某家成立不久的貿易公司，突然向海外供應商支付大筆貨款。 銀行收到付款指示，核對公司登記、交易發票及收款帳戶，文件看似齊全，款項透過正常的國際銀行系統匯出。 然而，真正委託付款的客戶可能位於俄羅斯，資金背後甚至涉及遭受制裁的金融機構。 這是根據美國金融監理機關揭露手法所構成的典型情境。 當公司登記、銀行帳戶與貿易文件都看似正常，金融機構究竟還能掌握多少交易真相？ 2026年10月1日，美國財政部金融犯罪執法局（FinCEN）發布A7跨國金融網路警示。 依FinCEN分析，該網路透過境外公司、第三方代理人及數位資產，協助俄羅斯及其他高度受制裁地區的客戶完成跨境付款，掩飾交易與受制裁行為者之間的關聯。

根據美國《銀行保密法》資料，伊朗中央銀行、伊朗伊斯蘭革命衛隊等行為者曾利用該網路。 其核心公司早於2025年受到美國制裁，此次警示揭露其規避金融制裁的具體手法。 2022年俄羅斯全面入侵烏克蘭後，部分遭制裁的俄羅斯銀行被排除於SWIFT金融訊息系統之外，使既有跨境支付更加困難。 然而，企業仍須取得外幣、支付貨款及維持國際貿易，替代支付服務因而取得發展空間。 這套機制的核心，是讓境外公司代替俄羅斯等地的客戶付款，使真正委託人及交易的制裁關聯難以從對外付款紀錄辨識。 經營者在香港、印尼、吉爾吉斯、塞席爾、土耳其及阿拉伯聯合大公國等地，透過設立、收購或合作方式建立數百家境外公司，作為跨境付款的次級代理人。

這些公司名義上由非俄羅斯的第三國人士持有或經營，依FinCEN認定，背後受同個組織控制。 截至2026年6月，該網路利用分布於至少83個國家、約435家金融機構的帳戶，建立龐大的境外付款管道。 俄羅斯客戶需要支付海外貨款時，境外代理公司便以自身名義，透過通匯銀行及SWIFT金融訊息系統辦理付款。 收款銀行看到第三國企業支付貨款，交易文件卻未揭露背後的俄羅斯委託人。 FinCEN指出，部分交易還涉及偽造貿易文件、虛假進出口紀錄及誤導性商品描述，藉此掩飾交易目的，屬於貿易洗錢（TBML）手法。 為隱藏境外公司的控制關係，部分位於莫斯科的人員透過虛擬私人網路（VPN）遠端操作銀行帳戶，使登入IP位置看似位於杜拜、香港或吉爾吉斯。

銀行查核公司登記資料，看到第三國經營者；檢視匯款紀錄，看到境外企業付款；追查登入位置，卻難以發現背後的莫斯科操作者。 公司登記、貿易文件與銀行紀錄各自看似合理，真正的控制者卻藏在不同資料之間。 除了境外代理付款，這套機制還結合穩定幣移轉資金。 由吉爾吉斯公司Old Vector LLC發行的A7A5，與俄羅斯盧布掛鉤，發行方宣稱每枚代幣均由存放於俄羅斯普羅斯維亞茲銀行（PSB）的盧布存款支持。 該代幣雖曾公布準備資產查核報告，但資訊韌性中心（CIR）指出，報告依賴發行方及銀行提供的確認文件，存在利益衝突疑慮，難以據此充分確認準備資產。

在使用A7A5的交易安排中，代幣用於內部價值移轉與帳務平衡，境外代理公司則利用銀行帳戶向供應商支付美元、歐元等貨幣。 俄羅斯端的數位資產移轉與境外銀行付款相互對應，形成鏡像交易（mirror transactions）。 兩端無須透過同筆直接跨境匯款銜接，而是以對應交易及內部帳務維持價值平衡。 因此，境外銀行的付款紀錄難以完整呈現俄羅斯委託人與海外收款人之間的付款關係。 其他代理付款則可能使用不同清算工具，未必涉及穩定幣。 FinCEN指出，2025年2月至2026年6月，超過180個實體處理的A7A5交易總額至少達1,791億美元。 這是累計交易量，包含內部代幣移轉，不能等同經司法認定的洗錢所得或淨資金流量。

該代幣還能透過場外交易商轉換為USDT等流通性較高的穩定幣，再兌換成法定貨幣，增加追查資金流向的難度。 面對這套跨境支付安排，美國財政部於2026年10月1日採取制裁與金融監理措施。 外國資產控制辦公室（OFAC）將A7網路指定為重大跨國犯罪組織，指出A7A5因發行公司Old Vector LLC對其具有財產利益而屬於受凍結財產。 FinCEN則依《打擊俄羅斯洗錢法》第9714(a)條提出規則草案，擬禁止受規範的美國金融機構辦理涉及A7次級代理人交易的資金傳送。 OFAC制裁已有法律效力，FinCEN提出的禁止措施尚處於規則制定階段。

FinCEN提出的警示指標，包括新設公司短期內出現大量跨境匯款、資金經多國空殼公司轉手、貨物內容與企業營業項目不符，以及發票價格、日期異常。 部分貿易文件甚至疑似經人工智慧生成或修改，出現文字錯亂、印章變形等跡象。 不過，第三方付款、境外公司及穩定幣均有合法用途，單項異常不能直接認定交易違法或可疑，銀行仍須結合客戶背景、交易目的與商業實務判斷。 對臺灣金融業而言，現行制度已有辨識代理人、實質受益人及監控異常交易的規範。 我國《金融機構防制洗錢辦法》第3條要求查證代理事實與代理人身分、辨識實質受益人及瞭解法人控制結構；第5條、第6條及第9條規範持續審查、風險導向措施與交易監控。

問題在於，銀行完成客戶身分查核後，能否從交易內容發現未揭露的付款委託關係。 例如，新設境外公司頻繁替不同企業支付貨款，交易規模遠超過其營業能力，銀行便應依風險程度及依法取得的資料，確認代理付款的商業理由，檢視貨物買受人、付款義務人與資金提供者之間的關係。 這些查核屬既有洗錢防制要求的風險導向運用，無須對所有跨境交易採取相同程序。 資安情資則提供不同的查核線索。 銀行資安監控機制可掌握登入IP、裝置識別及異常連線紀錄，洗錢防制部門負責分析交易與資金來源。 若客戶帳戶出現異常登入位置，同時伴隨與其營業規模不符的大額匯款，便應檢視帳戶是否由未揭露的第三方操作。

金融機構可在符合個資保護及金融保密規範下，整合資安告警、合法取得的區塊鏈線索與交易監控資訊，提升風險辨識能力。 發現疑似洗錢交易後，申報資訊的品質同樣影響調查成效。 《金融機構防制洗錢辦法》第12條及第15條規範交易紀錄保存與可疑交易申報。 銀行應依法申報，在已掌握且依法得提供的範圍內，整理付款指示、公司控制關係及資金轉匯路徑，協助法務部調查局洗錢防制處進行跨案件分析。 金管會則可透過案例回饋，協助金融機構調整監控規則。 跨境金流涉及銀行、虛擬資產服務提供者及貿易管理機關，單靠個別金融機構掌握的資料，難以還原完整交易。

建議金管會、法務部調查局及經濟部等機關，依各自職權研議情資交換程序；涉及銀行匯款、數位資產移轉及進出口資料的交換與比對，須有相應法律依據，並明確規範資料範圍、使用目的、存取權限及保存期間。 美國制裁措施對臺灣銀行的影響，還須從跨境法遵角度評估。 OFAC制裁名單不當然等同我國《資恐防制法》下的法定凍結對象，但交易涉及美元清算、美國金融機構或境外通匯銀行時，須注意美國制裁法規的適用範圍及通匯契約義務，避免混淆不同法域的法律效果。 回到開頭那家成立不久的貿易公司，銀行即使確認登記資料、發票及收款帳戶，也未必知道誰在背後指揮付款。 境外代理公司、銀行帳戶與數位資產交易各自留下紀錄，卻未必揭露完整資金關係。

當跨境支付安排被用於隱匿受制裁行為者或處理不法資金，臺灣金融業能否從分散的交易與資安紀錄中辨識真正的付款委託關係，並依法判斷制裁、洗錢及通匯風險，將成為跨境金融監理的重要考驗。 ＊作者為法律與資安領域的大專院校兼任教師