当客户以电邮要求更改帐户资料，或要求向第三者提款时，证监会期望持牌法团执行什么核实？

横向滑动可查看完整表格

证监会为何发出通函 25EC32

通函 25EC32（2025 年 6 月 6 日）《检视有关保障客户资产的内部监控措施》，分享证监会于 2024 年就选定的中小型证券经纪行的客户帐户所进行的确认工作及内部监控检视（在外聘顾问协助下，对 12 家经纪行作现场视察）的主要发现，并载述从举报的挪用资产个案中归纳的预警迹象（附录 1）及应达到的监管标准（附录 2）。

诈骗手法如出一辙。骗徒冒充客户：以伪冒或极为相似的电邮地址（一宗个案以 contact@domainn.com 冒充真实的 contact@domain.com）或入侵客户的电邮帐户发出指示；又或伪冒客户签名，透过邮寄、传真或电邮发出伪造的书面指示。这些指示通常先更改客户资料——电话号码、电邮或通讯地址——以截取户口结单，继而转移资产：大额交易、将证券转移至第三者帐户、由第三者领取实物股票，或把款项转移至第三者银行帐户或声称以客户名义开立但由骗徒操控的非指定银行帐户。

通函把上述责任建基于持牌法团的既有义务：制定妥善的内部监控措施，保障其运作及客户免因偷窃、欺诈及其他不诚实行为而招致财政损失（《操守准则》第 4.3 段）。

(a) 更改客户资料

持牌法团应审慎处理更改客户资料的要求——通讯地址、电邮地址、电话号码、指定银行帐户、授权代表——并以客户的书面授权作为凭证。即使更改指示上看似附有客户的签名，仍须核实要求者的身分及签名式样，因为签名可能由骗徒伪冒而成。

• 独立核实。至少以合理的抽样方式，或在不确定要求是否来自客户时，透过正式记录内客户的其他登记联络资料，直接与客户核实。
• 确认通知。在接获更改要求时及在作出更改后，迅速向未经更改的登记地址、电子邮箱或流动电话发送确认通知。
• 异常情况筛查。将新联络资料与客户资料库对比，识别共用或相似模式。附录 2 的例子：新电邮地址的用户名称或域名并不寻常（以 mahjong123@domain.com 取代 clientname@domain.com）；新银行帐户虽以客户名义开立，却设于其通常居住或工作地点以外的国家；新通讯地址、电邮地址或电话号码与其他客户的相同或非常相似。
• 程序监控。就更改客户资料库实施输入与核对的分工监控，并由独立于作出更改的指定职员定期检视系统稽查记录。

(b) 电邮指示

每项电邮指示——交易指令、资产转移或更改客户资料——都应视为带有被入侵的风险：客户的电邮帐户可能已被骗徒入侵或盗用。持牌法团应实施政策及程序，以应对接纳电邮指示所带来的风险。

• 将要求者的电邮地址与持牌法团的正式记录核对。
• 对可疑电邮指示，及交易金额超过合理门槛的要求，应采取额外步骤核实真实性——例如透过客户的其他登记联络资料向客户确认指示。切勿以直接回复同一电邮作核实。
• 向职员提供充分指引及定期培训，提高识别电邮骗案的警觉性；证监会的商业电邮骗案通函（22EC25）载述了预期的处理方式。

(c) 第三者提款及实物股票

第三者交易涉及较高的资产挪用、洗钱及其他严重失当行为风险。持牌法团应采纳尽量拒绝第三者存款及付款的政策，仅在特殊及合法的情况下，并在合理地符合客户的概况及一般商业作业手法时，经适当尽职审查及获得管理层批准后，才可接纳（另见通函 19EC39）。

在客户所提取的款项或证券转移予第三者，或由第三者代客户领取实物股票之前，持牌法团应与客户直接确认有关要求的真实性——例如按客户的登记电话号码致电客户——并对照客户的书面授权，核实代客行事的第三者的身分。

实务界线

三条运作规则贯穿上述三个范畴：

• 切勿透过来件渠道核实——不可回复载有要求的电邮，亦不可使用要求中提供的新电话号码或地址。附录 1 一宗个案中，交收部职员致电骗徒提供的新流动电话号码「确认」更改资料要求，结果被骗。
• 输入与核对的分工，加上独立稽查记录检视。任何职员不得同时输入及批准客户资料库的更改；系统稽查记录须由独立于作出更改的职员定期检视。
• 前线职员不处理资产调动。交易人员及客户主任不应处理与交易无关的事宜——资金或证券的存取指示、更改客户资料——除非设有补偿监控措施，例如由后勤交收部职员直接向客户核实由客户主任传送的指示（附录 2 第 7 项）。

本答案的范围

通函 25EC32 亦涵盖银行帐户的操作（获授权签署人安排；考虑规定银行付款须由两名或以上获授权签署人共同执行）及不动帐户（帐户在一段不超过 24 个月的时间内并无客户发起的交易及资产活动，应归纳为不动帐户并密切监察）。两者属同一通函下的相关范畴，但不在本问题范围之内。本文仅概述核实要求，并非《证券及期货条例》第 180 条视察的指引。