解读｜FATF 发布报告《打击与诈骗窝点相关的全链条非法资金流动》

2026 年 11 月 5 日，金融行动特别工作组(FATF) 发布报告《打击与诈骗窝点相关的全链条非法资金流动》(Combating End-to-End Illicit Financial Flows Linked to Scam Compounds)，分析诈骗窝点如何运作，以及犯罪所得如何产生、转移、洗白并再次投入犯罪活动。FATF 将诈骗窝点称为全球扩张较快的有组织犯罪形态之一，并估计其每年造成数百亿美元级损失。配套文件《打击与诈骗窝点相关非法金融流动的 FATF 原则》(FATF Principles for Combating Illicit Financial Flows Linked to Scam Compounds) 则将应对方向归纳为六项原则。

报告指出，诈骗窝点正从大型实体场所扩展为分散、流动的网络，背后往往连接诈骗、人口贩运与强迫犯罪、洗钱、腐败以及各类专业服务。配套原则文件引用的估算称，全球诈骗每年造成的损失约为 5000 亿美元；这是广义诈骗的估算，并非诈骗窝点单独造成的损失。

以下内容均来自于 FATF 发布的报告，慢雾(SlowMist) 仅作翻译与解读，供读者快速了解信息，不代表慢雾(SlowMist) 对报告内容、观点或结论的任何立场。

原文链接：https://www.fatf-gafi.org/en/news/combating-illicit-financial-flows-linked-to-scam-compounds.html

诈骗窝点更像网络中的一个运营节点

理解这份报告，需要先抓住一个判断：不要把诈骗窝点只看成“发生诈骗的地点”。它更像一个犯罪网络的运营节点：有人负责招募和控制人员，有人搭建诈骗平台、联系受害者，有人处理收款和洗钱，还有人提供账户、通信、虚拟资产兑换等专业服务。上述功能可以由同一团伙包办，也可以拆分给不同组织和服务商。

这种分工让网络更难识别，也更容易在遭到打击后迁移。大型园区可能被拆成公寓、办公室或短租场所里的小团队；招募、诈骗、收款和洗钱也可能分布在不同国家。报告因此建议从地点和单笔交易往外看，进一步追查共同控制者、共用基础设施和关键服务商。

诈骗网络要先投入资金搭建场地和通信设施、招募人员、购买数据或广告，再通过投资诈骗、冒充等方式收款。受害者的钱可能先进入个人或公司账户，也可能经由骡子账户、电子钱包、虚拟资产、地下银行或赌博平台转手；之后被提现、兑换或买成房产、车辆和奢侈品。部分收益归控制者所有，另一部分又被投入招募、设备、场地和下一轮诈骗。

主收入通常来自投资诈骗，包括先建立信任、再诱导受害者逐步加码的关系型诈骗，以及伪造交易仪表盘、展示虚假收益并阻止提现的投资平台。其他相关收入可能来自招募费、转卖人员、克扣工资、赎金或释放费、追偿退款骗局、线上赌博和其他非法服务。犯罪网络还可能出售被盗数据、诈骗工具、地下银行或洗钱服务。

运营成本本身也能成为上游线索，例如工资和人数不匹配、批量预付 SIM 卡、域名托管和云计算支出、土地建筑、招聘交通、安保、贿赂以及向账户提供者和洗钱服务商支付的报酬。随着经营分散，集中场所的大额账单可能减少，取而代之的是不同地点和服务商承担的小额支出。

FATF 用七个阶段描述这条链：建立运营条件、招募人员和锁定受害者、实施诈骗、收款、分层转移、套现整合、获利并再投资。它是分析框架，不是每个案件都会照着走的固定流程。资金也可能跳过某些环节，或者在不同阶段之间反复流动。

报告指出，现金仍是各地问卷中最常见的资金渠道之一；非正式汇款和地下银行也很重要。与此同时，银行和支付机构、电子钱包、虚拟资产服务商、P2P 交易和稳定币都可能被利用。报告没有把虚拟资产说成唯一或必然的主要渠道，调查需要结合当地情况，看清钱实际从哪里来、经过哪些账户和服务。

此外，报告将大型语言模型、聊天机器人、语音克隆、深度伪造和自动化脚本视为诈骗规模与适应能力的放大器：可降低内容本地化、翻译和变体测试的边际成本，支持精准锁定、身份生成、后台管理或诈骗话术调整。它也指出， 自动化可能改变劳动力需求，部分运营未来或较少依赖庞大受胁迫劳动力，而更依赖稳定电力、 网络、算力和数字基础设施。关于“代理型 AI”可自主规划、执行多步任务的风险，报告使用的是前瞻性表述 ，建议持续监测，并同时关注被恶意内容、虚假网站或工具链操纵的潜在新弱点。

这些网络依赖什么，又会在哪里出现

窝点活动并不只发生在一种固定环境。报告问卷中，边境通道和用于转移人员、现金、物资的物流路径最常被提及；其后是政府控制或监督不足、腐败，特别经济区或自由贸易区出现频率相对较低。报告特别提醒，这些因素要结合具体情境判断：特别经济区本身并不等于监管薄弱，普通城市的住宅、酒店、办公场所也可能被用来开展诈骗。

赌场、线上赌博、酒店及相关设施可能同时提供经营场所、商业掩护或资金转移功能；代持人、空壳和前台公司、名义雇主及专业中介可能隐匿实际控制关系。腐败或保护网络还可能帮助犯罪团体取得场地、许可、安保或提前获知执法行动。报告并未把这些特征视为每个窝点都会具备的“画像”，而是建议结合控制关系、资金流和运营支出逐项查证。

前面谈到的经营和支持网络，最终都要落到资金上。报告把诈骗窝点看作一门会持续产生、转移、洗白并再投入资金的犯罪生意，并用七个阶段帮助读者梳理这条链：

阶段 1，设立运营场所及支持基础设施：场地、建筑、通信与 IT、招聘、运输、文件、 安保、贿赂、前台公司及金融/洗钱渠道等投入。

阶段 2，获取劳动力和受害者：假招聘、跨境运输、住房或签证安排及强迫犯罪，与通过社交媒体、约会软件、虚假投资平台或线上赌博渠道锁定线上受害者并行。

阶段 3，实施诈骗并提取收入：投资、 冒充、 网络钓鱼、商业邮件诈骗、赌博相关骗局、赎金、追偿退款骗局等；受害者可能遭遇反复“充值、税费、解锁、提现”要求，或被诱导授权钱包代币转移。

阶段 4，收款和初始投放：资金进入个人、公司或骡子控制的银行账户、 电子钱包或虚拟资产钱包，也可能由受害者交付现金、贵金属、礼品卡，或通过代购高价值商品实现变现；报告引述某些案件资金两分钟内即被转移。

阶段 5，分层和掩饰：经骡子网络、公司账户、 电子钱包、P2P 虚拟资产、无牌 MVTS、OTC、 离岸 VASP、地下银行、跨链桥、混币服务、链间转换、加密货币 ATM 或赌博平台转移。地下银行可通过不同辖区的对应支付交付等值款项，减少直接跨境转账。

受害者常在操纵下亲自授权付款，因此付款本身未必显得异常。付款机构可能只看到一笔普通转账，收款机构可能看到资金迅速汇集或提现，却不了解受害者被骗的过程。报告以泰国经验说明这种时间差：资金可能在 3 至 5 分钟内离开金融体系，而受害者平均约 20 小时后才意识到受骗。可疑交易报告对后续金融情报和调查有用，但通常无法单独充当实时止付机制。

处置还受到信息割裂、跨境权限和证据要求的影响。平台、电信公司、银行、执法机关和受害者支持机构各自看到的只是局部；即使共享了线索，也要能核实来源、补足上下文，并送达能采取行动的主体。多辖区案件还涉及司法协助、境外数据保全、虚拟资产追踪、公司受益所有权和受害者筛查。冻结账户只是中间环节，之后是否没收、追回并返还，取决于不同法律程序。

讲到应对措施，报告把行动分成上游和下游。 上游是找出并干扰窝点赖以建立、维持和扩张的条件，比如招聘、广告、 电信、域名、托管、虚假平台、场地和专业服务；下游则盯住受害者付款和诈骗所得，包括拦截或召回付款、追踪骡子账户和钱包、保全资产，并推动冻结、没收、追回和返还。所谓“ 支付窗口”，就是钱刚付出去、还没来得及转走或套现的那段短暂时间。调查本身可以同时覆盖上下游。因此，报告提出的是组合式行动方向， 而非宣称已有某个单一机构模式或技术方案被证明最优。

原则一：打击范围要覆盖更大的犯罪网络。

调查重点应延伸到控制者、招募者、洗钱服务商，以及多个诈骗单元共用的账户、平台和通信设施。只处理现场或低层执行者，未必能让网络失去运作能力。

原则二：从招募和锁定受害者一路追到资产追回。

行动不应等钱进入银行或虚拟资产渠道后才开始。招募、广告和受害者接触也可能留下早期信号；收款后则要尽快追踪资金、保全资产，并依法推动没收和返还。

原则三：把金融、技术和电信线索接起来。

银行、支付机构、平台和电信服务商各自掌握一部分线索。原则文件主张跨部门协作，让这些信息在合法依据、隐私保护和清晰处置流程下变成可行动的情报。

原则四：跨境行动要赶在资金失去可控之前。

资金跨账户、资产和司法辖区转移可能只需几分钟。各方需要预先建立联络人和快速响应渠道，尽早把线索送到能够止付或保全资金的机构；后续仍须按适用法律完成调查和司法程序。

原则五：把受害者保护作为行动本身的一部分。

应提供容易使用的报案渠道，识别和保护被贩运、被胁迫人员，并设置不处罚保障。保护不应以受害者提供情报或配合调查为交换条件。

原则六：要看长期效果，也要留意犯罪转移。

一次突袭、关停网站或冻结账户，可能让犯罪活动转移到新地点、新平台或新服务商。评估应关注诈骗损失是否减少、资金是否更难转移、关键服务能力是否持续受损，而不只统计逮捕或关停数量。

报告归纳了六类协作安排：国内反诈骗中心、多机构工作组或联合行动团队、共享诈骗数据平台、快速响应和资产保全网络、跨境金融情报与执法网络，以及连接现有平台的“网络之网络”。这些安排不要求各地照搬同一种模式，重点是事先说清谁掌握何种信息、谁能采取什么行动、信息如何合法交接、响应时限和升级条件是什么。

报告列举了印度 I4C、澳大利亚 FIRESTORM、印尼 IASC、马来西亚 NSRC、新加坡 FRONTIER+ 及中国香港反诈骗协调中心等案例。跨境机制还包括 INTERPOL 行动、Europol 快速响应协议试点和 Egmont 网络的快速响应渠道。INTERPOL Silver Notice 可协助识别、追踪和监测境外犯罪资产，但本身不产生冻结或没收的法律依据；后续措施仍须依据国内法或正式合作机制。

具体可以怎么做

风险评估和网络绘图可先标出一个司法辖区在网络中的位置：它可能是窝点所在地、受害者来源地、招募或过境地、洗钱地、资产持有地，也可能托管关键数字设施。把金融交易与广告、招募、电信和数字线索放在一起，有助于识别共同控制者、共用账户、运营开支、受益所有权和专业中介。诈骗分类还应记录付款方式、受害者是否受操纵授权、网络关联和资金回收状态，方便不同机构识别同一诈骗活动。

共享数据机制需要明确法律依据、使用目的、参与者、共同字段、数据来源和质量、保留期限、纠错复核及安全控制。法国 IBAN 欺诈登记、韩国 ASAP 平台和英国 Scam Signals 等案例展示了跨机构共享风险信号的不同做法。若信息可能导致账户限制等不利后果，应设置准确性要求和复核渠道；部分平台公布的效果数据也并非诈骗窝点专属。

快速响应机制可设全天候联络点、请求模板、升级标准和响应时限，让线索尽快到达能控制付款、账户或钱包的金融机构、VASP 或稳定币发行方。报告特别强调发现或报告后的最初 24 至 72 小时，对追踪、追回和返还尤为重要。可采取警示、暂停、止付、召回、账户或钱包限制以及临时保全等措施；后续冻结和没收仍须依法处理。

上游干扰可以针对经识别的诈骗广告、恶意域名、虚假网站或应用、批量 SIM 设施、托管和后台基础设施。采取下架或封锁措施时，应尽量保全设备、域名、广告付款和联系渠道等证据，并留意犯罪活动是否转移到继任设施。骡子账户调查则要区分知情参与者与受骗、受胁迫人员，结合设备、地点、转账时间、提现模式和多代账户链识别关系，避免不必要的金融排斥。

公司和受益所有权分析可追查代持人、空壳或前台企业、共同董事和地址、跨境所有权链及继任实体。电子证据需及时保全并维持证据链；虚拟资产追踪也不宜只凭链上标签判断，钱包归属和地址聚类应有可检验方法，并与 VASP 客户信息、法币出入金、设备通信和公司记录交叉核验。

案例：哪些做法已经出现，哪些仍有边界

报告附录汇集了不同司法辖区的调查和协作案例。美国和英国针对 Prince Group 等组织的协同行动，将制裁、资产扣押（报告称扣押资产超过 150 亿美元）与公司及领导层调查结合起来；中国香港警方与中国台湾执法机构则分别针对为诈骗窝点提供电信服务的共用基础设施采取行动。这些案例体现了沿共享服务和控制关系向网络上游调查的思路。

美国跨部门 Scam Center Strike Force 在一次“Disruption Week”行动中，扰乱约 140 万个社交媒体及电子邮件账号和恶意网络基础设施，支持泰国的逮捕行动，并促成超过 380 万美元虚拟资产的自愿冻结。印尼反诈骗中心(IASC) 在 2024 年 11 月至 2026 年 9 月间封锁超过 70 万个账户，并向受害者返还约 1155 万美元。英国 Scam Signals 通过移动网络风险信号协助银行识别风险；报告援引全球移动通信系统协会(GSMA) 的说法称，银行使用此类信号与受骗人数减少 41%、诈骗损失下降 44% 相关联，但“相关联”不等于单独证明因果关系。

另一些案例也说明了行动的边界。意大利利用可疑交易报告、公司资料和开源信息梳理跨国资金网络，但其与某一具体实体诈骗窝点的关系尚未确认；巴西稳定币发行方协助临时冻结自托管钱包资产，但冻结并不等于没收、追回或返还。柬埔寨、泰国和印度的案例涉及对被遣返人员进行筛查、访谈和保护。各地法律框架和数据口径不同，这些材料说明的是可能路径，并非可直接比较的成效排名。