報窗口檢舉；釣魚網站的其他通報管道見網路釣魚與商業郵件詐騙。
- 回頭追查資料從哪裡流出：如果假客服能正確說出客戶姓名、訂單內容與付款方式，代表資料可能已從公司或合作廠商（電商平台、物流、CRM 或客服外包）流出，應啟動事件調查，可參考疑似遭入侵的前 24 小時與供應鏈攻擊。
台灣的法規與通報管道
《詐欺犯罪危害防制條例》於 2024 年 7 月 31 日制定，2026 年 1 月修正部分條文。依第 58 條，除少數條文另由行政院定施行日期外，自公布日施行；其中第 39 條第 2 至 5 項有關流量管理、停止解析與限制接取的部分，以及第 40 條第 1 項第 6 款，全國法規資料庫目前仍標示施行日期未定[9]。條例的義務主要落在金融機構、電信事業與網路平台，和一般企業最相關的是以下幾點：
- 適用哪些廣告平台：條例所稱網路廣告平臺業者，是提供刊登或推播廣告服務並收取對價、且為民眾接觸廣告最終端的平台；在台灣提供服務並達一定規模者適用，名單由數位經濟相關產業主管機關公告[9]。
- 廣告主會被驗證身分：平台必須以數位簽章、快速身分識別機制或其他安全性相當的方式，驗證委託刊播者與出資者的身分，並訂定詐欺防制計畫、每年發布詐欺防制透明度報告[9]。
- 廣告必須揭露的資訊：包括標示為廣告、委託刊播者與出資者資訊、依法須許可者的許可字號，以及廣告是否使用深度偽造技術或人工智慧生成的個人影像[9]。條例對深度偽造的定義是「以電腦合成或其他科技方法製作本人不實之言行，並足使他人誤信為真之技術表現形式」[9]。這些資訊由平台在廣告中揭露，但需要廣告主提供，公司若在廣告中使用 AI 生成的代言人或主管影像，應預先準備。
- 下架與連帶責任：平台知悉廣告為詐欺或明顯涉及詐欺時，應主動或在司法警察機關、主管機關通知的期限內移除、限制瀏覽或停止播送，並把委託刊播者、出資者以及廣告內的通訊軟體帳號、電話號碼等資訊提供給司法警察機關；違反者對誤信廣告而受損害的人，須與委託刊播者、出資者負連帶賠償責任[9]。未在通知期限內處置，可處新臺幣 50 萬元以上 1,000 萬元以下罰鍰，情節重大者可處 250 萬元以上 1 億元以下罰鍰[9]。
- 詐騙網站的緊急封鎖：為及時防止民眾接觸詐欺網站，主管機關或司法警察機關認為有即時處置必要時，可以命網際網路接取服務提供者停止解析或限制接取[9]。
- 電商業者的注意義務：電商業者（主要從事網路零售，或經營網路平台供他人零售商品的業者）應盡善良管理人的注意義務，防止服務被濫用於詐欺；經司法警察機關或主管機關通知有疑似詐欺情事時，應配合處理，並在合理期間暫停相關用戶帳號[9]。
- 檢舉與報案窗口：條例要求中央主管機關設置 24 小時檢舉通報窗口、線上檢舉平台或報案專線，提供諮詢、通報與轉介協助[9]。
要注意的是，條文中觸發平台下架義務的是平台「知悉」，或司法警察機關、主管機關的通知[9]，並沒有直接賦予被冒名企業要求下架的權利。實務上，企業除了自行向平台檢舉，也應同步透過 165 或數位發展部的通報管道，讓主管機關確認後正式通知平台。
錢已經匯出去了：先止付、再報案、保留證據
時間是關鍵。依金管會的規定，能把收款帳戶列為「警示帳戶」的，是法院、檢察署或司法警察機關對銀行的通報，重大緊急案件可以先用電話、傳真等方式通知；帳戶一經列為警示，銀行應暫停該帳戶全部交易功能，之後匯入的款項以退匯方式退回[10]。也就是說，光打給自己的銀行還不夠，必須盡快報案，讓警方通報。
- 立刻聯絡往來銀行，同時撥打 165 或 110：說明匯款時間、金額、收款銀行與帳號，請銀行協助攔阻。
- 到銀行臨櫃啟動聯防：受騙民眾在營業時間親自到任一家銀行告知受騙時，銀行應確認身分、匯款資訊與受騙經過，請民眾填寫切結書並撥打 165，再向收款銀行通報；收款銀行應就被通報的金額圈存，款項已經轉出的，接續通報下一個收款機構[11]。警察機關應在 2 小時內派員到銀行受理報案，必要時將帳戶通報為警示；圈存後 48 小時內，警方須通知銀行將帳戶列為警示或解除圈存，銀行逾時未接到警示通報就會解除圈存[11]。
- 完成正式報案：165 全民防騙網的線上報案只算檢舉與預先製作筆錄，仍須到派出所製作筆錄才完成正式報案；165 收到線上報案後會以電話聯絡並協助轉介[6]。報案後記得取得警察機關開具的受（處）理案件證明單。
- 申請發還剩餘款項：警示帳戶內若還有被害人匯入但尚未被提領的款項，司法警察機關以書面通知銀行後，被害人可檢具身分證明文件、受（處）理案件證明單與切結書，由銀行依匯入時間順序認定尚未被提領的部分後發還[11]。
- 款項匯往境外時：上述警示與圈存是國內金融機構之間的聯防機制；款項若已匯往境外，請直接告訴往來銀行這是境外匯款，請銀行盡快透過匯款管道請求退回，並同步報案。
要保留的證據
IC3 建議報案時盡量提供：對方的姓名、電話、地址與電子郵件；交易日期、付款方式、金額、相關帳號與收款銀行名稱及地址；以及雙方如何開始接觸、對方要求付款的理由與方式、你提供了哪些資訊[2]。實務上還應保留：
- 原始郵件（含完整標頭）、會議邀請與連結、通訊軟體對話紀錄與帳號 ID、來電紀錄。
- 視訊或通話如有錄影、錄音，連同取得時間一起保存；沒有的話，事後立即寫下經過與時間軸。
- 假網站或假粉專的網址與截圖，以及匯款單據、網路銀行交易明細。
- 不要刪除對話紀錄或帳號，也先不要回應對方。
公司內部的後續處理
- 如果詐騙是從公司信箱或通訊軟體帳號被入侵開始，要同時處理帳號入侵：重設密碼、撤銷登入工作階段、檢查轉寄規則，處置順序見疑似遭入侵的前 24 小時；需要外部協助時，可參考事件應變服務。
- 上市櫃公司若損失重大，可能有重大訊息揭露義務，見上市櫃公司資安事件重大訊息。
- 讓被冒充的主管、往來廠商與客戶知道事件經過，避免歹徒用同一套劇本再騙下一個人。
- 詐欺犯罪被害人提起民事訴訟請求損害賠償時，暫免繳納訴訟費用[9]，後續求償可與法務或律師討論。
行動清單
- 把「高風險請求一律回撥既有號碼確認」寫進財務、採購與 IT 服務台的作業程序，明文適用於視訊、語音與通訊軟體，並由執行長公開背書。
- 大額與首次付款設定雙人覆核；高階主管與財務、秘書約定離線保存、定期更換的驗證問題。
- 每年至少演練一次深偽情境，例如假老闆視訊要求緊急匯款、假員工來電要求重設 MFA，演練後檢討流程是否擋得住，可搭配資安意識訓練。
- 在官網建立「官方管道」頁面與「我們不會要求你做的事」清單，並放進訂單通知、電子發票與 App。
- 定期搜尋品牌與主管姓名、相似網域與仿冒 App，追蹤 165 高風險業者公告；客服系統加上「冒名通報」分類。
- 準備下架工具包：證據截圖範本、各平台檢舉入口、數位發展部網路詐騙通報查詢網、165 線上檢舉、TWNIC 濫用通報與網域爭議申訴方式。
- 準備一頁受騙應變卡：往來銀行的緊急聯絡方式、165 與 110、就近派出所、要保留的證據清單，放在財務與客服主管手邊。
- 追蹤本站詐騙類通報與資安事件，把新手法放進教育訓練。