香港深伪视频会议诈骗：奥雅纳员工被骗 2 亿港元

背景

深度伪造（deepfake）指用机器学习模型生成或修改的图像、视频和声音。模型通常先用某个人已有的影像和录音训练，再合成出看上去、听上去都像本人的内容。这类内容制作成本低，又能通过普通视频会议软件播放，因此除了被用于恶搞，也成了诈骗工具。

大公司的付款审批长期依赖两个前提：邮件里的指令可以核对发件人身份；视频会议里看到熟悉的面孔、听到熟悉的声音，就能确认对方是谁。深度伪造攻击的正是后一个前提。合成视频只需要在会议窗口那样的小画面里、在几分钟内足够可信；而一笔被说成「机密」的交易，又会让收件人不好意思向同事求证。这两点叠加，一场准备充分的假会议就能冒充真实会议。

发生了什么

2024 年 2 月，香港警方披露，一家跨国公司的一名财务员工被诱骗参加了一场视频会议，会议里被介绍为首席财务官的人和其他参会者，全部是深度伪造的合成形象^[1]。

骗局从一封邮件开始。这名员工起初怀疑，这封自称来自公司英国办事处、提到一笔秘密交易的邮件是网络钓鱼^[1]。视频会议打消了他的疑虑：参会者的相貌和声音都像他认识的同事，于是他放下了戒心^[1]。

转账经过

他同意转出共计 2 亿港元，约合 2560 万美元，分 15 笔交易汇出^[1]。

警方披露案件时，受害公司并未公开。2024 年 5 月 16 日，总部位于伦敦的工程公司奥雅纳（Arup）向 CNN 确认，自己就是涉事公司，案中使用了伪造的声音和图像^[1]。奥雅纳已于 2024 年 1 月就这起欺诈向香港警方报案^[1]。

奥雅纳表示，此事没有影响公司的财务稳定和业务运营，内部系统也没有被入侵^[1]。钱是在员工同意的情况下分笔转出的，公司自身的网络并没有被攻破——这一点，正是这起案件值得细看的地方。

为什么重要

奥雅纳全球首席信息官 Rob Greig 表示，近几个月这类攻击的数量和复杂程度都在急剧上升^[1]。

这起案件说明了薄弱环节在哪里。公司的技术设施不需要出任何故障：一名员工被会动的画面和熟悉的声音说服，就自己批准了一连串转账^[1]。建立在「认得出」之上的核验习惯——看见面孔、听到声音、进入一场会议——已经不足以确认身份。

常见的应对办法更多落在流程上，而不是技术上。被反复提及的做法包括：对大额或异常付款，改用另一个渠道、拨已知号码去确认，而不是拨打请求方提供的号码；超过一定金额的转账要求第二人复核；把催促和强调保密本身当作警示信号。由于这起案件中合成的参会者都以真实同事为原型^[1]，依赖对方主动提供信息的核实方式，弱于完全绕开对方、独立查证的核实方式。

案件的披露方式也改变了这类损失被讲述的方式。香港警方先公布了诈骗的手法，当时并未点名公司^[1]；奥雅纳直到几个月后的 2024 年 5 月 16 日才确认自己的角色^[1]。由一家具名企业公开确认，给了安全团队一个有据可查的具体案例去培训员工；而按照该公司信息主管的说法，这类攻击的数量和复杂程度在当时正同时上升^[1]。