今天是 2026 年 11 月 10 日星期二，诈骗是沙特阿拉伯最热门的搜索之一。五天前，美国纽约联邦检察官宣布起诉一个团伙：他们用AI克隆首席执行官和律师的声音与影像，在 2024 年至 2026 年间说服员工转出超过 129 百万美元，约合 483 百万沙特里亚尔。对任何企业的教训是：绝不能因为声音像老板就转账。任何不走正常流程的转账请求，都必须由你自己拨打事先存档的号码进行确认，并由第二人审批，机密交易也不例外。（我们在深度伪造与AI诈骗一文中介绍了整体情况，在钓鱼邮件一文中介绍了伪造邮件。）
用数字看发生了什么
2026 年 11 月 5 日星期四，美国纽约南区联邦检察官办公室公开了一份起诉书，被告共 3 人，分别在西班牙和英国被捕，引渡请求仍在审理中。起诉书中的一切均为指控，尚未经法庭证实。公告点名了 6 家受害公司，另有其他受害者：
- 密苏里州一家医院集团：4,829,580 美元。
- 罗得岛州一家银行：2,684,580 美元。
- 加利福尼亚州一家医院集团：2,968,497 美元。
- 英国一家金融科技公司：11,578,474 美元。
- 马萨诸塞州一家共同基金公司：4,639,918 美元。
- 佛罗里达州一家宠物食品公司：5,242,747 美元。
仅这六家合计就约 31.9 百万美元。值得注意的是，受害者并不是粗心的小商户，其中有银行、金融科技公司和基金管理公司，都是拥有财务团队和内控制度的机构。
电话骗局如何一步步进行
根据检察官公告，剧本总是按同样的顺序重复：
- CEO来电：骗子冒充首席执行官，在通话中用AI模仿其声音或影像，请员工协助一笔机密金融交易。
- 律师登场：假CEO让员工联系据称正在处理这笔交易的大型国际律师事务所的律师，骗子同样冒充这些律师。
- 转账：假律师指示将一大笔钱汇入该团伙控制的银行账户，所在国家包括美国、西班牙、葡萄牙、希腊、阿联酋、新加坡、奥地利、斯洛伐克和中国。
- 掩盖：钱到账后被兑换成加密货币，以隐藏来源。
最能说明问题的细节是：一名被告保存着一份题为 Lawyer Call 的手写脚本，其中的话术专门用来说服员工不要和同事讨论这些电话。保密不是这种诈骗的次要细节，而是让所有内控失效的工具。
为什么认出声音已经不够
“仔细听”的建议已经失效。FBI互联网犯罪投诉中心 2025 年度报告指出，AI生成的合成内容越来越难识别、越来越容易制作，声音克隆被用来要求转账。仅在 2025 年：
- 该中心收到 22,364 起提及AI的投诉，损失 893,346,472 美元。
- 企业报告在涉及AI的商业邮件诈骗中损失超过 30 百万美元。
- 商业邮件诈骗整体在 24,768 起投诉中造成 3,046,598,558 美元损失。
这些是美国数据，但手法没有国界，该团伙自己的账户也包括阿联酋。在沙特阿拉伯，沙特中央银行（SAMA）指出，诈骗手法各不相同，但目的始终一样：偷走你的钱，或利用你的银行账户进行非法交易，并建议只从官方渠道获取信息。在公司内部，官方渠道就是你已经存档的号码，而不是打给你的那个号码。
保护公司转账的 5 条规则
- 必须回拨。任何通过电话、视频或 WhatsApp 提出的转账请求，即使是CEO的声音，也必须由员工自己拨打公司记录中的CEO号码确认，绝不能回拨同一号码，也不能点击请求人发来的会议链接。
- 保密不是例外。把这一点写进公司制度：任何机密交易都不能免除审批流程。告诉团队，真正的CEO绝不会要求他们向财务经理隐瞒转账。任何要求不要告诉同事的请求，都意味着立即停止。
- 超过限额需两人审批。设定一个金额，超过该金额的转账必须由未参与通话的第二人审批，最好在财务系统和银行账户权限中强制执行，而不只是写在手册里。
- 内部验证词。与所有有权提出转账请求的人约定一个只在付款请求中使用、从不写进邮件或聊天的问题或词语。骗子能克隆声音，却无法知道自己从未听过的东西。
- 以小时而不是以天为单位报案。如果钱已经转出，立即致电银行要求拦截。2025 年，FBI资产追回小组与银行合作处理了 3,900 起事件，冻结 679,013,183 美元，成功率 58%，最主要的因素是受害者报案的速度。
Origami 的观点
我们认为这起案件首先是流程问题，其次才是技术问题。该团伙没有入侵任何受害者的系统，只利用了一点：一名可以单独转账、并且服从熟悉声音的员工。当伪造声音和面孔变得廉价时，唯一站得住的规则，是不依赖员工判断自己听到了什么的规则。
因此，我们为沙特企业定制开发会计、采购或支付系统时，会把审批流程放进系统本身：金额上限、第二人审批，以及每一笔请求和审批人的记录，让任何逼真的电话都无法绕过。如果你希望审查公司的付款审批流程，请联系我们或查看我们的服务。
总结：本周该做什么
- 召集所有有权发起或审批付款的人，用 10 分钟向他们讲解这起案件。
- 把回拨规则和保密不是例外的规则写成书面制度，并让团队签字。
- 检查银行账户权限：是否有人可以不经第二人审批转出任意金额？
- 提前把银行反诈骗热线保存在财务团队手中。
资料来源
- 美国司法部纽约南区联邦检察官办公室 — 2026 年 11 月 5 日公告：指控内容、冒充CEO和律师的手法、六家公司的损失以及开户所在国家。
- FBI互联网犯罪投诉中心 — 2025 年度 IC3 报告：与AI相关的投诉和损失、商业邮件诈骗损失以及资金冻结结果。
- 沙特中央银行（SAMA）— 关于可疑信息和电话的警告：冒充身份的手法及其目的，以及只依赖官方渠道的建议。
常见问题
怎么判断用我CEO声音打来的电话是假的？
往往无法靠声音判断，因为AI已经能高度逼真地模仿。应当判断请求本身：紧急转账、机密交易、要求不要告诉同事，或者绕开正常流程的付款。只要出现其中任何一个信号，就挂断电话，用公司记录里的号码回拨给CEO。
骗子会用视频通话，而不只是声音吗？
会。美国司法部的公告称，该团伙在通话中模仿高管的声音或影像。所以不要把视频当作充分证据，无论通过什么渠道，所有转账请求都要执行回拨规则。
如果员工已经把钱转出去了怎么办？
立即致电你的银行，要求拦截并追回这笔转账，然后记录一切：来电号码、通话时间和消息。速度至关重要：2025 年，FBI团队与银行因为报案及时，在 3,900 起事件中冻结了超过 679 百万美元。
这种诈骗只针对大公司吗？
不是。公告中的六家公司从医院、银行到宠物食品企业都有，同样的手法适用于任何一名员工可以单独转账的企业。小企业甚至可能更容易中招，因为员工熟悉老板的声音，而且没有第二人审批。
