First Horizon Bank因兩宗企業帳戶電匯詐騙案遭到起訴。訴訟指稱，冒充客戶的來電者聲稱更換了iPhone，要求客服重新發放安全令牌，之後轉走合計逾2,400萬美元；部分資金至今未追回。案件焦點包括銀行如何核實重發令牌的要求、企業帳戶採用哪些安全設定，以及銀行是否及時留意到相似的詐騙手法。
兩家企業兩天內遭轉走約650萬美元
佛羅里達州奧蘭多的K&A Rosario Holdings與MJR Fund於今年5月在奧蘭多聯邦法院控告First Horizon。訴狀稱，3月3日，一名來電者自稱是K&A管理人、並負責MJR的Misael Rosario，表示自己「換了一部iPhone 14」，需要重新取得企業帳戶的安全令牌。
First Horizon客服隨後重新發放令牌。銀行的企業帳戶設定指南說明，安全令牌載入手機應用程式後，每60秒會產生一組新代碼；企業客戶須同時輸入該代碼和密碼，才能發起付款。
約80分鐘後，其中一個帳戶發出6筆電匯，總額達485萬美元。截至3月5日，兩家公司帳戶合計有12筆電匯流出，金額約650萬美元。訴狀表示，逾450萬美元仍未追回。
代表K&A與MJR的律師Victor Velarde表示，兩家公司不清楚來電者如何取得網上銀行登入資料。訴狀另稱，來電號碼來自加州，而兩家企業的管理人員居於佛羅里達州，先前只向銀行登記佛州電話號碼。來電者唸出Rosario的姓名時，也出現兩種不同的發音。
律師事務所托管帳戶遭轉走約1,730萬美元
約五週前，佛羅里達州棕櫚灘的律師事務所Rabideau Klein也遇到類似事件。另一宗訴訟稱，一名來電者同樣以「換了新iPhone」為由，要求銀行重新發放安全令牌。數小時內，律師事務所托管帳戶有13筆電匯流出，總額約1,730萬美元。
該帳戶存放房地產交易托管款項。律師事務所已追回約1,070萬美元，仍有約655萬美元未追回。
事件始於1月27日：一封網絡釣魚電郵讓攻擊者進入律師事務所一個Microsoft 365郵箱帳戶。翌日，攻擊者又說服電話服務商，將律所電話轉接至其控制的號碼。當晚，他透過First Horizon網上銀行的「忘記使用者ID或密碼」功能重設Guy Rabideau的密碼，並取得其使用者ID。
攻擊者其後致電銀行，自稱Rabideau並要求重發令牌。客服詢問帳戶號碼時，來電者先稱正在找「他們的」帳戶號碼，之後才提供相關資料。他也報出與銀行紀錄不完全相符的企業名稱、Rabideau社會安全號碼末四位，以及銀行網站剛顯示的使用者ID。
電話轉接至銀行資金管理部門後，另一名客服要求核對使用者ID、全名、電郵地址及帳戶號碼末四位，並提出向律所登記電話發送驗證碼。來電者要求改以語音電話接收，客服同意後，驗證電話被轉接至攻擊者手中。銀行隨後以電郵發送令牌啟用連結，攻擊者亦截取了該連結。
訴狀稱，銀行紀錄顯示，接下來數小時內有登入從芝加哥發起。攻擊者還冒用Rabideau名義建立第二個使用者ID，綁定自己的電郵及電話號碼，並切斷律所另外4名員工的網上銀行存取權限。
兩宗案件的電匯紀錄均包括支付給同一家企業Shaoxing Fanshun Import and Export的款項。K&A的訴狀稱，其帳戶有4筆、總額229萬美元的轉帳匯往該公司。訴訟文件未說明兩家企業之間是否另有關聯。
First Horizon稱防護措施按預期運作
總部位於田納西州孟菲斯的First Horizon否認在Rabideau Klein案中未能有效防範風險，目前正應對兩宗訴訟。銀行發言人表示，相關「系統、控制措施和防護機制均按預期運作」；對於K&A與MJR的案件，銀行稱將積極抗辯。
在Rabideau Klein案中，First Horizon將損失歸因於律所自身的安全問題。銀行稱，網絡釣魚電郵是事件起點，律所也拒絕採用銀行先前建議的電匯雙人核准控制。依照該控制，每筆電匯發出前須由第二名使用者確認；律所提交的文件顯示，該所曾簽署表格，拒絕啟用這項功能。
Velarde表示，K&A與MJR並未主動放棄任何安全程序，但未說明兩家公司是否採用雙人核准。First Horizon尚未公開說明如何核實要求重發安全令牌的來電者，也未交代1月事件後是否調整相關流程。
訴訟質疑銀行是否掌握相似詐騙線索
K&A與MJR在訴訟中主張，First Horizon在3月前可能已知悉類似手法。訴狀稱，Rabideau Klein於1月29日通報詐騙後，銀行已「實際知悉」有人以更換iPhone為由登入客戶帳戶，且匯往Shaoxing Fanshun的電匯涉嫌詐欺。
K&A方面認為，這些情況可能影響銀行的安全程序是否符合《統一商法典》第4A條所稱的「商業上合理」標準。該條款通常適用於電匯責任分配：若發生未經授權的電匯，銀行一般可能須承擔損失；但若銀行秉持誠信，並依照客戶同意且具商業合理性的安全程序辦理，責任安排可能有所不同。
First Horizon已申請刪除K&A訴狀中的相關指控，稱原告律師從其他無關訴訟引用內容，認為這些主張與本案無關且不恰當。K&A則援引2012年的一項法院裁決，主張銀行若未因應自身掌握的詐騙警示，可能影響法院對其安全程序合理性的判斷。
2021年監管指引列出電話核驗措施
聯邦金融機構審查委員會於2021年發布指引，提醒銀行留意客服及IT支援部門遭社交工程攻擊利用的風險。指引列出的控制措施包括：將一次性驗證碼發送至預先登記的通訊裝置、回撥客戶預先登記的電話、標記無法識別的來電號碼，以及針對電話號碼或電信業者變更設置專門流程。
Rabideau Klein案中，銀行確實把驗證碼發送至律所登記的電話號碼，但攻擊者此前已說服電話服務商將該號碼轉接給自己。這起事件顯示，單靠向登記號碼發送驗證碼，未必能確認實際接收者仍是客戶本人。
Datos Insights負責詐欺與反洗錢業務的策略顧問Jim Mortensen表示，僅以拼寫姓名、提供社會安全號碼末四位等知識型問題核身，已不足以符合現行最佳實務。對於企業客戶申請重發安全令牌，他建議銀行應回撥登記電話，並要求客戶的第二名管理員確認。
Mortensen指出，若重設核准主要依賴客服人員判斷，而非由系統進行身分核驗，社交工程攻擊就較容易得手。兩宗訴訟的爭議，最終仍取決於法院如何評估First Horizon當時採取的核驗措施、客戶的安全設定，以及銀行對重複出現的詐騙線索掌握到何種程度。