香港商业电邮诈骗追偿

商业电邮诈骗（Business Email Compromise, BEC）是全球造成财务损失最严重的网络欺诈类型，而香港是BEC诈骗资金最常见的流入目的地之一。在典型的攻击中，诈骗者入侵或冒充可信的电邮账户，诱使企业将资金汇入诈骗者控制的账户。由于付款看似正常——来自已知供应商的发票、来自CEO的汇款指示——受害者往往在数天后才意识到自己已经受骗。

香港的法律体系提供了有效的资金追踪和追偿工具——但前提是你必须在数小时内采取行动，而不是数天。

商业电邮诈骗的运作方式

BEC攻击利用的是人际信任与电子通讯的交汇点。常见手法包括：

• 发票欺诈（供应商冒充）： 诈骗者入侵或伪造供应商的电邮账户，发送信息通知你其银行账户信息已变更。你的下一笔付款便汇入了诈骗者的账户。这种欺诈往往在真正的供应商数周后追讨未付款项时才被发现。
• CEO或CFO冒充： 诈骗者冒充公司高级管理层，向财务部门成员发送电邮，要求紧急、保密地执行电汇——通常会引用真实的交易项目以增加可信度。
• 电邮账户入侵： 诈骗者获取可信联系人的实际电邮账户权限，监控邮件往来，并在恰当时机介入——通常是在付款到期前。由于电邮来自真实账户，极难被识破。
• 仿冒域名： 诈骗者注册与真实域名极其相似的域名（用”rn”替代”m”，或增加连字符）。来自 accounts@yourcompany-hk.com 的电邮很容易被误认为来自 accounts@yourcompanyhk.com。

在所有情形中，都是受害者主动发起付款。银行处理的是表面上看似合法的指令，因此银行通常不对损失承担责任。追偿责任落在受害者身上。

为何BEC资金流入香港

香港成为BEC电汇的首选目的地有其结构性原因：

• 交易量巨大： 跨境电汇的庞大交易量意味着又一笔汇入香港账户的付款不会自动触发风险警报。
• 快速开户： 诈骗者利用空壳公司、傀儡账户持有人和盗用的身份来开设收款账户。
• 资金快速转移： 资金通常在数小时内通过多个傀儡账户转移，然后被提取或转往境外。这种”分层”操作旨在阻碍追踪。

时间是决定性因素。每延误一小时，追偿的可能性就会降低。

最初的24至72小时

如果你的企业遭遇了BEC攻击，请立即同步采取以下步骤：

1. 联系你的银行。 要求撤回电汇。如果付款尚未清算，可能仍可拦截。要求银行提供书面确认，证明已向收款银行发送撤回请求。

2. 向香港警方报案。 致电反诈骗协调中心（ADCC）24小时热线 18222，或通过电子报案中心报案。提供诈骗者的银行账户号码、金额、付款日期以及欺诈电邮的副本。要求紧急冻结。警方可要求联合财富情报组（JFIU）根据《有组织及严重罪行条例》（第455章）第25A条向银行发出不同意处理通知书（No Consent Letter），从而实际冻结该账户。有关警方冻结机制的详细信息，请参阅被骗后该怎么办。

3. 委托香港律师。 对于涉及较大金额的案件，应立即委托律师——与报警同步进行，而非等到报警之后。法院命令提供的保护力度远强于警方冻结。

4. 通知你所在地的银行和当局。 如果付款源自香港以外地区，请向当地警方和银行监管机构报案。部分司法管辖区——特别是美国通过FBI的IC3机制——设有紧急拦截国际电汇的程序。

法律救济途径

香港原讼法庭拥有成熟的BEC追偿工具：

资产冻结令（Mareva Injunction）

法院命令禁止账户持有人提取或处置资金。通常可在一至两天内获得，一般以*单方面（ex parte）*方式申请（无需通知被告）。法院要求申请人证明有合理可争辩的案由、可识别的在港资产，以及资产存在被转移的实际风险。违反冻结令构成藐视法庭罪——其约束力远强于警方冻结。

第三方披露令（Norwich Pharmacal Order）

在大多数BEC案件中，指定的账户持有人是傀儡或空壳公司，而非真正的诈骗者。第三方披露令（Norwich Pharmacal Order）可强制银行披露账户持有人的身份、KYC文件和交易记录。这对于识别账户背后的人物以及追踪资金流向至关重要。该命令通常附带缄默令（gagging order），防止银行向账户持有人泄露消息。

银行信托披露令（Bankers Trust Order）

当资金已被转移至其他账户时，银行信托披露令（Bankers Trust Order）可强制资金链中的下一家银行披露二级账户的详情——这在资金经过多个傀儡账户的情况下至关重要。

缺席判决与第三方债务命令

诈骗者很少应诉。如果被告未作出回应，你可以获得缺席判决（default judgment），然后根据《高等法院规则》（第4A章）第49号命令申请第三方债务命令（garnishee order），指示银行将冻结的资金支付给你。

多层资金追踪

BEC案件中的资金很少停留在第一个收款账户。诈骗者通常将资金通过两至五个傀儡账户进行分层转移，然后提取现金或汇往境外。追偿需要逐层追踪：

1. 通过报警和/或资产冻结令（Mareva Injunction）冻结第一个账户
2. 对第一家银行申请第三方披露令（Norwich Pharmacal Order），以查明资金流向
3. 冻结第二层账户，并根据需要重复上述步骤

资金在第一层或第二层被截获时，追偿的可能性最大。每增加一层，成本增加，全额追偿的可能性降低。

时间表与费用

总计（无人抗辩）： 从冻结到收款需时数月，视乎案件的复杂程度。

对于资金停留在单一账户的简单案件，法律费用通常为HK$80,000至HK$200,000，另加法院费用。多层追踪或有争议的案件费用会大幅增加。香港的诉讼不允许”不胜诉不收费”安排，因此在决定推进之前，请与你的律师充分讨论成本效益。

与境外律师的协作

BEC本质上是跨境犯罪。如果你的企业位于香港以外，你的本地律师可以与你的香港律师协调、向本地警方报案，并在其他司法管辖区启动平行诉讼。对于向境外被告送达法律文件，你的律师必须根据《高等法院规则》（第4A章）第11号命令取得法院许可。你无需亲自前往香港——诉讼可完全由你的香港律师代为处理，证据通过宣誓书提供。

预防措施

虽然本文侧重于追偿，但企业应实施以下措施：

• 双重授权——对超过一定金额的电汇实行双人审批
• 电话核实——对任何银行信息变更，使用已知电话号码进行口头确认
• 多因素认证——对所有企业电邮账户启用
• 员工培训——识别BEC危险信号：异常紧迫、要求保密、付款信息变更、域名微小差异
• 付款冷静期——在处理新指令或变更指令之前设置等待期

常见问题

我需要多快采取行动？

必须在数小时内，而非数天。立即联系你的银行和ADCC热线（18222）。资金可能在到达第一个收款账户后数小时内就被转走。

我的公司在香港以外，还能追偿吗？

可以。你可以远程向香港警方报案，委托香港律师，并通过宣誓书提供证据。许多BEC受害者是来自欧洲、北美或亚洲其他地区的公司，此前与香港毫无关联。

如果资金已经被转移了怎么办？

追偿虽然更困难，但并非不可能。第三方披露令（Norwich Pharmacal Order）可追踪资金流向，也可对后续账户申请禁令。如果及时采取行动，通常仍可实现部分追偿。

银行是否承担责任？

通常不承担。因为受害者是自愿发起付款的，银行处理的是表面上合法的指令。银行责任索赔在有限情况下存在，但很难成立。

BEC在香港是否构成刑事犯罪？

是的。BEC涉及欺诈罪（违反《盗窃罪条例》（第210章）第16A条）、以欺骗手段取得财产罪（第17条），以及可能触犯第455章下的洗钱罪。傀儡账户持有人也可能面临刑事责任。然而，刑事检控与民事追偿是分开的——你必须通过民事诉讼来追回资金。