作者分析

讓 AI 去接詐騙電話：17 年這個數字，先拆開再相信

防暴筆記編輯部

2026/10/14
每日拆解
詐騙電話
Apate.ai
誘捕

澳洲新創 Apate.ai 讓 AI 假扮受害者接詐騙電話，宣稱已耗掉詐騙集團「17 年」的時間。社群上流傳的版本還說澳洲聯邦銀行因此詐騙損失暴跌 76%。這篇把流傳說法和查得到的資料逐條對齊：哪些是真的、哪些是公司自己說的、哪一句是張冠李戴，以及這種「消耗攻擊者時間」的防禦，放到台灣的公司和家人身上，今天能拿來做什麼。

30 秒看懂

澳洲新創 Apate.ai 讓 AI 假扮各種年齡、口音的「受害者」，接聽電信商轉來的高風險來電與專門讓詐騙方撥打的誘捕號碼，一邊拖時間、一邊收集收款帳戶、錢包地址與冒用品牌。電信商 TPG 與澳洲聯邦銀行（CBA）都公開確認合作。
流傳最廣的數字幾乎都是公司自己報的：約 59 萬通 TPG 轉接、250 萬次對話、累計「17 年」。拆開算，平均每次對話約 3.6 分鐘；2025 年電信試點的公開數字換算下來，平均每通約 31 秒。
「CBA 用了這套系統後詐騙損失暴跌 76%」是張冠李戴。CBA 自己的公告比較的是財年 2025 下半（約 2025 年 1–6 月）對財年 2023 上半（約 2022 年 7–12 月），同文沒有說明降幅成因，全文沒有提到 Apate；兩方合作是 2025 年 6 月才公開。

發生了什麼

一位大學資安教授在家庭野餐時接到詐騙電話。他沒有掛，故意裝傻，陪對方聊了 44 分鐘，掛掉之後他想的是：這 44 分鐘，對方沒有在騙別人。後來他把這件事做成一家公司，名字叫 Apate，跟希臘神話裡「欺騙」的擬人化身同名。

2026 年 10 月 14 日，TechCrunch 報導這家澳洲新創：它的 AI 代理人假扮受害者，接聽電話、回簡訊、點釣魚連結、加入社群群組，目的是把詐騙方拖住，同時套出收款帳戶、加密貨幣錢包、電話號碼與冒用的品牌。報導引述公司說法：澳洲電信商 TPG 已轉接近 59 萬通電話給它，AI 累計和疑似詐騙者對話 250 萬次，耗掉對方「17 年」的時間。這則報導很快被翻成中文、加上更多形容詞在社群流傳。

這篇要講的一件事是：消耗攻擊者的成本，是一種真的有效的防禦思路；但流傳版本裡最漂亮的那幾個數字，有的是公司自報、有的換算後意思完全不同，還有一句是把銀行的整體成果算到這家公司頭上。

這篇用到的第一手文件是 CBA 官方新聞稿兩則；GSMA 發布的 TPG 試點案例由業界組織發布，但數字是合作方自己提供的。其餘數字來自媒體轉述公司說法。

2024 年（月份未公開）
Apate 以麥覺理大學（Macquarie University）的研究為基礎成立
TechCrunch 寫 2024 年成立；未找到公司登記或官方說明
2024 年底
麥覺理大學宣布與 CBA 合作試點 AI 反詐騙
CBA 2025-06-27 公告提到「2024 年底宣布的試點」
2025-06-27
CBA 公告與 Apate 合作：數千個 AI 機器人人設、與電信商合作的專用誘捕號碼、情資即時送進 CBA 詐騙控制系統
CBA 官方新聞稿
2025-08
第一次種子輪 2.5M（OIF Ventures 領投，Investible 參與；幣別媒體寫法不一）
媒體報導
2025-08-11
CBA 公告客戶詐騙損失自高峰下降 76%（財年 2025 下半（約 2025 年 1–6 月）對財年 2023 上半（約 2022 年 7–12 月））；同文列出 Scam Checker、App 內交易驗證等新措施，沒有說明降幅成因
CBA 官方新聞稿
2025-10
GSMA 發布 TPG 試點案例：轉接 28 萬通以上、耗掉 100 天以上、最長 54 分鐘、誤判的正常來電 20 秒內還原
GSMA 案例 PDF（數字由 TPG 與 Apate 提供）
2026-03-31
澳洲反詐騙中心年報：2025 年通報損失 A$21.8 億，比 2024 年增加 7.8%
媒體轉述 NASC 報告；官方 PDF 本站下載被拒
2026-08
種子輪 A$11.4M（約 US$8.15M），Lobby Capital 領投
媒體報導
2026-10-14
TechCrunch 報導：TPG 近 59 萬通、250 萬次對話、累計時間、員工 20 人、累計募資不到 1,000 萬美元
TechCrunch 轉述公司說法
2026-10-15 之後
Gulf News 等媒體轉載，中文社群流傳版本出現「CBA 因此損失暴跌」的說法
社群貼文（三手）

日期以各來源發布日為準，時區未特別標示者為當地日期。從試點到被寫成以「年」計的累計時間，中間隔了快兩年，數字一路往上長。

怎麼發現：野餐時的一通電話

這門生意的起點不是技術，是一個觀察：電話詐騙的成本結構和多數網路攻擊不一樣。掃描機器人敲你的 .env 幾乎不花錢，但電話詐騙要有真人話務員，一個人一天能撥的電話有上限。被拖住的每一分鐘，是對方真實付出的人力。

創辦人是麥覺理大學的資安教授，也是公司執行長；學校的研究專案頁面把這個方向寫成「用 AI 對抗電話詐騙的主動式防禦」。野餐那通電話的細節，TechCrunch 和 Gulf News 的版本一致，來源都是創辦人自述。

這個起點值得記住，因為它同時說明了這套方法的邊界：它只對「靠人力一通一通打」的詐騙有效。

流傳說法和查得到的，逐條對齊

到這裡，其實已經足夠理解這件事。如果你只想知道自己今天該做什麼，可以直接往「如何避免台灣的公司和家人今天能做的」繼續閱讀。如果你想知道社群版本哪些站得住，下面逐條核對。

流傳說法	查得到的	判定
大學教授野餐接到詐騙電話，陪聊 44 分鐘，因此創業	TechCrunch、Gulf News 都引述創辦人自述，細節一致	對（來源是當事人自述）
名稱取自希臘神話的欺騙女神	Apate 在希臘神話中確實是欺騙的擬人化身；公司官方是否這樣說明，本站沒有找到	名稱對得上，官方說法查無
替 TPG 接了近 59 萬通電話	TechCrunch 引述共同創辦人；GSMA 2025-10 公開的試點數字是 28 萬通以上	公司自報，未獨立查證
AI 扮演反應慢、密碼打錯、聽起來有錢的受害者	公開資料只說人設涵蓋不同年齡、性別、口音、語言，2023 年的展示有年長、困惑的角色；「密碼打錯」「聽起來有錢」找不到出處	部分對，細節查無
累計消耗詐騙集團 17 年	TechCrunch 寫「公司表示」，沒有說明怎麼計算；拆開算的結果見下方證據等級	公司自報，未獨立查證
騙子交出人頭帳戶與錢包，AI 轉交銀行凍結	GSMA 與 TechCrunch 都說會收集帳戶與錢包；CBA 公告說情資送進詐騙控制系統、用於警示與攔阻。有沒有、有多少帳戶因此被凍結，沒有公開數字	收集對，凍結查無
CBA 用了這套系統後詐騙損失暴跌 76%	CBA 自己的公告：降幅比較的是財年 2025 下半（約 2025 年 1–6 月）對財年 2023 上半（約 2022 年 7–12 月）；同文沒有說明降幅成因，只列出新措施與投入，全文沒有提到 Apate；合作在 2025-06 才公開	錯（張冠李戴）
AI 到論壇臥底投資詐騙群組，套出劇本	TechCrunch：文字代理人「可以」搜尋論壇、投資群組與社群平台，並以虛構身分加入對話；GSMA 提到從通話分析詐騙劇本。沒有成果數字	公司描述的能力，成效查無
約 20 人、種子輪 815 萬美元、總募資近 1,000 萬美元	TechCrunch：20 名員工、2026-08 種子輪 US$8.15M、累計不到 1,000 萬美元；其他報導寫成 A$11.4M。加上 2025 年那一輪約 2.5M，對得上	對（金額是澳幣換算）

CBA 那一條值得多說一句。TechCrunch 是在介紹 Apate 客戶的段落裡，把它當成共同創辦人引述的客戶成果帶到：CBA 公開通報的詐騙損失大幅下降，報導沒有說是 Apate 造成的；轉了兩手之後，就變成「用了這套系統後暴跌」。合作 2025-06 才公開；試點最早 2024 年底宣布，已落在比較區間內，無法從公開資料切分 Apate 的貢獻。

詐騙集團怎麼做到，AI 卡在哪一步

接下來這一段會稍微技術一些。你只要先記住一件事：AI 假受害者不是把電話擋掉，而是讓詐騙方以為接到了真人，把他的時間和收款資訊一起留下來。

深入閱讀用 ATT&CK 的角度看一通詐騙電話

先講結論：電話詐騙在 ATT&CK 裡能對到的是「語音釣魚」「冒用身分」「金錢竊取」三段；Apate 插進去的位置在第二、三段之間，用一個假的受害者把整條鏈的後半段吃掉。

公開資料描述的路徑有兩條。第一條是電信端：TPG 先判斷哪些來電屬於高風險，把它轉到 AI，而不是接到原本的用戶；GSMA 案例寫明有一個「誤判逃生」流程，被誤判的正常來電會在 20 秒內還原。第二條是誘捕號碼：與電信商合作開的專用號碼，刻意讓詐騙方找到、撥打，接起來的一律是 AI。官網說技術上是用 SIP／RTP 的 VoIP 設定介接，不到一天可以部署。

發生了什麼 · MITRE ATT&CK T1583

詐騙方取得大量電話號碼與 VoIP 線路並不斷輪換。GSMA 案例提到傳統黑名單跟不上「換號碼」的速度。T1583 為本站近似歸類。

當時留下的訊號

同一批號碼短時間大量外撥、號碼存活時間短。

能擋下它的控制

電信端的號碼信譽與流量判斷；跨業者的號碼通報。

這次沒有公開任何可用的攻擊端 IOC。公司把收集到的帳戶、錢包、號碼提供給客戶，沒有對外公布，所以本篇沒有 IOC 表，也不建議讀者自己去「反騙」詐騙方套資料：那不是一般人該承擔的風險，蒐集他人帳戶資料也可能踩到個資與刑事的線。

拆完之後，這套方法的形狀很清楚：它不修任何漏洞，它是讓攻擊者的每一次嘗試變貴。

這次外洩了什麼

這不是外洩事件，沒有任何金鑰或密碼外流。但這套系統本身會收集、保存兩種敏感資料，值得列出來。

leaked credentials這次外洩了什麼：服務、用途、存在形式

服務	憑證類型	用途	存在形式	放在哪	權限範圍	狀態
電信端誤判的正常來電	通話內容與來電號碼（可能含個資）	高風險來電被轉給 AI 時，若判斷錯誤，正常人的通話會先被 AI 接起	`VoIP 通話（是否錄音、保存多久未公開）`	Apate 與電信商的系統	偵測準確率見下方證據等級；誤判數量未公開	官方稱會快速還原；官網稱收集資料已匿名化、加密，不保存個資
詐騙方提供的收款資訊	銀行帳戶、加密貨幣錢包地址、電話號碼、網址	設計上就要收集，作為攔阻與調查的情資	`結構化情資（客戶透過洞察入口取得）`	Apate 平台與合作銀行的詐騙控制系統	數量未公開	持續收集；人頭帳戶的實際持有人可能也是被利用的人

憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

第二列有一個容易被忽略的地方：人頭帳戶背後常常是被租借、被騙走帳戶的人。情資怎麼用，決定了它是在打詐，還是在擴大誤傷。

證據等級

能證明的是 CBA 的兩份官方公告；GSMA 案例雖由業界組織發布，數字是合作方自報，和公司報的漂亮數字一樣放在推論；真正的成效與隱私處理，沒有人公開說明。

銀行和電信怎麼用這些情資

公開說法能支持的流程是這樣：電信端在接通前判斷來電風險，高風險的轉給 AI；AI 在對話中記下對方冒用的品牌、劇本、要求的收款帳戶與錢包；這些資料一邊回饋給電信商調整攔阻規則，一邊送進銀行的詐騙控制系統，用來對自家客戶發警示、攔下可疑轉帳。TPG 案例也提到，之後開始對可疑的國際來電提醒用戶。

這和本站寫過的 Crusader 殭屍網路是同一門生意的兩端：都在算「攻擊一次要花多少」。不同的地方剛好是重點：機器人掃描每一次幾乎免費，拖住它沒有意義，只能讓它掃不到東西；電話詐騙每一分鐘都要付人力，所以讓它講越久，它越虧。

哪裡做對，哪裡做錯

做對的是方向。多數防詐措施是在事後止血，這套做法把「攻擊者的時間」當成可以消耗的資源，同時把每一通詐騙電話變成情資，這和資安領域的誘捕系統是同一個思路，只是從伺服器搬到了電話線上。GSMA 案例裡的誤判逃生流程也值得肯定：至少有人想過正常來電被轉走的後果，並且給出了一個數字。

該打問號的是數字和隱私。幾乎所有亮眼數字都由公司或合作方提供，沒有獨立稽核；累計時間聽起來驚人，平均下來每次只有幾分鐘，而「避免損失 760 萬」是用平均損失乘出來的估計，不是實際攔下的錢。隱私面的問題更實際：98% 的準確率放到每天上萬通的量，被誤轉的正常人不會是零，他們的通話怎麼處理，公開資料說不出來。還有一個長期問題：詐騙方會學。當 AI 假受害者變多，下一步就是更短的試探、更早要求轉帳，或乾脆改用簡訊與通訊軟體。

如何避免：台灣的公司和家人今天能做的

先說能不能照抄。台灣的《詐欺犯罪危害防制條例》（2024 年 7 月公布）對電信業者課有身分查核等義務，但把來電轉給 AI、錄下內容、收集對方帳戶，會碰到通訊監察與個資保護的問題，這需要業者、主管機關與法律一起處理，不是一般公司或個人能自己做的事。我們也不建議任何人自己去「反騙」詐騙方：拖延或套話可能被反過來鎖定，蒐集他人帳戶資料也有法律風險。

一般人和公司能做的，是把 Apate 的核心想法反過來用：讓詐騙方在你這裡「拿不到他要的那一步」。

當天就能做的是回撥驗證。任何電話要求轉帳、改收款帳戶、提供驗證碼或個資，不管對方自稱主管、銀行、檢警還是客戶，一律掛斷，用你自己存的號碼回撥原機構確認。家裡也約好同一條規則，特別是長輩。

一週內，公司財務和客服把這條規則寫成 SOP：改收款帳戶要第二個人用既有通訊錄回撥確認、急件匯款不接受只有電話或訊息的指示、總機接到冒名來電知道要轉給誰、可疑號碼通報 165。

這一季，回頭看公司公開在網站上的電話和人名。詐騙方冒名需要素材，總機號碼、財務窗口、主管姓名都是。不必全部下架，但要確保每一個公開窗口背後的人，都知道那條回撥規則。

這篇提到的項目要花多少錢

這一節的數字幾乎都是估計或公司自報，價值不在精確，而在比例。

cost消耗詐騙方時間的帳：誰花錢、誰省錢

項目	用量	單價	期間	US$	NT$	舉證
TPG 試點：估計避免的詐騙損失估：760 萬（幣別未標，推定為澳幣）× 0.715；是推估，不是實際攔下的錢	試點全部轉接通數	依反詐騙中心平均損失估算	試點期間（起訖未公開）	5434000.00	173,888,000	GSMA 案例 PDF（數字由合作方提供）
換算：每轉接一通的估計價值估：760 萬 ÷ 試點轉接通數	1 通	約 A$27	試點期間（起訖未公開）	19.40	621	本站由 GSMA 數字推算
詐騙方被耗掉的時間（試點）話務員工資未知，無法換算成錢	100 天以上	平均每通約 31 秒	試點期間	—	—	GSMA 案例 PDF＋本站推算
Apate 2026 年種子輪公司募到的錢，不是損失；放在這裡是讓讀者看比例	1 輪	A$11.4M	2026-08	8150000.00	260,800,000	TechCrunch 與媒體報導；無公司第一手新聞稿
電信或銀行導入 Apate 的費用 GSMA 只寫「成本低、輕量整合」	—	未公開	—	—	—	無
公司寫回撥驗證 SOP 並教育財務、客服估：取中間值 NT$27,500 的一半	約 0.5 人日	顧問日費 NT$20,000–35,000（估）	一次性	429.69	13,750	本站假設值
家人約定回撥規則、撥 165 查詢	一次對話	免費	今天	0.00	0	165 為免付費專線
合計（僅可證明列）				0.00	0

匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：GSMA TPG 試點案例（2025-10）；TechCrunch（2026-10-14）；媒體報導種子輪；澳幣換算採報導中 A$11.4M ≈ US$8.15M 的隱含匯率 1 AUD ≈ 0.715 USD；企業人力為本站假設。「舉證」欄標明每筆損失的證據來源與等級（可證明推論缺口）。

合計只算可證明列，所以是零；這張表真正想讓你看的是最後兩列：最便宜的防線不需要 AI，只需要一條大家都照做的規則。

你可以學到什麼

站在詐騙集團的位置看：他的生意是一張機率表，撥一百通、九十幾通被掛、幾通聊下去、一通成功。他最怕的不是被掛電話，是浪費時間在一個永遠不會付錢的人身上，因為那段時間本來可以拿去打下一通。Apate 做的事，就是大量製造「看起來會付錢、其實永遠不會」的人。而你和家人能做的，是讓自己變成「聊多久都拿不到錢」的那一個。

lessons本案的 5 個教訓

01
防禦不一定是把門關上；讓攻擊者的每一次嘗試變貴，也是一種防禦。前提是攻擊者真的要付成本，電話詐騙的成本是人力時間。
02
看到「消耗了好幾年」這類累計數字，先除以次數；平均到每一次對話只有幾分鐘，意思和標題給人的印象差很多。
03
一家公司的整體成果，不能算到其中一個供應商頭上。CBA 的降幅有明確的比較區間與歸因，流傳版本把兩者都拿掉了。
04
會轉接、會錄音的防禦，一定會誤傷正常人；評估這類做法時，要問誤判多少、怎麼還原、資料留多久。
05
一般人與公司最有效的反詐措施不需要 AI：涉及付款或個資的來電，一律掛斷，用自己存的號碼回撥。

keywords重點學習：最需要學習的 10 個關鍵字10 個

01
回撥驗證（callback verification）
這篇唯一要你今天就做的事；詐騙方能偽造來電顯示，偽造不了你自己存的號碼。
02
攻擊者經濟學
整套 Apate 的前提：電話詐騙按人力時間計價，拖住他就是讓他虧錢。
03
誘捕號碼（honeypot number）
專門讓詐騙方撥打、接起來都是 AI 的號碼；把伺服器誘捕系統的概念搬到電話上。
04
語音釣魚（vishing，T1566.004）
這類攻擊在 ATT&CK 的位置；和釣魚信同一類，只是換成電話。
05
冒用身分（T1656）
試點辨識出兩萬個以上被冒用的組織；你的公司名稱也可能在名單上。
06
人頭帳戶（money mule）
AI 想套出的收款帳戶；背後的持有人可能也是被利用的人，情資用法要小心。
07
誤判逃生（false positive escape）
正常來電被誤轉給 AI 時的還原機制；評估任何攔阻系統都該問這一題。
08
公司自報數字
累計時間、對話次數、轉接通數都屬此類；沒有第三方稽核前，只能當推論。
09
歸因（attribution of outcome）
CBA 那條被張冠李戴的原因；看成效數字要先問比較區間與歸因對象。
10
165 反詐騙專線
台灣查詢與通報可疑號碼的管道；免費，今天就能用。

下面五步都不需要改任何設定，十五分鐘內做得完。前三步給公司，後兩步給自己和家人。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

財務：翻出最近 3 筆「改收款帳戶」或「急件匯款」的要求紀錄，看每一筆是怎麼確認的
看到什麼代表什麼：如果確認方式是「回撥對方信裡或電話裡留的號碼」，那不算驗證。每一筆都用既有通訊錄或合約上的號碼回撥過，才算過關；把這些可信號碼整理成一張表，存成「callback-roster-j6w」，下次改帳戶時先開它。
總機與客服：問一位接線同仁「有人自稱主管、銀行或檢警要求轉帳或提供資料時，SOP 在哪裡、要轉給誰」
看到什麼代表什麼：十秒內答得出文件位置與聯絡人，代表流程有落地；答不出來，就是這週要補的那一份 SOP。
看一眼公司官網公開了哪些電話、窗口姓名與職稱
看到什麼代表什麼：每一個公開的窗口，都是冒名的素材。不必下架，但要確認這些人都知道回撥規則。
手機：打開設定，看「未知來電」或「垃圾來電過濾」目前是否開啟（只看不改）
看到什麼代表什麼：沒開的話，知道有這個選項就好；要不要開，依你是否需要接陌生來電自己決定。
家人：傳一句話給家裡長輩：「任何電話跟你要錢或要驗證碼，先掛掉，用你自己存的號碼打回去，或打 165 問」
看到什麼代表什麼：對方回你「好」，今天的防線就多了一層；這條規則對真人詐騙和 AI 詐騙都有效。