.png)
對於跨國企業而言，跨境支付絕非單靠點擊一下滑鼠就能完成。財務團隊通常需要接收付款指示、核實收款人資料、審批交易、進行貨幣兌換，並透過金融機構發出款項。每多一個人手、系統、司法管轄區或溝通渠道，都會增加一個可能出現錯誤或詐騙指示的環節。
因此，支付安全不僅是資訊科技問題，更是營運層面的挑戰。
跨境交易尤其敏感，因為付款指示可能涉及多方、多種貨幣、不同司法管轄區及金融機構。詐騙者未必需要直接入侵支付系統，他們反而可能嘗試操縱合法的業務流程，誘使獲授權的員工將資金匯往錯誤的收款帳戶。
對財務團隊而言，目標並非避開國際支付，而是要為這些支付建立更嚴謹的監控機制。
本指南將說明常見的跨境支付詐騙手法、企業應留意的警號、能降低風險的內部監控措施，以及企業在評估受監管金融服務供應商時應考慮的因素。
跨境支付結合了多項特性，令詐騙活動更難被察覺。
國際交易可能涉及不同的貨幣、收款銀行、司法管轄區、支付渠道及內部審批流程。這些層層環節增加了營運複雜性，也為操縱付款指示提供了更多機會。
風險不在於流程步驟的多少，而在於每個步驟是否具備適當的核實與審批監控。
當合法的業務流程被操縱時，支付詐騙便會發生。底層的商業關係可能是真實的，交易亦經過內部授權，付款本身看起來也與正常業務活動無異，但關鍵的付款資訊卻可能已被篡改。
這就是為什麼支付安全必須涵蓋整個付款工作流程，而不僅僅是關注最終的交易環節。
美國聯邦調查局（FBI）將「商業電郵詐騙」（BEC）定義為針對涉及合法資金轉帳請求的企業及個人的詐騙形式。這可能涉及商業電郵帳戶被盜、社交工程詐騙或電腦入侵，最終導致未經授權的資金轉帳。
因此，關鍵風險並不總是顯而易見的可疑付款。
它可能是一個基於錯誤資訊運作的合法付款流程。
了解主要的詐騙模式，有助於企業設計合適的監控措施。
商業電郵詐騙
商業電郵詐騙涉及操縱合法的商業通訊，以影響資金轉帳或獲取敏感資訊。
商業電郵詐騙可能涉及冒充他人、電郵帳戶被盜、社交工程或其他形式的帳戶入侵。其目的通常是讓詐騙指示看起來足夠真實，從而混入現有的業務流程中。
FBI 建議使用第二溝通渠道或額外的驗證方式，來核實任何涉及更改帳戶資訊的請求。
發票詐騙
發票詐騙是指將虛假或經篡改的付款文件混入合法的應付賬款流程中。
風險不僅在於發票看起來是否真實。企業還需考慮付款目的地是否與既定的供應商資料一致，以及交易是否已通過必要的內部審批監控。
受益人或付款指示篡改
更改受益人資料需要特別留意，因為這直接影響資金的匯款去向。
付款指示的變更可能是合法的，但在使用新資料前，應先進行獨立核實。
企業應建立明確的程序來驗證受益人資料的變更，而不應僅依賴接收變更通知的通訊渠道。
賬戶接管
賬戶接管是指未經授權的人士獲取了付款流程中使用的賬戶、系統或通訊渠道的存取權限。
一旦獲取存取權限，欺詐活動可能更難被發現，因為攻擊者可以在看似合法的流程中進行操作。
因此，企業應將身份驗證監控與存取管理、職責分離、交易監控及適當的用戶權限結合起來。
社交工程與冒充
付款詐騙並不總是依賴技術入侵。
社交工程試圖影響員工，使其採取他們通常認為合法的行動。這可能涉及利用權威、緊迫感、保密性或其他行為因素進行操縱。
因此，付款監控的設計應確保在員工承受壓力時，仍能獨立於個人判斷發揮作用。
沒有單一的監控措施可以完全消除付款詐騙。有效的保護需要多項監控措施協同運作。
一個實用的框架如下：驗證 → 審批 → 身份認證 → 監控 → 應對
1. 獨立驗證付款指示
若要更改收款人資料，應透過獨立的通訊渠道進行核實。核實過程應採用企業現有且可信的聯絡資料，而非變更請求中提供的資訊。原則很簡單：切勿使用發送付款變更請求的同一通訊渠道來核實該請求。美國聯邦調查局（FBI）及互聯網犯罪投訴中心（IC3）均建議，對帳戶資料及付款指示的變更進行獨立核實。
2. 將付款準備與審批分開
負責準備付款資料的人員，不應是唯一獲授權發放款項的人員。企業可根據交易的風險特徵（包括收款人關係、司法管轄區、貨幣、交易概況及其他相關因素）設定審批要求。當交易超出既定參數時，可要求進行額外審查。
3. 加強身份驗證
對於敏感的財務操作，單靠密碼保護並不足夠。企業應評估付款系統是否支援適當的身份驗證、用戶權限及存取管理控制。多重身份驗證可為涉及付款操作的帳戶及系統提供額外的保護層。內部存取權限亦應遵循「最小權限原則」。員工應僅獲授權使用其職責範圍內的付款功能，而非對整個付款環境擁有不受限制的存取權。
4. 監控交易異常情況
交易監控有助於識別偏離既定業務模式的活動。企業應考慮監控涉及以下方面的變動：
- 受款人資料
- 付款目的地
- 交易金額
- 貨幣
- 交易頻率
- 時間安排
- 審批模式
- 用戶存取權限
- 付款指示
異常交易並不一定代表涉及欺詐。企業應根據自身的風險框架，對此類交易進行適當程度的審查。
5. 維持清晰的事故應變流程
一旦企業發現欺詐轉賬，必須立即採取應對措施。美國聯邦調查局（FBI）及互聯網犯罪投訴中心（IC3）建議，企業應儘快聯絡相關金融機構，要求對欺詐轉賬採取行動。企業亦應保留相關交易記錄，並遵循適用的報告及呈報程序。
企業應在事故發生前建立好事故應變流程。該流程應明確界定：
- 誰有權呈報可疑的欺詐付款
- 誰負責聯絡金融機構
- 誰負責協調內部呈報工作
- 誰負責保存相關記錄
- 負責在適用情況下向監管機構或執法部門報告的人員
- 負責調查安全漏洞來源的人員
支付欺詐應對措施應是一套既定的業務流程，而非臨場發揮的反應。
內部監控只是支付安全的一部分。支援交易的金融機構或支付服務供應商同樣重要。
企業在評估跨境金融服務供應商時，不應只着眼於支付速度或交易費用。
監管牌照
受監管的金融機構或支付服務供應商必須在既定的監管框架內運作。
企業應核實：
- 提供服務的法律實體
- 監管該實體的監管機構
- 其持有的牌照或註冊資格
- 牌照涵蓋的業務範圍
- 牌照適用的司法管轄區
在多個市場營運的供應商可能會針對不同司法管轄區使用不同的法律實體。因此，企業應評估實際的簽約實體以及適用於所提供服務的監管框架。
客戶盡職審查
客戶盡職審查是更廣泛的金融犯罪合規框架中的重要一環。企業應了解供應商如何處理客戶識別、驗證、實益擁有權、業務活動及持續風險評估。《財務行動特別組織（FATF）建議》為應對洗錢和恐怖分子資金籌集風險建立了國際框架，其中包括客戶盡職審查要求。因此，應在供應商更廣泛的監管和合規義務背景下，理解其結構化的開戶流程。
反洗錢與交易監控
反洗錢監控與防範詐騙並不相同，但兩者皆屬於更廣泛的金融犯罪防禦體系。企業應了解服務供應商如何處理以下範疇：
- 客戶篩查
- 交易監控
- 可疑活動識別
- 制裁合規
- 風險導向的盡職調查
- 個案升級與調查
金融行動特別組織（FATF）亦強調了網絡詐騙與洗錢風險之間的關聯。
支付透明度
當資金進行跨境轉移時，清晰的支付資訊至關重要。FATF 在支付透明度方面的工作，旨在加強跨境支付隨附的資訊，並引入旨在防範詐騙與錯誤的措施。對企業而言，更高的支付透明度有助於在出現支付問題時，進行驗證、對賬、交易監控及調查。
跨司法管轄區覆蓋範圍
跨國企業可能在多個市場營運，並受不同監管框架所約束。因此，相關的問題不應僅限於：該供應商是否受監管？
企業亦應釐清：哪一個法律實體提供服務？其受哪套監管框架約束？以及該服務於哪個司法管轄區內提供？
了解這些關係有助於企業評估服務供應商的監管架構是否符合其營運需求。
受監管供應商與非受監管服務：企業應考慮什麼？
監管並不能保證欺詐行為絕不會發生。它只是更廣泛風險管理框架中的一個組成部分。
企業應綜合考慮多項因素，包括：
重點不在於監管能否杜絕欺詐。
而在於監管狀態為企業評估金融服務供應商提供了一個參考框架。
企業仍應進行自身的盡職調查，了解合約條款，並維持適當的內部付款監控。
KVB Global 為在國際市場營運的企業提供跨境金融基礎設施。
其服務包括全球帳戶， 全球收款， 全球付款， 外匯解決方案，以及其他旨在支援國際業務營運的金融基礎設施。
KVB Global 透過受服務所在地適用監管框架約束的法律實體進行營運。對於評估跨境金融合作夥伴的企業而言，了解相關法律實體及監管框架是評估服務供應商的重要一環。
KVB Global 的方針結合了跨境金融基礎設施與其營運市場適用的合規及監管要求。
然而，付款安全仍是共同責任。受監管的供應商無法取代企業自身的審批程序、員工培訓、收款人驗證、存取控制及事故應變流程。
對於全球性企業而言，更穩健的做法是將完善的內部控制與可供獨立評估其法律實體、監管地位及合規框架的金融合作夥伴相結合。
1. 什麼是跨境付款詐騙？
跨境付款詐騙是指犯罪分子操縱或入侵國際商業付款，導致資金在未經授權的情況下被轉移，或轉移至非預期的收款人。常見形式包括商業電郵詐騙、發票詐騙、收款人資料篡改、帳戶接管及社交工程詐騙。
2. 公司應如何核實付款資訊的變更？
公司應透過與接收變更請求渠道不同的可信通訊渠道，對請求進行獨立核實。核實工作應依賴先前建立的聯絡資訊，而非付款變更請求中提供的資訊。
3. 使用受監管的付款服務供應商能否防止付款詐騙？
不能。監管並不能消除詐騙風險。受監管的供應商在適用的監管及監督要求下營運，但企業仍需建立自身的控制措施，涵蓋員工存取權限、付款審批、收款人驗證及交易監控。
4. 企業在選擇跨境支付服務供應商前應檢查什麼？
企業應核實供應商的法律實體、監管狀況、適用司法管轄區、客戶盡職審查程序、反洗錢（AML）框架、交易監控、支付管控，以及處理可疑或欺詐交易的程序。
資料來源：
1. https://www.ic3.gov/CrimeInfo/BEC
2. https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/business-email-compromise
3. https://www.fatf-gafi.org/en/publications/Methodsandtrends/cyber-enabled-fraud-digitalisation-ml-tf-pf-risks.html
免責聲明：
本文僅供一般資訊參考，不構成亦不應被視為財務、投資、法律、稅務、會計或其他專業建議。本文內容不構成購買、出售或訂立任何金融產品、支付服務或交易的要約、招攬、推薦或邀請。
有關匯率、費用、支付路徑、到賬時間、結算安排及產品功能的資訊僅供參考。實際匯率、成本、到賬時間及支付結果可能會因交易金額、貨幣、支付通道、市場狀況、截數時間、收款銀行、中介銀行、適用法律法規、合規審查、客戶資格及相關服務條款而有所不同。
外匯遠期合約屬具約束力的協議，未必適合所有企業或交易。視乎適用的安排，合約可能涉及信貸評估、抵押品或保證金要求、結算義務、提前終止費用及其他合約責任。即使相關商業交易有所變更或未能進行，企業仍可能須履行遠期合約的結算義務。
在進行任何交易前，您應考慮自身的業務目標、財務狀況、營運需求及風險承受能力，並在適當時尋求獨立專業意見。過往表現、歷史數據及說明示例並非未來業績的可靠指標。
