法規與監理 2025年1月

川普2.0 慎防洗錢資金移台

新加坡強化防範洗錢
撰文:高永謀

爭奪亞洲資產管理中心寶座,香港、新加坡角力多年,早年,較晚脫離英國統治的香港略居上風,但在美國、中國貿易戰開打後,可觀的資金從香港撤出,避免遭貿易戰波及,大多數資金皆轉進新加坡,大幅提升新加坡在國際金融市場的地位。

洗錢案頻仍促使星國修改法規

然而,並非所有從香港轉進新加坡的外資都是乾淨的,也包含諸多來路不正的「黑錢」。「黑錢」大舉湧入,讓新加坡既登頂亞洲資產管理中心,也成為亞洲金融犯罪中心。自2023年起,新加坡持續強化洗錢管制力度,並制定《反洗錢與其他事務法案》(AntiMoney Laundering and Other Matters Bill),以期遏止日益猖獗的洗錢案例,維護新加坡的金融秩序。

就在2023年8月,新加坡破獲該國有史以來最大的洗錢案,逮捕10名中國人,沒收數十輛汽車、上百處房地產,與數量龐大的名牌包包、手錶、紅酒、現金。這些中國罪犯入境新加坡時,分別持柬埔寨等多國的護照。他們被捕的事由為:從事網路賭博、電信詐騙,並涉及洗錢,總金額高達22億2千多萬美元。

而在新加坡警方採取行動前,2名同樣來自中國的嫌疑犯,已潛逃至他國。2024年7月,10名涉案者皆已刑滿,並遭新加坡政府驅逐出境。1個月後,新加坡法院起訴此案3名涉案人,罪名為協助洗錢,其中包括2名中國籍的前銀行行員。此件洗錢案牽連範圍甚廣,波及多家銀行、房地產商、貴金屬交易商與頂級高爾夫俱樂部。

近年來,新加坡大大小小洗錢案層出不窮,此案因金額龐大,因此備受媒體、民眾關注。此案被揭露後,效應現仍持續發酵。此後,新加坡銀行業更加嚴格審查新客戶資格,特別是原籍中國者,現在外資新創公司申請開立銀行帳戶,至少得等上2至3個月,最久可能得等上1年。

外籍人士在星創業門檻提高

當下,沒有新加坡籍的外籍人士,若要在新加坡成立企業,必須尋求律師事務所、會計師事務所協助註冊。而且,新創公司得向新加坡政府「會計與企業管制局」註冊「商業實體」(Business Entity),才能憑「機構識別號碼」(UEN)等資料,向銀行申辦帳戶。

近期,新加坡政府陸續研擬、制定多項防洗錢法規。2023年11月,新加坡政府研擬《公司服務供應商法案》,加強監管代名董事和股東,規範其未來得向會計與企業管制局(ACRA)揭露代名身分,並開放民眾查詢,以提高企業透明度。

2024年7月,新加坡政府再度強化反洗錢力道,重要興革事項包括:「檢察官只需證明被告知曉或有合理動機處理犯罪所得,即可構成洗錢犯罪」、「將非法採礦、非法砍伐和廢物走私,視為新加坡洗錢犯罪的前置犯罪」、「新加坡稅務機構將可與可疑交易報告辦公室(STRO)共享稅務、貿易數據」及「洗錢犯罪逃亡者若要申請歸還被扣押財產,必須親自向新加坡政府申請」。

為進一步防杜洗錢,2024年8月,新加坡國會通過《反洗錢與其他事務法案》,並同時修訂《貪汙、販毒與其他嚴重罪行(利益充公)法》,與所得稅、消費稅、進出口管制相關法令,再次提升打擊洗錢犯罪量能。

中國犯罪集團主導星國洗錢案

《反洗錢與其他事務法案》內容有3大重點,首先是授權新加坡執法機構,不必等到完整掌握洗錢案贓款的流向,即可制裁洗錢者與協助洗錢者,其次為警方、檢方在洗錢案結案前,可向法院申請,販售有貶值疑慮或維護費高昂的資產,如汽車、遊艇與經濟動物等。

由於洗錢案多與中國犯罪集團有關,新加坡政府積極打擊洗錢犯罪,嚴格管控金融秩序,受影響最大的,當是將資金移往新加坡的中國企業、富豪。如果其資金來源不正,這些中國企業、富豪移轉資金的最佳城市,自是已被中國實質統治的香港,而非其他同樣嚴格防制洗錢的國家,包括台灣。

但近年來,中國透過施行《國安法》、《基本法》第23條,強化對香港的控制,若干曾在香港設立據點的外商相繼撤離,昔日國際金融重鎮的風華已逐漸褪色。如今,香港已成中國、俄羅斯的洗錢基地,加速劣幣驅逐良幣的趨勢。現已有美國智庫學者呼籲,美國企業應盡速結束在香港的業務,以免遭池魚之殃。

昔日中國資金從香港出逃,南進新加坡,起因為川普入主美國白宮,一改前幾任美國總統寬待中國的作風,開啟迄今尚未停歇的美中貿易戰。讓中國企業、富豪尷尬的是,到了2024年,上次總統大選慘遭滑鐵盧的川普,再度贏得總統大選,即將回任美國總統,勢必將延展美中貿易戰戰線,且美方戰火恐將更為猛烈。

川普2.0時代 應防範中國金融犯罪集團來台

縱使新加坡、香港都不再是金融天堂,大多數中國資金也不會回到中國。因為,受美中貿易戰衝擊,中國經濟現已大不如前,川普「回鍋」後必將雪上加霜,實非投資或投機理想之地,加上之前幾位中國富豪無端銷聲匿跡,更讓欲從新加坡出走的中國企業、富豪投鼠忌器。

台灣應提防的是,若干中國資金偽裝成外資來台,繼續從事洗錢犯罪,危害台灣金融秩序。而且,此事可能已非未來式,而是現在進行式,更令人憂心的是,還會有不肖台灣人被利益誘惑,包括現擁有台灣國籍的前中國人,成為中國金融犯罪集團的人頭、幫兇,讓洗錢防制更加困難。

台灣應努力的是,當想方設法突破外交限制,與其他國家建立洗錢犯罪聯防機制,彼此交換相關資訊、情報,以利主管機構、金融機構加強防範。政府亦應借鏡新加坡等國的制度、法規修正,防止國際洗錢犯罪團體滲透。(本文作者為自由撰稿者,長期耕耘於經濟與金融議題)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)