脸和声音都对，钱为什么还是转错了

一、那场视频会议里，只有他一个人是真的

2024 年 2 月，香港一家跨国公司的财务人员被拉进一场视频会议。屏幕上坐着总部的几位高管，声音、表情、说话习惯都对得上。会议结束前，他按指示分 15 次转出 2 亿港元。

事后查明，会议里只有他一个人是真的，其余参会者都是合成的。这起案子后来被反复引用，原因不只是金额。它让很多公司第一次意识到，那条「视频里看到本人，就可以确认」的规则，已经可以被一段合成画面绕过。

这类案子不是孤例。新加坡记录在案的视频会议诈骗，2026 年 1 月超过 1200 起，而上一年同一个月是 43 起。

二、骗过财务的不是技术，是一条用了很多年的默认规则

多数公司的付款流程里，身份确认和付款审批是两件事。审批看单据、额度、签字；身份确认看「对面是不是本人」。后者长期靠三样东西：听得出的声音、看得见的脸、打得通的电话。

这三样在伪造成本还很高的时候够用。现在生成一段几十秒的语音，或者一张会说话的脸，成本已经降到普通人也付得起。素材也不用潜入公司去拿，高管在发布会、采访、短视频账号里留下的公开影像，就够训练。

2026 年 2 月，意大利一家私人银行的负责人收到一条看起来来自母公司负责人的消息，随后接到一通模仿某律所高级合伙人声音的电话。两件事对上之后，他指示财务部门转出 9500 万欧元。公开报道说，后来追回约 5300 万欧元，其余部分被分散转走。

三、同一条通道里的确认，不算第二次确认

很多流程里写着「电话确认」。真出事时，这个电话往往是打给消息里留下的号码，或者接听对方打来的电话。号码可以伪装，账号可以先被接管，视频会议也可以是搭出来的场景。

只要确认动作和请求走的是同一条通道，提出请求的人就同时控制了请求和确认。他让你看见什么，你才能看见什么；他让你听见谁，你才能听见谁。

这也是为什么「我已经打过电话了」在事后复盘里经常站不住。电话打了，但打的还是对方给的那条线。

四、换通道，才有第二次确认

真正的独立确认，要满足一个条件：确认所用的通道，不在提出请求的人手里。

可以用的通道有几条。打通讯录里早就存着的号码，而不是消息里新给的号码。走公司内部系统里登记的直属负责人，而不是会议里出现的「领导」。当面确认，或者让第三个人用自己的渠道再问一遍。

警方在公开的反诈提醒里写过一句话：转账汇款要通过回拨对方手机号等额外通信方式核实，不要只凭单一沟通渠道就转账。这句话的重点不是「打电话」，是「另一条通信方式」。

五、大额付款要两个人，而且两个人要各问各的

一个人被说服，是常见的事。两个人同时被同一套材料说服，概率会低很多，前提是两个人分别去确认，而不是一个人确认完，另一个人在单子上补个签字。

可以定一条简单的规则：超过某个金额，付款指令由发起人之外的第二个人，用他自己的渠道，向收款方或内部负责人核实一次。第二个人不看第一份会议记录，也不直接用第一份材料里的联系方式。

这条规则会多花十几分钟。和一次转错的金额比，这十几分钟很便宜。

六、把「视频确认过」从审批依据里拿掉

很多付款单上有一栏「已与负责人确认」，后面写着「视频」「电话」。这一栏现在不能再当作证据，因为它证明不了对面是谁。

更稳妥的写法是记录确认的方式和通道：打的是哪个号码，号码从哪里来，接电话的人是谁，有没有第二个人复核。审批依据从「看到了本人」改成「走了哪条独立通道」。

这不是让流程更复杂，是让流程在事后能被检查。出了事，能说清当时凭什么相信，比只说「他看起来就是老板」有用。

七、供应商改收款账户，单独走一条路

冒充高管的转账只是其中一种。另一种更常见：有人冒充长期合作的供应商，说公司账户变了，请把下一笔货款打到新账户。

这类请求的特点是金额不一定大，但会持续发生。第一次改完，后面的货款都会进新账户。

处理办法是把它从普通邮件里拿出来。改账户的请求一律不认邮件里的新号码，由采购或财务用合同上留的旧联系方式打回去确认；确认之后，再由两个人分别核对新账户的开户名与合同主体是否一致。

2026 年 10 月，安全厂商公开过一起英国公司的案子：有人用合成的负责人语音，指示财务把一笔约 24.3 万美元的紧急付款打到匈牙利一家供应商。金额不算特别大，但流程里那道「听声音确认」没有拦住。

八、语音克隆也能过电话，安全提问要换

有些人会想，电话里问几个只有本人知道的问题不就行了。问题是，很多所谓只有本人知道的信息，在公开资料里都能找到：入职年份、毕业学校、常去的城市、家里宠物的名字。

如果公司用固定问题做身份核对，这些问题迟早会出现在某个社交账号上。更稳的做法是提前约定一个只用于核对的暗号，并且约定它只在某一类场景使用。暗号不能反复用在同一件事上，也不能写在邮件签名里。

即便如此，暗号也只是多加一道。真正起作用的还是独立通道和第二个人。

九、检测工具可以买，但不能当唯一的门

市面上已经有识别合成音视频的工具。这类工具有用，适合放在通话或会议系统里做提示，提醒接听的人「这一段可能是合成的」。

不过，这类工具不适合当唯一的闸门。合成技术在变，检测也在追；误判会有，漏判也会有。把付款放行交给一个概率判断，等于把风险换了一种形式留下来。

更合理的用法是：检测给出提示，人按提示走独立通道复核。工具负责让人多问一句，不负责替人做决定。

十、事后第一个小时，决定能追回多少

真转错了，时间比什么都重要。第一件事是打银行的对公客服或客户经理，说明是诈骗转账，请求止付或冻结收款账户。第二件事是保留全部材料：聊天记录、通话记录、会议链接、转账凭证、对方提供的账户信息。

第三件事是报警，并把材料交给警方和银行。越早进入止付流程，追回的可能性越大。意大利那起案子追回了大约一半，靠的也是多国银行和监管在短时间内配合。

公司内部还要同时做一件事：确认还有没有第二笔正在走的付款，以及那个被冒充的账号或会议链接还有谁在用。

十一、公开影像越多，被冒充的材料越多

公司做宣传，高管出镜是常态。发布会、访谈、行业活动的视频，本来是为了让客户认识公司，现在也成了合成语音和面孔的素材。

这不意味着要把所有公开内容撤掉。更实际的做法是减少「只靠脸和声音就能确认」的场景：对外发布的内容照常发，对内确认身份的办法换成不依赖公开素材的方式。

同时，涉及资金、权限、客户数据的岗位，可以在内部说明里写清楚：负责人不会通过视频或语音直接下付款指令；遇到这类指令，一律走书面流程和独立复核。

十二、小团队没有安全部门，先做三件事

第一件，把「视频确认」「电话确认」从付款依据里删掉，改成回拨登记号码，并在单子上写清打的是哪个号码。

第二件，定一个金额线。超过这条线的付款，必须有第二个人用自己的渠道核实。金额线可以低一点，先跑起来再调。

第三件，供应商改账户全部走旧联系方式确认，不接受邮件里的新号码。把这条写进采购和财务的共用说明，让采购和财务用同一套说法。

这三件事不需要买软件，也不需要新增岗位，改的是流程里最容易被绕过的那几步。

十三、这套做法跟站内几篇的分工

站内写过「谁能进你的系统」，讲的是账号和入口名单；写过「智能体替公司付钱」，讲的是 AI 替人执行付款时，授权写到哪一步；写过「系统出了事，别等查清再报」，讲的是事件发生后怎么报。

这一篇只讲一件事：当对面那张脸和那个声音都可能是合成的时候，人怎么确认「这是本人下的指令」。

十四、最后一条：流程要经得起「当时为什么信」

骗局会一直变。今天流行视频会议，明天可能换成语音留言、群聊里的短消息，或者一段看起来来自内部系统的通知。

流程不可能提前写出每一种骗局。能做的是定一条底线：任何涉及钱的指令，确认所走的那条通道，不能由提出指令的人提供。

只要这条底线在，换什么外壳，都还要过同一道关。