核心結論
只要涉及新帳戶、金額或付款日改動、非上班時間或跳過既有流程，就要升級核實。先掛斷，再用公司通訊錄中的既有號碼回撥，並由第二位核准人獨立確認。這不是懷疑老闆，而是把任何人的聲音都視為通知，不讓單一可冒用訊號直接變成付款授權。
執行摘要
核心觀察：刑事警察局 2026 年案件已記載詐欺集團以 AI 變聲增加可信度，說明語音冒用不是假設風險。[1] 美國 FBI 也提醒，生成式音訊可模仿他人要求付款或取得銀行帳戶；應掛斷後，以自行查得的正式聯絡方式回撥核實。[3] 一項 529 人英語與華語實驗中，受試者辨識語音深偽的正確率為 73%，事前示例僅帶來小幅改善，不能把「聽起來像」當成可靠控制。[6] 行動建議：先把新收款帳戶、金額或付款日變更、非上班時間及臨時緊急指示列為高風險事件，要求雙人核准、可信管道回撥及系統留痕，再以四週試點量攔截率、例外率、延遲與誤擋。
聲音相似不等於本人
刑事警察局 2026 年公布的假交友詐欺案，已記載集團使用 AI 變聲軟體增加真實性，並查扣含 AI 深偽程式的設備。[1] 這個案件不是企業付款詐騙的發生率證明，卻能確認台灣詐欺流程已實際使用 AI 語音冒用。當聲音可以合成，員工以熟悉語氣、口頭暗號或視訊畫面判斷本人，就不再是足夠的授權證據。
英語與華語共 529 人的原始研究發現，受試者辨識真實與合成語音的正確率為 73%，即使事前聽過深偽示例，改善也只有小幅度。[6] 研究情境不等同台灣企業電話，更不能直接換算成公司的受騙率；它支持的結論是，人耳判斷仍會漏失。教育員工可以保留，但付款控制不能只靠警覺、經驗或聽音辨人。
先把高風險事件框出來
企業不必把每通電話都當成詐騙。先定義需要升級驗證的事件：新增或更改收款帳戶、臨時提高金額、提前付款、非上班時間指示、跳過原核准人，以及以保密或緊急為由要求繞過流程。這些條件一旦出現，電話、通訊軟體或視訊上的聲音與臉孔都只能當作通知，不能直接把交易狀態改成已核准。
金管會文件針對金融業指出，視訊業務要確認真人、本人並保留驗證紀錄與交易軌跡；證券期貨業可搭配 OTP、專人電訪或證件核對。[2] 這些要求不等同一般中小企業的法定義務，但提供可落地的控制邏輯：高風險決策要有不同來源的證據、明確責任人與可回查紀錄，而不是把多個可同時偽造的影音訊號堆在一起。
回撥與雙人核准要分工
FBI 建議遇到疑似冒用時先掛斷，再以自行查得的銀行或機構正式電話直接回撥。[3] 對企業而言，回撥號碼應來自已核准的供應商主檔、既有合約、內部通訊錄或官方網站，不能使用來電顯示、臨時訊息或對方口述的新號碼。回撥要核對交易目的、收款人、帳戶末碼、金額與截止日，任何一項不一致就暫停。
雙人核准則負責避免同一人同時接收指示、修改主檔又放行付款。第一人確認商業必要與原始文件，第二人獨立核對帳戶、額度與回撥結果；系統記錄誰在何時根據哪些資料核准。NIST 指出，生物特徵比對具機率性，且不能單獨提供足夠的冒用防護。[4] 所以聲紋辨識或深偽偵測可以加分，但不可取代第二條核准鏈。
四週試點驗收控制
先選一條付款流程做四週試點，例如新供應商或帳戶變更。第一週盤點現況與基準，第二週啟用風險條件、回撥表單及雙人核准，第三週安排不動用真實資金的模擬事件，第四週檢查例外與補件。FTC 強調，語音複製風險不能只靠技術解決，需要產品、政策與程序共同介入。[5] 因此先修流程，再評估是否需要額外偵測工具。
驗收至少量五項：高風險事件攔截率、未完成回撥卻放行的件數、流程例外率、誤擋率及平均處理時間；另記錄補件與人工工時。四週內只要出現一筆高風險付款未完成雙人核准就先停用自動放行，修正條件後再測。若零漏放且處理時間仍符合營運需求，再逐步擴到薪資異動、退款、權限提升或敏感資料匯出。
關鍵要點
語音不是核准憑證：熟悉聲音、語氣或視訊畫面只能提供線索，不能單獨觸發付款、帳戶變更或權限提升。
高風險事件必須升級：新收款帳戶、金額或付款日改動、非上班時間與緊急指示，全部進入雙人覆核。
回撥不能照著來電資訊：只能使用供應商主檔、合約、內部通訊錄或官網查得的既有可信聯絡方式。
偵測工具只作輔助：模型判定、浮水印或聲紋檢查可增加風險訊號，但不能取代授權、核准與交易留痕。
量測控制而非恐慌：同時追蹤攔截、例外、誤擋、處理延遲及人工工時，證明安全提升沒有讓流程停擺。
參考來源
甜言蜜語竟是AI 刑事局破獲假交友深偽詐欺集團
內政部警政署刑事警察局 · 2026-09-02
https://www.cib.npa.gov.tw/ch/app/news/view?id=1885&module=news&serno=2c6a4aa9-93d3-480b-a528-575268edbe28Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud
FBI Internet Crime Complaint Center · 2024-12-03
https://www.ic3.gov/PSA/2024/PSA241203NIST SP 800-63B-4 Digital Identity Guidelines
U.S. National Institute of Standards and Technology · 2025-07-31
https://csrc.nist.gov/pubs/sp/800/63/b/4/finalPreventing the Harms of AI-enabled Voice Cloning
U.S. Federal Trade Commission · 2023-11-16
https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2023/11/preventing-harms-ai-enabled-voice-cloningWarning: Humans cannot reliably detect speech deepfakes
PLOS ONE 原始研究 · 2023-08-02
https://journals.plos.org/plosone/article?id=10.1371/journal.pone.0285333常見問題
Q：老闆本人用電話要求緊急付款，也要重新核實嗎？
A：只要涉及新帳戶、金額或付款日改動、非上班時間或跳過既有流程，就要升級核實。先掛斷，再用公司通訊錄中的既有號碼回撥，並由第二位核准人獨立確認。這不是懷疑老闆，而是把任何人的聲音都視為通知，不讓單一可冒用訊號直接變成付款授權。
Q：使用語音深偽偵測工具後，可以取消雙人核准嗎？
A：不建議。偵測工具會受模型、壓縮、通話品質與新型攻擊影響，判定結果只能作為風險訊號。高風險付款仍要以可信管道回撥、第二人覆核及完整留痕為主。工具適合協助排序或警示，不能取代誰有權批准、根據什麼資料批准及事後如何追查。
Q：供應商臨時通知更換銀行帳戶，正確流程是什麼？
A：先凍結主檔與付款，不使用訊息中的新電話或連結。由採購或財務以既有合約、供應商主檔或官網聯絡方式回撥，核對公司名稱、統編、帳戶末碼、變更原因與生效日，再由不同人審核證明文件及付款。所有聯絡、差異、補件與核准時間都要留在系統。
Q：四週試點要達到什麼條件才算成功？
A：先設定零筆高風險事件未完成回撥與雙人核准就放行，並量攔截率、例外率、誤擋率、平均處理時間及人工工時。模擬事件須被正確攔截，正常付款也不能大量延誤。若安全指標過關但工時過高，先簡化表單與風險條件，不要直接撤掉控制。
Q：員工教育應該教哪些內容，才不會只製造恐慌？
A：重點不是猜哪段聲音是假的，而是看到高風險事件就照流程停、查、記。用三個短情境演練新帳戶、緊急付款與保密指示，要求員工指出何時掛斷、從哪裡找可信號碼、誰負責第二次核准及如何留痕。演練後公布誤擋與延遲，持續調整流程。
由穹境科技 AI 情報系統生成 · 2026-10-10 · 資料來源見上方參考列表