First Horizon Bank近期面临的两起诉讼，均涉及冒充企业客户、以“更换了新iPhone”为由要求客服重新发放安全令牌，随后发起大额电汇。两案涉及的转账金额合计超过2400万美元，其中一部分资金仍未追回；诉讼也将银行客服身份核验、企业账户安全设置以及银行是否及时识别相似诈骗联系在一起。
两家公司账户在两天内转出650万美元
佛罗里达州奥兰多地区企业K&A Rosario Holdings和MJR Fund于今年5月在奥兰多联邦法院起诉First Horizon。诉状称，3月3日，一名来电者自称是管理K&A并负责MJR的Misael Rosario，表示自己“换了一部iPhone 14”，需要重新获取访问企业账户的安全令牌。
First Horizon客服随后为其重新发放令牌。根据银行的企业账户设置指南，安全令牌加载到手机应用后，每60秒生成一个新代码；企业客户需要同时使用该代码和密码才能发起付款。
大约80分钟后，其中一个账户发起了6笔电汇，总额达到485万美元。到3月5日，两家公司的账户合计有12笔电汇流出，总额约650万美元。诉状称，超过450万美元目前仍未追回。
K&A和MJR的代理律师Victor Velarde表示，两家公司并不清楚来电者如何获得网上银行登录凭据。诉状还称，来电号码来自加州，而两家企业的管理人员居住在佛罗里达州，并且此前只向银行登记过佛州电话号码。来电者在念出Rosario的名字时还出现了两种不同发音。
律师事务所此前发生1730万美元转账
大约五周前，佛罗里达州棕榈滩的律师事务所Rabideau Klein也发生了类似事件。另一份诉状称，一名来电者使用同样的“新iPhone”说法，要求银行重新发放安全令牌。数小时内，律师事务所托管账户有13笔电汇流出，总额约1730万美元。
诉状称，该账户存放着房地产交易托管资金。律师事务所已经追回约1070万美元，仍有约655万美元未追回。
这起事件开始于1月27日。一封钓鱼邮件让攻击者进入律师事务所的一个Microsoft 365邮箱账户。第二天，攻击者又说服电话服务商将律所电话转接至其控制的号码。当晚，他通过First Horizon网上银行的“忘记用户ID或密码”功能重置Guy Rabideau的密码，并获得了Rabideau的用户ID。
随后，攻击者致电银行，自称Rabideau并要求重新发放令牌。银行客服询问账户号码时，来电者先表示正在寻找“他们的”账户号码，之后提供了相关信息。他还给出与银行记录不完全一致的企业名称、Rabideau社会安全号码后四位，以及银行网站刚刚显示的用户ID。
在转接至银行资金管理部门后，另一名客服要求核对用户ID、全名、电子邮箱和账户号码后四位，并提出向律所登记的电话号码发送验证码。来电者要求改用语音电话接收验证码，客服同意后，验证码电话被转接到了攻击者手中。银行随后通过电子邮件发送令牌激活链接，攻击者也截获了该链接。
诉状称，银行日志记录到接下来数小时内从芝加哥发起的登录。攻击者还以Rabideau名义创建了第二个用户ID，绑定自己的邮箱和电话号码，并切断律所另外4名员工的网上银行访问权限。
两起案件的电汇都包含向同一家企业Shaoxing Fanshun Import and Export付款的记录。K&A诉状称，其账户有4笔、总额229万美元的转账流向该公司。两家企业之间是否存在其他关联，目前诉讼材料没有给出说明。
First Horizon称系统和控制措施正常运作
总部位于田纳西州孟菲斯的First Horizon否认其在Rabideau Klein案件中未能有效防范风险，并正在应对两起诉讼。银行发言人表示，相关“系统、控制措施和保护机制均按预期运作”；对于K&A和MJR案件，银行表示将积极抗辩。
在Rabideau Klein案件中，First Horizon将损失归因于律所自身的安全问题。银行称，钓鱼邮件是事件起点，律所还拒绝了银行此前建议采用的电汇双人审批控制。该控制要求第二名用户在每笔电汇发出前进行确认，律所提交的文件显示，其曾签署表格拒绝启用这一功能。
Velarde表示，K&A和MJR没有主动放弃任何安全程序，但没有说明两家公司是否使用双人审批。First Horizon尚未公开说明其如何核验要求重新发放安全令牌的来电者，也没有说明1月事件后是否调整了相关流程。
银行是否已掌握相似诈骗线索
K&A和MJR在诉讼中提出，First Horizon在3月前可能已经知道类似手法。诉状称，1月29日Rabideau Klein报告诈骗后，银行已经“实际知悉”有人通过声称更换iPhone进入客户账户，并且流向Shaoxing Fanshun的电汇涉嫌欺诈。
K&A方面认为，这些事实可能影响银行安全程序是否达到《统一商法典》第4A条所要求的“商业上合理”标准。该条款通常适用于电汇责任分配：如果未经授权的电汇发生，银行一般可能承担损失；但如果银行诚信行事，并依照客户同意的、商业上合理的安全程序操作，责任安排可能不同。
First Horizon已申请删除K&A诉状中的相关指控，称原告律师从其他无关诉讼中搬用了这些内容，认为其与本案无关且不适当。K&A方面则援引一项2012年的法院裁决，主张银行若未根据自身掌握的欺诈警示采取行动，可能影响对其安全程序合理性的判断。
监管指引强调登记号码和系统核验
联邦金融机构审查委员会在2021年发布的指引中，曾提醒银行关注客服和IT帮助台被社会工程攻击利用的风险。指引列出的控制措施包括：将一次性验证码发送至预先登记的通信设备、回拨客户预先登记的电话号码、标记无法识别的来电号码，以及针对电话号码或运营商变更设置专门流程。
Rabideau Klein案件中，银行确实向律所登记号码发送了验证码，但攻击者此前已经说服电话服务商将该号码转接给自己。这显示，仅向登记号码发送验证码并不一定能确认实际接收者仍是客户本人。
Datos Insights负责欺诈与反洗钱业务的战略顾问Jim Mortensen表示，仅依靠拼写姓名、提供社会安全号码后四位等知识型问答，已不足以满足当前的最佳实践。对于企业客户重新申请安全令牌，他建议银行应回拨登记号码，并要求客户第二名管理员确认。
Mortensen指出，当重置批准主要依赖客服人员的判断，而不是由系统完成身份核验时，社会工程攻击就更容易奏效。当前两起诉讼的争议，最终仍将取决于法院如何认定First Horizon当时采取的核验措施、客户安全设置以及银行对重复诈骗线索的掌握程度。