香港商業電郵詐騙追償

商業電郵詐騙（Business Email Compromise，簡稱BEC）是全球造成經濟損失最嚴重的網絡詐騙類型，而香港是BEC詐騙款項最常見的目的地之一。在典型的攻擊中，騙徒入侵或冒充受信任的電郵帳戶，誘使企業將資金匯至騙徒控制的帳戶。由於該筆付款看似正常——來自已知供應商的發票或行政總裁發出的電匯指示——受害者往往在數天後才發覺受騙。

香港的法律制度為追蹤和追回BEC詐騙資金提供了有效的工具——但前提是您必須在數小時內採取行動，而非數天。

商業電郵詐騙的運作方式

BEC攻擊針對的是人際信任與電子通訊的交匯點。常見手法包括：

• 發票詐騙（冒充供應商）： 騙徒入侵或偽冒供應商的電郵帳戶，發送訊息通知您其銀行資料已更改。您的下一筆付款因此匯入騙徒帳戶。這類詐騙往往在真正的供應商於數週後追討未付發票時才被發現。
• 冒充行政總裁或財務總監： 騙徒假冒高級管理層，向財務團隊成員發送電郵，要求進行緊急且機密的電匯——通常會引述真實交易以增加可信度。
• 入侵電郵帳戶： 騙徒取得受信任聯絡人的實際電郵帳戶存取權限，監控郵件往來，並在適當時機介入——通常在付款到期之前。由於電郵確實來自真實帳戶，極難被偵測。
• 偽冒域名： 騙徒註冊與真實域名極為相似的域名（例如以「rn」替代「m」，或加入連字號）。來自 accounts@yourcompany-hk.com 的電郵很容易被誤認為 accounts@yourcompanyhk.com。

在所有情形下，受害者是自願發起付款的。銀行處理的是表面上合法的指示，因此銀行一般無須為該損失負責。追償的責任落在受害者身上。

BEC詐騙款項為何流向香港

香港成為BEC電匯轉帳的主要目的地，有其結構性原因：

• 交易量龐大： 跨境電匯的龐大交易量意味着，多一筆匯往香港帳戶的付款不會自動觸發警報。
• 開戶便捷： 騙徒利用空殼公司、傀儡帳戶持有人及被盜身份來開設收款帳戶。
• 資金快速轉移： 資金通常在數小時內通過多個傀儡帳戶進行轉移，然後被提取或匯往境外。這種分層手法旨在妨礙追蹤。

時間是決定性因素。每延遲一小時，追回資金的機會便降低一分。

最初24至72小時

如您的企業遭受BEC攻擊，請立即並行採取以下步驟：

1. 聯絡您的銀行。 要求銀行撤回電匯。如付款尚未結算，有可能將其攔截。要求銀行提供書面確認，證明已向收款銀行發出撤回指示。

2. 向香港警方報案。 致電反詐騙協調中心（ADCC）24小時熱線 18222，或透過電子報案中心報案。報案時應提供騙徒的銀行帳戶號碼、涉款金額、付款日期及詐騙電郵副本。要求警方緊急凍結帳戶。警方可要求聯合財富情報組（JFIU）根據《有組織及嚴重罪行條例》（第455章）第25A條向銀行發出不同意書（No Consent Letter），令帳戶被凍結。有關警方凍結機制的詳情，請參閱在香港被騙後該怎麼辦。

3. 委託香港律師。 涉款金額較高的案件，應在報警的同時（而非之後）立即委託律師。法庭命令比單純的警方凍結提供更強的保障。

4. 通知您所在地的銀行及執法機構。 如付款從香港以外地區發出，請向當地警方及銀行監管機構報告。部分司法管轄區——尤其是美國透過FBI的IC3——設有緊急攔截國際電匯的機制。

法律救濟途徑

香港原訟法庭為BEC追償提供一套成熟的法律工具：

資產凍結令（Mareva Injunction）

一項法庭命令，禁止帳戶持有人提取或處置資金。通常可在一至兩天內以單方面方式（即無須事先通知被告）取得。法庭要求申請人證明有充分的可爭辯案情、在香港有可識別的資產，以及存在轉移資產的實際風險。違反禁令即構成藐視法庭——保障力度遠強於警方凍結。

第三方披露令（Norwich Pharmacal Order）

在大多數BEC案件中，帳戶具名持有人只是傀儡或空殼公司，並非真正的騙徒。第三方披露令（Norwich Pharmacal Order）可強制銀行披露帳戶持有人的身份、客戶盡職調查文件及交易記錄。此令對於識別帳戶背後人物及追蹤資金去向至為重要。通常會附帶緘默令（gagging order），禁止銀行向帳戶持有人透露法律程序的存在。

銀行信託披露令（Bankers Trust Order）

如資金已被轉走，銀行信託披露令（Bankers Trust Order）可強制資金流經的下一間銀行披露二級帳戶的詳情——在資金經過多個傀儡帳戶的情況下尤為關鍵。

缺席判決與第三方債務令

騙徒鮮少提出抗辯。如被告未有應訴，您可取得缺席判決，繼而根據《高等法院規則》（第4A章）第49號命令申請第三方債務令，指示銀行將凍結的資金支付予您。

多層資金追蹤

BEC案件中的資金鮮少停留在第一個收款帳戶。騙徒通常會將資金經兩至五個傀儡帳戶進行分層，然後提取現金或匯往境外。追償需要逐層追蹤：

1. 凍結第一個帳戶——透過報警及/或資產凍結令（Mareva Injunction）
2. 向第一間銀行申請第三方披露令（Norwich Pharmacal Order）——查明資金去向
3. 凍結第二層帳戶——按需重複上述步驟

在第一層或第二層截獲資金時，追回的可能性最高。每增加一層，成本增加，全額追回的機會亦隨之降低。

時間及費用

合計（無抗辯）： 由凍結至收款需時數月，視乎案件的複雜程度。

就資金停留在單一帳戶的簡單案件而言，法律費用一般為80,000至200,000港元，另加法庭費用。涉及多層追蹤或遭被告抗辯的案件，費用會大幅增加。香港法律不允許訴訟採用「不成功不收費」的安排，因此在正式展開程序前，應與您的律師討論成本效益。

與海外律師協作

BEC本質上是跨境犯罪。如您的企業位於香港以外，您所在地的律師可與您的香港律師協調、向當地警方報案，並在其他司法管轄區展開平行程序。如需向海外被告送達法律文件，您的律師須根據《高等法院規則》（第4A章）第11號命令取得法庭許可。您無須親身前往香港——所有程序均可由您的香港律師代為處理，證據則以宣誓書形式提供。

預防措施

雖然本文主要討論追償，但企業應採取以下預防措施：

• 雙重授權——超過特定金額的電匯須經雙重批准
• 口頭核實——任何銀行資料變更，均須使用已知電話號碼進行口頭確認
• 多重驗證——所有公司電郵帳戶啟用多重身份驗證
• 員工培訓——認識BEC的警告信號：異常的緊迫感、保密要求、更改的付款資料、細微的域名差異
• 付款冷靜期——處理新指示或更改指示前設定等候期

常見問題

我需要多快採取行動？

數小時之內，而非數天。請立即聯絡您的銀行及反詐騙協調中心熱線（18222）。資金可在到帳後數小時內從第一個收款帳戶被轉走。

我的公司在香港以外，仍可追回資金嗎？

可以。您可以遙距向香港警方報案、委託香港律師，並以宣誓書形式提供證據。許多BEC受害者是位於歐洲、北美或亞洲其他地區、此前與香港毫無關聯的企業。

如果資金已被轉走怎麼辦？

追回難度更高，但並非不可能。第三方披露令（Norwich Pharmacal Order）可追蹤資金去向，禁令亦可延伸至後續帳戶。如能及時採取行動，部分追回往往是可以實現的。

銀行是否需要承擔責任？

一般而言不需要。由於受害者是自願發起付款，銀行處理的是表面上合法的指示。在有限的情形下可向銀行主張責任，但舉證困難。

BEC在香港是否構成刑事罪行？

是的。BEC涉及欺詐（違反《盜竊罪條例》（第210章）第16A條）、以欺騙手段取得財產（第17條），以及可能構成第455章下的洗錢罪行。傀儡帳戶持有人亦可能面臨刑事責任。然而，刑事檢控與民事追償是分開的——您必須展開民事程序方能取回款項。