瑞士的透明度登記冊原定於2026年10月1日上線，將登記約60萬個法律實體背後的受益所有人。但鄰國列支敦士登一套幾乎相同的系統遭網路攻擊，促使瑞士財富管理業者質疑是否應延後啟用。

駭客於7月29日至30日夜間入侵列支敦士登的受益所有人登記冊（即VwbP），竊取與約3.1萬個法律實體相關的個人資料。外洩資訊包括公司、基金會與信託背後人員的姓名、出生日期、國籍及居住國。財務資料未遭存取。

列支敦士登發生了什麼事

列支敦士登於2021年為符合歐盟反洗錢指令而啟用VwbP。當局於7月30日偵測到登記冊異常，其安全運作時期就此告終。列支敦士登政府迅速應對，將資料庫下線，並成立由總理布麗吉特·哈斯（Brigitte Haas）與司法部長埃曼努埃爾·謝德勒（Emanuel Schädler）領導的危機處理小組。官員於7月31日或8月1日接獲正式通知。確認入侵範圍的公開聲明則於8月2日至4日間發布。

瑞士財富管理業者為何不安

在財富管理領域，瑞士與列支敦士登密切交織。許多瑞士客戶在財富架構中使用設立於列支敦士登的實體，特別是基金會與信託。因此這次入侵不僅影響瓦都茲的民眾，也波及跨境的蘇黎世、日內瓦及其他私人銀行中心的客戶。

瑞士自身的透明度登記冊運作方式將與列支敦士登的VwbP類似，蒐集該國法律實體的受益所有權資料。然而規模顯著更大，預估涵蓋60萬個實體，相較於列支敦士登的3.1萬個——約為20倍的攻擊面，這正是瑞士金融中介機構如今急切強調的重點。

財富管理業者的論點並非透明度不好，而是主張在沒有堅實網路安全防護的情況下，啟用一個集中存放敏感個人資訊的大型資料庫是魯莽之舉。在他們看來，列支敦士登事件正是一項概念驗證，顯示同類攻擊可能以更大規模針對瑞士的登記冊。

這場辯論也呼應了歐洲整體對「誰應有權查看受益所有權資料」的更廣泛反思。2022年11月，歐盟法院裁定對此類登記冊的全面公開存取侵犯隱私權，將存取權限縮至具有正當利益者。該裁決重塑了歐盟成員國——以及列支敦士登等歐洲經濟區國家——管理登記冊的方式，也構成了瑞士當前關於透明度登記冊上線後應多嚴格限制存取的討論框架。

透明度與安全的拉鋸

受益所有權登記冊的存在有一個明確的政策目標：透過強制揭露實際控制公司實體者，提高洗錢難度。列支敦士登雖非歐盟成員，但透過其歐洲經濟區成員資格採用了此一框架。這些登記冊是金融行動特別工作組與G20等機構消除空殼公司匿名性的國際行動的一環。

遭竊的列支敦士登資料雖不含帳戶餘額或交易紀錄，但絕非無害。受益所有人的姓名與出生日期，加上國籍與居住國，足以支撬精密的社交工程攻擊、身分盜竊，甚至針對富有個人的實體安全威脅。

瑞士當局在2026年10月上線前如何回應財富管理業者的疑慮——是調整存取規則、強化安全要求，還是延後啟用——將顯示該國打算如何在反洗錢承諾與私人銀行業的資料保護期望之間取得平衡。