一通聽起來和工作夥伴聲音一模一樣的電話、要求立刻匯款，對中小企業來說，這可能就是一場代價高昂的詐騙。AI 讓詐騙者更容易冒充企業原本信任的人，從老闆到長期合作的廠商都可能被假冒，而資安資源有限的中小企業，一旦受騙，損失往往特別大。
不過，加強防護不一定需要昂貴的技術或專職資安團隊。由 CIO、CTO 等科技高階主管組成的 Forbes Technology Council，邀集專家提出中小企業現在就能採取的低成本做法。
涉及匯款與帳密的要求，先換個管道確認
多數 AI 詐騙之所以得逞，是因為訊息刻意製造急迫感，讓人來不及思考就行動，例如執行長來信要求「立刻匯款」，或廠商緊急要求更改付款資訊。以色列金融監理科技公司 Shield 的執行長 Shiran Weitzman 建議訂一條簡單規則，凡是涉及金錢或帳密的要求，一律先透過另一個管道確認再行動。這不需要任何成本，就能擋下絕大多數詐騙。
聲音也不再可靠。以 AI 為核心的消費者科技與應用開發公司 ICE Innovations 執行長 Sarah Choudhary 指出，AI 現在只需幾秒鐘的音檔就能複製聲音，聽起來和合作夥伴一模一樣的來電，不一定是本人。她建議設定一組不寫成文字的通關密語，並規定所有付款資訊變更，都必須撥打已知號碼確認。
發票同樣是詐騙者的切入點。資安公司 Malwarebytes 消費者事業群總經理 Mark Beare 指出，美國人去年因商業電子郵件詐騙（BEC）損失超過 30 億美元。他建議企業與常往來的廠商建立固定的驗證流程，付款前先確認發票確實來自正確的對象。
帳號與信箱的漏洞，同樣要補上
除了驗證流程，帳號本身的防護也不能少。加密貨幣兌換與支付基礎設施公司 Breet 的共同創辦人 Usman Balogun 建議，所有關鍵帳號都應啟用多重驗證（MFA），成本低，幾分鐘就能完成。
電商風險情報與詐欺防治平台 Wyllo 的 AI 與詐欺防治首席架構師 Andrii Stetsenko 則建議，老闆信箱、銀行登入與網域註冊商改用通行金鑰（passkey）登入，不要使用簡訊驗證。公司網域也應設定 SPF、DKIM 與 DMARC 這 3 種郵件驗證機制，讓外人無法寄出看似來自公司的郵件——SPF（寄件者政策框架）用來列出哪些郵件伺服器獲准代表公司網域寄信；DKIM（網域金鑰識別郵件）會為郵件加上數位簽章，讓收件端確認郵件確實來自該網域，內容也沒有遭到竄改；DMARC（網域型郵件驗證、報告與一致性）則根據前兩者的驗證結果，告訴收件端如何處理沒有通過驗證的郵件，例如隔離或拒收。
另外，簡訊驗證碼雖然比只用密碼安全，但仍容易遭網路釣魚與 SIM 卡相關攻擊攔截；FIDO2 安全金鑰與通行金鑰則能抵抗網路釣魚，美國網路安全暨基礎設施安全局（CISA）也建議盡可能改用這類驗證。
信箱內部的設定也不能忽略。許多 AI 詐騙之所以逼真，是因為犯罪者入侵信箱後，悄悄研究真實發票、寫作風格與核准節奏。他建議稽核所有信箱的隱藏轉寄規則，預設停用對外自動轉寄，並由負責人每月檢視例外情況。
把關卡交給系統，而不是員工的警覺
資安意識訓練能讓員工成為最後一道防線，但面對逼真的深偽，這道防線終究會失守。因此，專家建議把控制從人轉移到系統，請銀行設定對外付款需由兩人核准，並設定轉帳上限與扣款過濾，這類服務通常免費。如此一來，即使一名員工受騙，也無法自行放款。
限縮權限也能降低受騙後的損害。企業應移除不必要的管理員權限，檢查誰能存取財務與客戶系統，並區分日常帳號與特權帳號。
另外，可以在企業郵件中開啟醒目的「外部寄件者」標示。現在 AI 生成的訊息能模仿執行長、廠商或同事的寫作風格，這個標示能讓員工在點擊連結或處理緊急要求前，多一個判斷依據。
這些建議多半不需要額外成本，從換管道確認、設定通關密語，到請銀行啟用雙人核准，資源有限的中小企業現在就能著手。
不過，再完善的防護仍可能被突破。企業應預先演練員工發現受騙後該打的電話，把銀行反詐騙專線與 IT 聯絡方式放在不靠公司信箱也找得到的地方，並練習以不究責的方式立即通報錯誤付款。
【推薦閱讀】
◆ 「住宅代理」成駭客攻擊新趨勢：能偽造到受害者所在區，企業的地理位置登入規則近乎失效
◆ 【監控的 AI 也會被騙】專家警告惡意代理人可能騙過監控者，建議另加不靠 AI 的日誌與網路分析
◆ 【沒人負責就不准上線】專家建議員工自建 AI 工具「先指定負責人」，並在執行階段持續監控
＊本文開放合作夥伴轉載，參考資料：Forbes、Katy Computer Systems，首圖來源：Gemini 生成
（責任編輯：鄒家彥）
