如果你因钓鱼诈骗（phishing）损失了钱，第一个自然会想到的问题是：有没有其他人需要分担损失？在新加坡，答案可能就在共同责任框架（Shared Responsibility Framework，简称 SRF）里。本文解释共同责任框架下的诈骗损失规则：银行和电信公司在什么情况下可能须承担钓鱼诈骗损失、哪些诈骗在涵盖范围内、你需要做到什么，以及索偿如何进行。
本文聚焦于由谁承担损失，而非被骗后应立即采取的步骤。本文仅为一般信息，不构成财务或法律意见。该框架由新加坡金融管理局（MAS）和资讯通信媒体发展局（IMDA）制定。规则可能更新，请查阅其官网了解最新规定。
什么是共同责任框架
SRF 于 2024 年 12 月生效。其目的是让运营新加坡银行体系和移动网络的机构承担明确的防诈职责，并在未能履行这些职责时，为受害者的损失作出赔付。
该框架涵盖两类机构：
- 负有责任的金融机构。包括主要零售银行，以及部分持有客户资金的支付服务提供商，例如较大型的数码钱包提供商。金融管理局公布了涵盖哪些类型的机构。
- 电信运营商。即移动网络运营商和负责短信传送的公司，由资讯通信媒体发展局监管。
其核心理念是共同承担责任。银行、电信公司和消费者在防范诈骗上各有角色，损失由未尽责的一方承担。
SRF 涵盖哪些诈骗
SRF 的涵盖范围刻意定得很窄。它主要涵盖与新加坡有数码关联的钓鱼诈骗，即：
- 骗子通过短信、电邮、通讯应用或网站等数码渠道，冒充合法企业或政府机构；
- 受害者点击链接，在假网站上输入银行登录凭证或一次性密码（OTP），或以其他方式泄露这些信息；以及
- 骗子随后利用这些凭证进行受害者未授权的交易。
若干常见诈骗类型不在 SRF 范围内，包括：
- 由你亲自转账的诈骗，例如投资、求职、感情或冒充他人诈骗，你被说服自己汇款。这类通常称为授权支付诈骗（authorised payment scams）。
- 恶意软件诈骗，即恶意应用程序控制了你的手机。这类另有指引处理。
如果你的损失不在 SRF 范围内，其他保障措施仍可能适用，例如针对未授权交易的《电子支付用户保护指引》（E-Payments User Protection Guidelines）。请询问你的银行用哪套规则评估你的案件。
损失「瀑布」：谁先承担
SRF 的核心是一个「瀑布式」机制，按顺序决定由谁承担损失。下表概括其运作方式。
| 顺序 | 责任方 | 何时承担损失 | 审查职责举例 |
|---|---|---|---|
| 第一 | 负有责任的金融机构 | 若违反一项或多项 SRF 职责 | 激活数码令牌后的冷静期、交易实时提醒、全天候报告渠道及自助「紧急冻结开关」（kill switch） |
| 第二 | 电信公司 | 若金融机构已履行职责，但电信公司违反其 SRF 职责 | 只通过授权渠道发送短信、拦截未注册的发送者身份（Sender ID）、过滤含已知恶意链接的短信 |
| 第三 | 消费者 | 若金融机构和电信公司均未违反职责 | 一般由消费者承担损失，但其他评估仍可能适用 |
简单来说，先审查银行。如果银行已做到框架要求的一切，再审查电信公司。如果两者都已履职，损失一般由消费者承担。
银行和电信公司必须做什么
银行及受涵盖的支付服务提供商必须落实一系列防诈措施。金融管理局列举的例子包括：
- 在新设备上激活数码安全令牌后设有冷静期，期间限制高风险交易；
- 激活数码令牌或进行高风险操作（如更改交易限额）时发送通知；
- 对转出交易发送实时提醒；以及
- 全天候的报告渠道，以及可快速冻结账户的自助「紧急冻结开关」。
电信公司必须采取措施，让诈骗短信更难到达你手中，例如只接通来自授权短信聚合商、带字母数字发送者身份的短信，拦截使用未在新加坡短信发送者身份登记处（SMS Sender ID Registry）注册的发送者身份的短信，并使用过滤器拦截含已知恶意链接的短信。
具体职责及其衡量方式由金融管理局和资讯通信媒体发展局制定，日后可能进一步完善。
你需要做到什么
SRF 并不免除你的责任。消费者应养成良好的安全习惯，并迅速行动。为了给自己争取最好的结果：
- 开启并阅读交易通知。不要关闭提醒，因为它们能帮你及早发现诈骗。
- 绝不分享登录凭证或一次性密码，也不要在通过讯息链接打开的网站上输入这些信息。
- 迅速报告。如果怀疑遭遇诈骗，立即通过银行官方热线或应用程序联系银行，必要时使用紧急冻结开关。同时报警。
- 保留证据。诈骗讯息、链接、通话记录和交易提醒的截图，都有助于调查。
想进一步了解日常理财安全，可以从金融管理局、新加坡警察部队以及全国罪案防范理事会的 ScamShield 资源入手。
SRF 索偿如何进行
索偿从你的银行或支付服务提供商开始，而不是电信公司。一般流程如下：
- 尽快向你的金融机构报告事件，并说明希望按 SRF 评估你的案件。
- 金融机构展开调查，包括检查自身是否履行了职责，并在相关情况下与电信公司合作，核查其职责履行情况。
- 你会收到结果，说明由谁承担损失及原因。
- 如有异议，可以通过该机构的投诉程序要求复核。与金融机构的纠纷可上呈金融业纠纷调解中心（FIDReC）。请查阅 FIDReC 官网了解其最新受理范围和流程。
时限和所需文件由框架及各机构规定，请向你的银行了解具体安排。
常见误解
- 「银行一定会赔。」不对。只有在银行违反其 SRF 职责时，才由银行承担损失。
- 「所有诈骗都涵盖在内。」不是。你自己授权转账的诈骗以及恶意软件诈骗，都不在 SRF 范围内。
- 「电信公司首当其冲。」不是。首先评估的是金融机构。
- 「我可以晚点再报告。」拖延可能不利于你的案件，也给骗子更多时间。请立即报告。
保护好自己
共同责任框架为新加坡的钓鱼诈骗受害者提供了一条更清晰的途径：当银行或电信公司未尽责时，损失可以由它们分担。但最好的结果，仍然是根本不被骗。保持提醒开启，绝不分享登录凭证，迅速报告，并查阅金融管理局和资讯通信媒体发展局官网了解最新规则。
官方资料： 金融管理局（MAS）