觀點投書：當虛假資訊使銀行陷於錯誤－資安如何成為反洗錢的新防線

2016年，孟加拉中央銀行發生震驚全球金融界的駭客事件。駭客侵入央行內部網路後，經由SWIFT系統發送35筆跨境匯款指令，企圖轉出近10億美元，其中5筆成功執行，約1.01億美元流入第三國賭場體系完成洗錢。事後調查顯示，匯款格式、驗證程序與監控機制皆符合既有規範，遭到控制的卻是發送指令的作業環境。

2020年，阿聯酋某銀行的客戶經理接到熟悉客戶來電。電話另一端傳來熟悉的聲音，對方表示公司正進行緊急併購，要求立即匯出3,500萬美元。不久後，客戶與合作律師的電子郵件同步送達，附有完整文件及相關證明。客戶經理完成通話、郵件及文件核對後，依程序完成匯款。事後調查發現，犯罪集團先以社交工程取得電子郵件帳號，再運用人工智慧生成客戶聲音，搭配偽造文件，重建足以取信銀行的決策情境。

2024年，香港出現首宗深偽多人視訊詐騙案件。犯罪集團運用Deepfake製作跨國企業英國總公司「首席財務官」及多名「同事」的影像，在視訊會議中要求跨國企業香港分行財務職員分15次匯款，最終造成約2億港元損失。

隔年，新加坡警方公布另起相似案件，跨國企業一名財務主管在多人視訊會議中，誤將深偽技術生成的多名「公司高層」當成真人，依照指示匯出約50萬美元。款項隨後轉入香港帳戶，所幸銀行察覺異常並立即通報，新加坡與香港警方合作後，成功追回全部款項。

不到十年，犯罪手法已從入侵網路環境、竄改匯款指令，演變為重建聲音、影像與文件。資金依舊沿著既有流程移動，真正發生變化的，已是金融機構據以作成判斷的依據。

過去反洗錢制度主要追蹤資金流向；當聲音、影像與文件都能重新生成，需要辨識的，或許已不只是那筆錢。

長期以來，資訊安全與反洗錢在金融機構內各自發展。資訊部門著重網路、系統與資料保護；法令遵循、反洗錢及風險管理部門則依據客戶身分、往來紀錄及風險模型，執行客戶審查、交易監測與可疑交易申報。不同職能對應不同法規，也形成彼此分立的管理架構。

隨著金融服務全面數位化，資訊安全與反洗錢之間的界線愈來愈難清楚劃分。反洗錢作業高度依賴電子資料、自動化分析與模型運算，資訊安全維護的，也從資訊設備延伸到支撐決策的資料品質。

近年的資安事件也呈現不同樣貌。成功入侵金融機構後，駭客未必急於移轉資金，而是先取得帳號權限、調整驗證設定、修改客戶資料或交易紀錄，甚至長時間潛伏於內部環境。從流程觀察，各項作業依舊正常運作，資料卻已在不知不覺間發生變化。

客戶身分、受益所有人、往來紀錄、風險評等及模型分析，都是金融機構辨識異常的重要依據，也是客戶審查、異常監測、風險分析與決策判斷共同依賴的資料基礎。只要其中任何環節遭到竄改，後續分析便可能逐漸偏離事實。這類資料失真未必立即造成財務損失，卻可能在日常作業中持續累積誤差，使所有程序即使依規定完成，也無法保證結果足以反映真實風險。

生成式人工智慧普及後，金融犯罪的門檻再次降低。深偽影像、語音合成、偽造文件及虛假身分，不再需要高度技術能力，透過公開工具便能快速生成。犯罪者得以反覆測試驗證機制，持續調整內容與手法，提高通過審查的機率。受到挑戰的，不是反洗錢程序本身，而是作成每一次判斷所依據的內容。

面對這類變化，國際監理思維也隨之調整。

金融穩定委員會（FSB）、巴塞爾銀行監理委員會（BCBS）及金融行動工作組織（FATF），近年陸續將網路韌性、第三方管理、營運持續能力及資訊與通訊科技風險納入監理重點。規範雖然各有目的，關注焦點卻逐漸匯聚：金融機構面對的不再只是資金風險，也包括數位環境所帶來的影響。

歐盟於2022年通過的《數位營運韌性法》（Digital Operational Resilience Act, DORA）並未把資訊安全視為資訊部門的技術工作，而是要求董事會承擔資訊與通訊科技風險治理責任，涵蓋事件通報、韌性測試、第三方服務管理及營運韌性等事項，使資訊安全從技術管理提升為董事會的責任，成為企業營運不可分割的管理課題。

臺灣的監理方向亦朝相同路徑發展。金管會自2020年推動「金融資安行動方案」，並於2022年發布2.0方案延伸至2025年，2025年底再公布「金融資安韌性發展藍圖」，規劃自2026年起推動為期四年的29項措施，涵蓋目標治理、全域防護、生態聯防及堅實韌性，同時納入人工智慧安全、後量子密碼、模型管理、委外管理及第三方風險等議題。

當人工智慧大量導入金融服務，法令遵循、風險管理與資訊安全之間的分界，已不像過去那樣清楚。模型如何建立、資料如何維護、外部服務如何管理，都不再只是個別部門的工作。當資訊品質直接影響風險判斷，公司治理真正需要整合的，也不只是資訊系統，而是資訊、風險與法令遵循三種治理能力。

因此，金融機構真正需要強化的，不是增加更多控制措施，而是把分散的線索串連起來。異常登入、權限異動、客戶資料修改、裝置更換及高風險交易，不宜各自停留在不同系統，而應透過共同標記、統一分類及跨部門通報，還原完整脈絡。涉及客戶身分或交易紀錄的資安事件，應同步納入反洗錢與詐欺防制分析；可疑交易若伴隨帳號異常或權限變更，也應回頭檢視是否存在資安跡象。重點並非增加程序，而是讓各部門根據相同事實進行分析與判斷。

隨著雲端服務、身分驗證平台及外部法遵工具廣泛導入，第三方供應商已深度參與金融服務。委外可以分擔作業，責任卻無法移轉。供應商參與身分驗證、模型分析或交易監測時，其資安水準將直接影響異常辨識的品質。因此契約管理、事件通報、稽核權限及資料返還等安排，都應納入整體規畫，而非侷限於資訊委外管理。金融犯罪鎖定的目標也隨之改變。過去著眼於資金流向，如今更傾向操控支撐決策的內容與流程。真正形成競爭優勢的，未必是哪一家金融機構擁有更先進的人工智慧模型，而是能否及早辨識異常訊號、串起零散線索，並持續維持判斷依據的完整性。

反洗錢制度防堵的是異常金流，資訊安全守護的則是辨識異常的能力。唯有判斷所依據的資訊值得信賴，風險管理與法令遵循才能建立在穩固的基礎之上。

＊作者為大專院校兼任教師