“XX航空公司，連續兩年盈利百億，現因要償還中國香港政府貸款，特高息向投資者融資人民幣，年息7%，資金直達航司，安全有保障”、“XX航空公司，阿拉伯X國王室全資持股，現因參與一帶一路，采購中國國產大飛機，特向中國投資者融資人民幣”……

最近的(de)江湖上，一種以航(hang)空公(gong)司為名，借用國際機(ji)票作(zuo)為洗錢渠道(dao)的(de)詐騙方式涌現出來。

這(zhe)段時間，我(wo)接到不(bu)少航空公司朋友聯系，表示他們的內地和(he)(he)香港辦(ban)事處被內地經(jing)偵和(he)(he)香港CCB（商業罪案調查科）上門，希望(wang)能(neng)夠(gou)作(zuo)為證(zheng)人協助調查。

航空公(gong)司平常素來(lai)奉公(gong)守法，還能被JC找上門，實在是稀奇古怪。

內(nei)地(di)(di)和香(xiang)(xiang)港的(de)JC向我們的(de)客戶（航(hang)空公(gong)司(si)）表(biao)(biao)示，他(ta)們在(zai)偵辦電信(xin)詐騙案件的(de)過程中，發現了(le)一些新形式的(de)電信(xin)詐騙案件，希望(wang)航(hang)司(si)設在(zai)內(nei)地(di)(di)和香(xiang)(xiang)港的(de)代表(biao)(biao)處，可以在(zai)證(zheng)人(ren)的(de)身(shen)份(fen)下協助調查(cha)。

根據和(he)航司、JC的討論，我(wo)們驚奇地發現，現在電詐分子竟(jing)然把(ba)航司當“洗錢工具”用。

這些案件通常(chang)遵(zun)循(xun)如下的模式：

• 第一條線：電詐分子先是在網絡上低價兜售機票，一般是較官網略微便宜的國際兩艙機票。待乘客下單付款后，騙子就在官網購買同行程機票，并選擇使用電子錢包付款。由于官網網頁端不具備直連能力，因此官網會顯示一個付款碼，供購票人以手機掃描后付款。
• 第二條線：電詐分子已經以剛剛的“航司高息融資”名目，成功蠱惑了一批受害者。這時，騙子巧立名目，將（第一條線）的機票付款碼發送給受害人，由于機票付款碼顯示的商戶是騙子宣稱要“借錢”的航空公司，受害者多數不會起疑，認為自己在支付“投資款”。
• 兩條線合流：在騙子的操縱下，這件事本質上就變成，電詐受害者花錢給乘客買了機票，但乘客卻把機票款給了騙子。騙子拿到了錢，乘客拿到了機票，只有電詐受害者認為自己投資了航司，結果最后血本無歸。

由于騙子多數在境(jing)外(wai)(wai)尋找乘客（我(wo)們的內部調(diao)查發現，乘客來自(zi)世界各國），整個流程(cheng)后(hou)資金即已(yi)洗至境(jing)外(wai)(wai)。

我(wo)們最(zui)后一致認為，這是一種(zhong)混合了信(xin)用卡(ka)盜刷詐騙和電信(xin)詐騙，加(jia)之以洗(xi)錢(qian)特點(dian)的(de)復雜(za)刑事案(an)件(jian)。考慮到這種(zhong)案(an)件(jian)對航司的(de)負面影響，我(wo)們有必要指出這種(zhong)案(an)件(jian)與既往(wang)案(an)件(jian)在風險控制上的(de)差異。

最明顯的差異在于(yu)，原先的電詐模式基于(yu)轉賬，騙子多數(shu)使用境內收(shou)集來的私人(ren)賬戶收(shou)款。由于(yu)涉及(ji)和(he)陌(mo)生(sheng)人(ren)之間的私人(ren)交易（例如(ru)大(da)額(e)資(zi)金流入），銀行進(jin)行風(feng)險提(ti)示和(he)控制相對容易。

但是，現在的模式(shi)基于消費。航(hang)空公(gong)司(si)賬戶(hu)本身就(jiu)是大(da)額資(zi)金往(wang)來(lai)頻繁的賬戶(hu)，一般購買國際兩(liang)艙機(ji)票，一張十萬多(duo)元(yuan)(yuan)，甚至(zhi)多(duo)人機(ji)票下數十萬元(yuan)(yuan)的情況(kuang)也很普(pu)遍(bian)。因此(ci)銀(yin)(yin)行多(duo)數不(bu)會對航(hang)司(si)賬戶(hu)明顯(xian)設限，受害者(zhe)在“投(tou)資(zi)”時，銀(yin)(yin)行也不(bu)會做出風險控制(zhi)（例如制(zhi)止或(huo)通報JC）。

同時，原先的轉賬模(mo)式(shi)下，資金一(yi)方面(mian)通常會在(zai)(zai)境(jing)(jing)(jing)內(nei)流轉好幾(ji)輪才(cai)能出(chu)境(jing)(jing)(jing)，JC有一(yi)定的反應(ying)時間追回資金。但(dan)現在(zai)(zai)的模(mo)式(shi)下，由于國際(ji)機票特性，資金對于騙子而言會即時出(chu)境(jing)(jing)(jing)。

這(zhe)相當于將原(yuan)先多輪的步(bu)驟簡化為一步(bu)，詐騙隱蔽性大大提(ti)高。

同時，既往的信(xin)用卡盜(dao)刷(shua)案(an)件，被(bei)(bei)盜(dao)刷(shua)人是(shi)不(bu)知情的，因(yin)此收到銀(yin)行(xing)短信(xin)之(zhi)后會即(ji)刻投訴“我被(bei)(bei)到盜(dao)刷(shua)了”，從而申報止付(fu)。

此時，由于乘客尚未成行，航空(kong)公司還(huan)可(ke)以即時注銷(xiao)預訂，并無(wu)座位(wei)損失。

然而(er)，這種新(xin)型案件下，被“騙(pian)刷”人(ren)是知(zhi)情的(de)——他刷卡之后要(yao)隔一段時(shi)間（根據兩地JC的(de)反饋，普遍時(shi)間在(zai)2到3天，甚至(zhi)有30天）才會意識(shi)到自己上當(dang)，而(er)當(dang)提出(chu)止付時(shi)，旅客往往已經成行。

我們在客戶電(dian)腦中查詢的(de)數據顯示(shi)，大部分此類騙刷機票都是當天(tian)出票后隔一段時間才成行，顯示(shi)出電(dian)詐分子(zi)有信心自己的(de)騙刷行為(wei)，不(bu)會在短期內被受(shou)害苦主發現。

此類案件的另外一(yi)個特點在于(yu)，由于(yu)報案周(zhou)期(qi)延長，事情變(bian)得(de)復雜化。

由于盜刷(shua)案件(jian)行之(zhi)有年，航空(kong)公(gong)司和(he)警察在盜刷(shua)案件(jian)的(de)(de)(de)處理上(shang)已(yi)經有所(suo)默契。在盜刷(shua)案件(jian)中，由于航空(kong)公(gong)司通(tong)常(chang)會當(dang)場拒絕乘(cheng)客(ke)辦理登機牌(pai)并提示(shi)旅客(ke)機票已(yi)被(bei)退票，乘(cheng)客(ke)此時會變為受害人(ren)(ren)（相(xiang)當(dang)于所(suo)付的(de)(de)(de)票款被(bei)盜刷(shua)人(ren)(ren)詐騙），通(tong)常(chang)會即時報案，并配合JC提供騙子的(de)(de)(de)個人(ren)(ren)信息(xi)（例如即時消息(xi)工具的(de)(de)(de)聯系方式和(he)聊天記(ji)錄）。

但(dan)是，在(zai)騙刷(shua)案件(jian)中，由于受(shou)害(hai)者(zhe)反(fan)應(ying)慢，乘(cheng)客多數可以順利成(cheng)行(xing)。人走了，JC就通(tong)常難以再度聯系和接觸（尤(you)其是已離境的(de)國際旅客），配合(he)JC調(diao)查變得非(fei)常困難。在(zai)我(wo)們的(de)溝通(tong)中，甚(shen)至有受(shou)害(hai)者(zhe)被騙數萬元，為(wei)旅客購買了從歐洲出發(fa)到大洋洲的(de)機票的(de)案例(li)。

對于(yu)JC而言，由于(yu)大部分(fen)受影響的航空公司(si)都是境(jing)外航空公司(si)，事情更(geng)加復雜(za)化。

外(wai)(wai)國(guo)航空公(gong)司的旅客(ke)資(zi)料等，一般儲存在詐騙受害者（以(yi)及負責(ze)JC）所在的司法管轄區以(yi)外(wai)(wai)的服務器，因此向執法機關提(ti)供旅客(ke)個(ge)人信息(xi)往(wang)往(wang)需要履行更加復(fu)雜的法律程序(xu)（例如內地《個(ge)人信息(xi)保(bao)護法》第(di)四十一條，或(huo)者歐盟GDPR、英國(guo)Data Protection Act of 2018）。

同時(shi)，我們也(ye)發現多重復(fu)雜(za)性（不妨假設中(zhong)國內地(di)人(ren)被騙，在中(zhong)國香港的航空公司官網，給一個從加拿(na)大(da)出發，經香港轉機(ji)，目(mu)的地(di)是(shi)澳(ao)大(da)利亞(ya)的，印度旅(lv)客(ke)，買票），這(zhe)使得協助調查(cha)所(suo)牽涉的合規問題更加復(fu)雜(za)，追溯騙子的路途也(ye)更加困(kun)難。

騙子較以往(wang)案件更加囂張的(de)另外一(yi)個特點(dian)在于，傳統的(de)信用卡犯罪一(yi)般由航空(kong)公司(si)發起(qi)扣(kou)款請求，航空(kong)公司(si)可(ke)以事先根據持卡人填(tian)入(ru)的(de)信息，進行信息核實(shi)——例如檢查持卡人的(de)姓(xing)名是(shi)(shi)(shi)否和乘機人的(de)姓(xing)名一(yi)致，或是(shi)(shi)(shi)信用卡的(de)卡號是(shi)(shi)(shi)否已被拉黑。

這使得哪(na)怕銀行當前未(wei)有拒付，航空公司也(ye)可以將該訂(ding)單視為風險訂(ding)單而有所(suo)準備（例如(ru)：直接(jie)拒絕發(fa)起(qi)扣款請求，并主(zhu)動(dong)拒絕服(fu)務）。

但是(shi)，由(you)于付(fu)款(kuan)(kuan)碼付(fu)款(kuan)(kuan)模式下，航(hang)空(kong)公司發起扣(kou)款(kuan)(kuan)請(qing)求(qiu)時，并無(wu)核(he)實(shi)用戶信(xin)息的渠道。盡管航(hang)空(kong)公司依舊會收集旅客(ke)的賬(zhang)單(dan)地址等信(xin)息，但是(shi)由(you)于掃碼多(duo)數由(you)支付(fu)網關（例如電子錢包(bao)公司的API）處理，航(hang)空(kong)公司無(wu)法提前進行風險評估并主(zhu)動(dong)終止交易(yi)。

而現在電子錢包(bao)的API文檔下，即使支付(fu)(fu)成(cheng)功，回調(diao)結果也(ye)不會顯示(shi)支付(fu)(fu)人的個(ge)人信息（例如支付(fu)(fu)人的姓名），使得航空公司無法在支付(fu)(fu)后驗證是否(fou)退單。這使得此類“騙刷(shua)”案件無法像(xiang)以往的信用卡盜(dao)刷(shua)那樣，通(tong)過(guo)技術手段(duan)攔截。

考(kao)慮到(dao)此類犯罪的特(te)性，我們認為(wei)所(suo)有航空公司(si)，甚(shen)至是在網頁端接受旅(lv)客(ke)掃描付(fu)款(kuan)碼付(fu)款(kuan)，而(er)導致付(fu)款(kuan)設(she)備和訂單(dan)設(she)備分離的企(qi)業（例如(ru)OTA），都有可能被(bei)卷入(ru)此類犯罪中。

事(shi)實上，我(wo)們通(tong)(tong)過(guo)公(gong)司內部自查(cha)，已(yi)經發現有中國(guo)以(yi)外國(guo)家的受害(hai)者，使用馬來西亞等國(guo)可與中國(guo)電子錢包互聯互通(tong)(tong)的電子錢包，支付(fu)涉案的款項(xiang)。

我(wo)們已經提示我(wo)們的航空(kong)公(gong)司客戶，對軟件流程進行必要的修(xiu)改。考慮到這種犯罪的社會影響，我(wo)們認(ren)為防治此類犯罪需要每個(ge)行業參與(yu)者的積極(ji)參與(yu)。

我(wo)們建議(yi)航空公司采取以下的措施(shi)：

1.將電(dian)子錢包(bao)支付限于手(shou)機SDK（也(ye)即(ji)在手(shou)機APP、小程序(xu)支付后直接喚起(qi)）；

2.掃碼付款時(shi)，要求(qiu)支(zhi)付人在手機(ji)端(duan)二次確認行程(cheng)、乘(cheng)機(ji)人等信息； 

3.對電子錢(qian)包施(shi)加支付限(xian)制(zhi)（例如拒絕以中(zhong)國電子錢(qian)包支付并非來往中(zhong)國的航班）。

我(wo)們建議電子錢(qian)包支付(fu)網關（例如微信支付(fu)、支付(fu)寶）采(cai)取(qu)以下(xia)措施(shi)：

1.提(ti)供符合PCI DSS的支付(fu)人(ren)信息校驗(yan)端口（例如信用卡(ka)公(gong)司提(ti)供的地址校驗(yan)服務Address Verification Service AVS），允許商戶校驗(yan)支付(fu)人(ren)的信息（如身份(fen)證號碼(ma)、姓名和(he)手機號碼(ma)）是否和(he)預先收集(ji)、提(ti)供的信息一致(zhi)。

2.允許客戶關(guan)閉電子錢(qian)包的境外線上支付功能(neng)，或為(wei)此(ci)自行設置保護性限(xian)額。

3.在(zai)明顯超出用戶(hu)平(ping)常支(zhi)付(fu)(fu)習慣(guan)的交易（例如據(ju)經偵同志(zhi)反饋，有普通市民支(zhi)付(fu)(fu)五萬元購買商務艙(cang)機票）中，明確(que)收集客戶(hu)的支(zhi)付(fu)(fu)目的。

4.在(zai)掃描(miao)付款(kuan)碼的付款(kuan)窗口中，明確(que)提示(shi)商戶（類(lei)似(si)于Level II）甚至(zhi)是具體商品信(xin)息（Level III）。

同(tong)時我們建議政(zheng)府采取(qu)訂立合(he)理的(de)(de)政(zheng)策指引(yin)，明確使用受害者(zhe)資(zi)金購買機票的(de)(de)旅客是否有(you)配(pei)合(he)調(diao)查(cha)(cha)的(de)(de)義務。這(zhe)將為航(hang)空(kong)公(gong)司(si)提供清楚指引(yin)，以(yi)便航(hang)空(kong)公(gong)司(si)（尤其是外(wai)國航(hang)空(kong)公(gong)司(si)）在合(he)規框(kuang)架下配(pei)合(he)執法(fa)和司(si)法(fa)機關的(de)(de)數據調(diao)查(cha)(cha)請(qing)求。

當(dang)然，我們提(ti)醒各位消費者：航(hang)空公(gong)司通(tong)常是超大型企業，向銀(yin)行(xing)融資一(yi)次(ci)動輒數(shu)百億，早已經是銀(yin)行(xing)的VVIP大客(ke)戶了。航(hang)司向銀(yin)行(xing)貸款(kuan)，利(li)(li)率往往和您存銀(yin)行(xing)的利(li)(li)率持平，何必向您“高息融資”呢？

我(wo)們和(he)我(wo)們的客(ke)戶(hu)熱愛航空行業。保護(hu)旅(lv)客(ke)的順(shun)利出(chu)行和(he)個人信息安全，是(shi)(shi)我(wo)們對(dui)旅(lv)客(ke)的莊嚴承諾；而保護(hu)自身免于淪為騙子的洗(xi)錢工(gong)具，則(ze)是(shi)(shi)我(wo)們作為企業公民應盡的責任。

*本文僅代表作者觀點，不(bu)代表環球旅訊(xun)立(li)場。