如果你在公司财务、行政或者人事岗位上工作，某天突然接到老板的电话，说有一笔高度机密的并购款要马上汇出去，电话那头的声音、语气、口音都和老板一模一样，你会照办吗？美国司法部 2026 年 11 月 5 日解封的一份起诉书告诉我们，这个问题已经不再是假设。三名外国公民被控用人工智能冒充多家公司的首席执行官和大律所律师，在 2024 年至 2026 年间骗走了超过 1.29 亿美元。受害者遍布美国和世界各地，有医院、有银行、有金融科技公司，也有共同基金和宠物食品企业。这不是科幻电影的情节，而是一起已经被起诉、嫌疑人已经被捕的真实案件。
更值得警惕的是，这起案件的作案手法并不复杂，靠的不是攻破防火墙，而是攻破人的信任。骗子先用 AI 克隆出老板的声音和影像，再用一套精心设计的剧本，让公司员工在“保密”和“紧急”的双重压力下，一步步把钱汇到骗子控制的账户里。等到公司发现不对劲，钱往往已经被转到多个国家的账户，再兑换成加密货币，分散得无影无踪。对华人公司和在美工作的华人打工人来说，这份起诉书尤其值得认真读一读：不少华人企业业务横跨中美，汇款频繁，老板经常出差，员工又习惯了“老板说了就办”，这些特点恰恰是骗子最喜欢利用的缝隙。
起诉书到底说了什么
这份起诉书由美国司法部纽约南区检察官办公室公布，联邦调查局纽约外勤办事处参与调查。被起诉的三人分别是 41 岁的雅各布·索尔（Jacob Soall，常住西班牙马贝拉和英国）、54 岁的沙龙·哈赞（Sharon Hazan，来自以色列）和 42 岁的盖伊·谢特里特（Guy Sheetrit，来自以色列和阿联酋）。三人被控的罪名包括共谋电汇欺诈、电汇欺诈、严重身份盗窃、共谋洗钱和洗钱，共七项罪名，其中多项罪名最高可判 20 年监禁。不过需要强调的是，起诉书中的内容目前只是指控，三名被告在被证明有罪之前依法推定无罪，引渡程序仍在进行中。
根据起诉书，三人的落网时间并不相同。索尔于 2026 年 6 月 17 日在西班牙被捕，哈赞于同年 8 月 5 日在西班牙被捕，谢特里特于 9 月 7 日在英国被捕。美国方面已经提出引渡请求，案件由纽约南区检察官办公室的复杂欺诈与网络犯罪部门负责起诉。司法部在通稿中用了“超级智能”这个说法来描述涉案技术，这个词来自 2026 年 9 月美国总统签署的有关超级智能时代的行政命令，起诉书沿用了这一表述，本质上指的就是生成式人工智能和深度伪造技术。
涉案金额之大，是这起案件最先抓住眼球的地方。起诉书称，骗局总共骗走了超过 1.29 亿美元，远高于最初一些报道中“超过 1 亿美元”的笼统说法。通稿还列出了其中六家受害企业的损失：密苏里州一家医院系统被骗 4,829,580 美元，罗德岛一家银行被骗 2,684,580 美元，加州一家医院系统被骗 2,968,497 美元，英国一家金融科技公司被骗 11,578,474 美元，马萨诸塞州一家共同基金公司被骗 4,639,918 美元，佛罗里达一家宠物食品公司被骗 5,242,747 美元。光是这六家加起来就超过 3200 万美元，而起诉书明确表示，受害公司不止这六家，遍布美国和世界各地。
骗局四步：从一通电话到一笔巨款
起诉书对骗局的流程描述得相当具体，值得每一家公司的财务人员逐字读一遍。第一步是选定目标。骗子会先锁定一家公司的某位员工，通常是财务、会计或者能操作汇款的人，然后冒充这家公司的首席执行官与对方取得联系。联系的借口几乎每次都一样：公司正在进行一笔高度机密的金融交易，需要这名员工协助，而且事情非常紧急，不能声张。
第二步是让假 CEO“现身”。骗子会在电话或者视频通话中使用人工智能技术，模仿 CEO 的声音，有时还会模仿影像。员工在电话里听到的，就是自己老板的声音，语气、用词甚至口头禅都可能被模仿得很像。对于平时和老板打交道不多的基层员工来说，几乎没有办法仅凭一通电话识破。更何况骗子往往还会做足功课，知道公司的业务、内部称呼甚至正在推进的项目，让整通电话听起来毫无破绽。
第三步是“律师接力”，这是整个骗局中最阴险的一环。假 CEO 会让员工去联系一家大型国际律所的“律师”，说这位律师也在参与这笔机密交易。随后，骗子团伙的另一名成员就会冒充这位律师出场，进一步向员工确认交易的真实性。两层身份互相印证，员工的戒心就这样一层层被卸掉。起诉书特别提到，索尔在这起骗局中主要负责冒充英国律师，他甚至随身带着一份手写的“律师通话”剧本，上面写着如何让自己听起来像个真正的律师，其中还包括专门用来劝说受害员工不要把通话内容告诉同事的话术。
第四步就是收网。冒充律师的骗子最终会指示员工把一大笔钱汇到某个指定的银行账户，理由当然是推进那笔“机密交易”。员工一旦汇出，钱就进入了骗子团伙控制的账户网络。起诉书称，赃款被汇往美国、西班牙、葡萄牙、希腊、阿联酋、新加坡、奥地利、斯洛伐克和中国等地的账户，随后被兑换成加密货币，以掩盖资金的来源和去向，再由团伙成员分赃。哈赞在团伙中主要负责洗钱，起诉书称他曾吹嘘自己从 1994 年就开始洗钱，过去三年里洗了超过 4 亿美元，还自称在职业洗钱者中“世界第一”。这些话是起诉书引述的被告自述，真实性有待法庭认定，但足以说明这个团伙的分工之细。
为什么 AI 让老骗局变得更危险
冒充老板骗汇款并不是新骗术，过去叫“商业邮件诈骗”，靠的是伪造邮件地址和一封语气急切的邮件。但 AI 的出现把这种骗术的门槛和杀伤力都推到了新的高度。过去，骗子要冒充 CEO，至少得会写一封像模像样的英文邮件，还得赌员工不会打电话核实。现在，只要有几秒钟的公开讲话录音或者视频，AI 就能克隆出足以以假乱真的声音，而视频换脸技术也在快速成熟。员工接到的不再是一封可以慢慢推敲的邮件，而是一通听起来就是老板本人的电话，留给人思考的时间被压缩到了几秒钟。
其次是规模。起诉书显示，骗子在一年多的时间里针对了众多公司，手法可以批量复制。一个人、一套剧本、一个声音克隆工具，就能同时对多家公司的员工下手。哈赞被指控的洗钱网络更是横跨多个国家和币种，从法币账户到加密货币的转换链条，让追赃变得异常困难。司法部纽约南区检察官麦克唐纳在通稿中说，超级智能技术潜力巨大，但公众必须认识到，有人正在利用这项新兴技术实现犯罪目的，并呼吁企业和个人认真思考如何防范这类新型犯罪。
还有一个容易被忽视的细节：这起案件的受害者不是不懂技术的普通人，而是医院、银行、基金公司的专业员工。这些机构本身就有财务审批流程，却依然中招，说明骗局针对的弱点不在技术，而在流程和心理。保密要求切断了员工向同事求证的渠道，紧急程度压缩了核实的时间，而 CEO 和律师的双重权威又让员工不敢质疑。当三重压力同时出现时，再完善的制度也可能被绕过。
华人公司和打工人为什么要格外小心
这起案件没有点名任何华人公司，但华人企业和在美华人员工确实有几个特点，让这类骗局更容易得手。首先是跨境业务多。很多华人公司同时在中美两地运营，跨境汇款是日常操作，员工对“往境外账户汇一笔钱”这件事本身并不陌生，警惕性容易降低。骗子指定的收款账户遍布多个国家，对一家经常做跨境结算的公司来说，一笔汇往新加坡或者阿联酋的款项，看起来可能并不反常。
其次是时差和远程办公。老板可能在国内出差，或者在另一个时区开会，员工习惯了通过电话和视频与老板沟通，也习惯了老板在电话里直接下指令。当“老板”在电话里说“这件事很急，先汇款，细节回头再说”时，员工很难当场找到老板本人核实，尤其是在深夜或者周末。
第三是职场文化。不少华人员工，尤其是刚入职的新人或者持工作签证的员工，面对老板的直接指令会格外谨慎，不敢多问，更不敢质疑。骗子正是利用了这种心理：剧本里那句“不要告诉其他同事”，在等级观念较强的职场环境里格外有效。需要提醒的是，真正合规的公司流程从来不会要求员工对一笔大额汇款保密，更不会要求员工绕过审批独自操作。凡是要求“别告诉别人”“别走流程”的指令，本身就是最大的危险信号。
企业防骗清单：六道关卡缺一不可
防范这类骗局，靠员工个人的警惕是不够的，必须靠制度。以下六条是结合本案手法整理的企业级防范清单，适合直接拿去对照公司的财务流程。
- 回拨核实是铁律。任何涉及汇款的电话指令，无论对方的声音多像老板，都必须挂断后用公司通讯录里的号码回拨核实，或者通过公司内部通讯工具二次确认。绝不使用对方在电话里提供的号码，也不要只凭来电显示判断身份，来电显示是可以伪造的。
- 大额汇款必须双人审批。单人无权决定任何一笔大额对外汇款，金额门槛由公司根据规模自定，但必须写进制度并严格执行。审批的第二人应当独立核实交易背景，而不是只在单据上签字。
- 设置转账冷静期。对首次出现的收款账户、境外账户或者金额异常的汇款，强制设置至少 24 小时的冷静期，期间由财务负责人和法务复核。骗局最怕的就是时间，冷静期是成本最低、效果最好的防线。
- 建立“暗号”与验证渠道。公司可以为高管指令设置内部验证方式，例如只有内部系统才知道的项目代号，或者规定所有汇款指令必须同时通过邮件和内部系统双通道确认。单一渠道的指令一律视为无效。
- 限制权限与分级授权。不是所有员工都需要汇款权限，知道公司银行账户信息的人越少越好。定期复核各岗位的资金操作权限，离职员工的权限要当天收回。
- 定期演练与复盘。每年至少做一次模拟演练，由公司内部或者外部安全团队假扮 CEO 打电话测试员工反应。演练不是为了抓人出丑，而是为了让员工在真实骗局来临时有肌肉记忆。同时要复盘每一次未遂的诈骗尝试，把骗子的新话术及时同步给全员。
打工人自保清单：接到可疑电话时这样做
如果你是普通员工，没有权力修改公司制度，同样可以保护自己。第一，慢下来。任何要求你“马上汇款”“不要告诉别人”的指令，都值得你先停下来深呼吸。真正的紧急交易也不会因为你花十分钟核实就黄了，而骗局恰恰最怕你这十分钟。第二，找第二个人。把情况告诉你的直属上级、财务负责人或者任何一位同事，哪怕只是随口问一句“你觉得这正常吗”，都可能戳破骗局。骗子最怕的就是你开口问别人。第三，留痕。把对方的来电号码、通话时间、对方提出的要求原样记录下来，保存好邮件和聊天记录截图，这些都是事后追查和报案的关键证据。
第四，了解你自己的权利。员工按照可疑指令汇款后如果造成公司损失，责任认定往往很复杂，但主动核实、及时上报的员工显然比闷头执行的人处境好得多。不要因为害怕担责而隐瞒，也不要因为害怕得罪“老板”而不敢核实。第五，熟悉举报渠道。如果你怀疑自己遭遇了这类骗局，可以向联邦调查局的网络举报平台提交线索，司法部通稿中也公布了联邦调查局的线索提交页面。公司层面则应当第一时间联系开户银行尝试冻结款项，并向警方和联邦调查局报案，汇款后的最初几个小时是追回资金的黄金窗口。
已经汇了钱，还来得及吗
如果钱已经汇出，第一时间要做的不是自责，而是行动。立即联系汇款银行，说明情况并请求召回或者冻结，同时联系收款银行。向公司管理层和法务汇报，保留全部通话记录、邮件和汇款凭证。向联邦调查局报案，并尽可能提供对方使用的电话号码、账户信息和通话细节。起诉书显示，本案的赃款在到账后很快会被兑换成加密货币并分散转移，时间拖得越久，追回的难度越大。但另一方面，本案三名嫌疑人最终在西班牙和英国落网，也说明跨境执法合作正在发挥作用，报案并非没有意义。
这起 1.29 亿美元的案件给所有人的提醒其实很简单：AI 正在让“眼见为实、耳听为真”变成过去式。声音可以克隆，影像可以伪造，头衔和律所的名字都可以冒用，唯一靠得住的，是事先定好的核实流程和关键时刻多问一句的习惯。对公司来说，现在就该检查一遍财务审批制度里有没有“回拨核实”和“双人审批”这两条；对打工人来说，下一次接到老板的紧急汇款电话时，先挂断，再回拨——这个动作，可能就是一家公司和 1.29 亿美元骗局之间的全部距离。
本文仅供一般信息参考，不构成法律意见。案件指控内容以美国司法部公布的起诉书为准，被告在定罪前推定无罪。
- 最新
- 最热
只看作者