商业电邮诈骗（BEC）中的发票诈骗，是小公司最容易蒙受巨额损失的骗局之一，因为它看起来根本不像骗局。邮件里没有可疑链接，也没有明显的语法错误。相反，可能是一位熟悉的供应商「更新」了银行账户，或者老板发来一封急件，要求财务悄悄转一笔账。钱通过公司正常的付款流程汇出，由自己的员工审批，往往在几小时内就已流到海外。
本指南重点介绍这类付款骗局如何运作、能有效拦截骗局的核实习惯，以及公司如果已经付款应该怎么做。至于密码、备份和系统更新等更全面的防护，请把本文当作整体业务连续性与风险规划的一部分。
商业电邮诈骗到底是怎么回事
商业电邮诈骗（Business Email Compromise，简称 BEC）泛指犯罪分子利用电邮冒充公司已经信任的人，再把付款转到自己账户的骗局。大多数案例属于以下两种模式。
假冒供应商更改银行账户。骗子要么入侵真实供应商的邮箱，要么注册一个高度相似的域名（例如替换一个字母或加一个连字符）。他们潜伏观察真实的往来邮件，等到发票快到期时，发来一封客气的信息：「我们的银行账户已变更，请将附件发票的款项汇入新账户。」这张发票往往与以往的一模一样，因为它就是真发票的复制品，只是换上了新的银行信息。
假冒 CEO 或董事诈骗。这类邮件看似来自老板、董事或高级经理，通常要求一笔保密且紧急的转账：例如收购订金、付给「新合作伙伴」的款项，或为客户活动购买礼品卡。邮件会特别强调保密和速度，而且常常在真正的老板出差或不在办公室时发来。
其他变种还包括冒充律师、篡改员工薪资账户等。套路始终一样：一个可信的身份、一笔去向被改动的钱，以及要你跳过常规核查的压力。
电邮和发票中的警示信号
以下任何一个信号本身都不能证明是诈骗，但只要出现，就应该停下来打个电话核实。
- 要求更改银行账户，尤其是改成户名不同、银行不同或位于其他国家的账户。
- 寄件人地址几乎一样但有细微差别，或显示名称背后点开后是一个陌生地址。
- 「回复地址」（Reply-to）与寄件人地址不同。
- 强调紧急和保密：「请勿与他人讨论」「必须在下午3点前完成」「我在开会，直接处理就好」。
- 语气、落款或用语与对方平时的邮件不同。
- 发票的格式、字体、标志位置或编号方式出现细微变化。
- 请求绕过公司正常的审批流程，或在非工作时间发来。
如果后续的电话或聊天「确认」了变更，但使用的是可疑邮件里提供的联系方式，那就不算数。
能拦截大多数损失的核实流程
最有效的一项控制措施其实很简单：绝不只通过提出变更的同一渠道来处理付款变更。请把以下步骤写进书面流程，让员工不必在压力下凭个人判断行事。
- 建立经核实的供应商主名单。在首次引入供应商时，通过电邮以外的来源（签署的表格、合同或面对面会议）记录对方的银行信息和已知联系电话。
- 用已有的号码回拨。凡是银行信息变更，都要用公司记录中或对方官网上的电话联系供应商，而不是邮件里的号码。可以问一个只有真正联系人才知道的具体问题。
- 实行双人审批。新增收款人以及修改现有收款人信息，都需要两个人批准。负责设置收款人的人与负责放款的人应分开。
- 设置冷静期。对刚更改账户后的第一笔付款暂缓一段时间，或先汇一小笔测试金额，电话确认对方收到后再付全款。
- 「老板」的要求也要核实。公司内部约定：董事提出的紧急转账要求，一律通过电话或当面确认。高层应该表扬而不是责怪主动核实的员工。
- 善用银行工具。许多银行提供收款人姓名核对、交易限额和新增收款人提醒等功能。向银行查询公司账户可以开启哪些控制措施，并全部启用。
下表比较正常请求与高风险请求的区别。
| 情况 | 较低风险的迹象 | 高风险的迹象 | 应对方法 |
|---|---|---|---|
| 供应商发票 | 银行账户与以往相同，金额符合预期 | 新的银行账户，国家或户名不同 | 付款前用公司存档的号码致电供应商 |
| 董事付款要求 | 走正常审批流程，附有相关文件 | 紧急、保密，且在董事外出时发来 | 通过电话或当面确认，并按正常流程审批 |
| 员工薪资账户变更 | 通过人事系统提交并经过身份核查 | 从看似私人邮箱的地址发来的邮件请求 | 修改前直接与员工本人核实 |
| 客户退款 | 退回原付款方式 | 退到另一个第三方账户 | 除非经过核实，否则只退回原付款来源 |
保护公司自己的邮箱
商业电邮诈骗往往始于密码被盗。做好几项基本功，能让公司更难成为目标，也能保护客户免受冒充你们的骗子所害。
- 为每个电邮账户开启多重身份验证（MFA），财务和董事的账户尤其要开。
- 留意陌生的邮箱规则，例如自动转发或隐藏邮件，这是账户被盗后常见的手法。
- 请电邮服务商或 IT 供应商设置电邮验证记录（SPF、DKIM 和 DMARC），这能帮助阻止他人冒用公司域名发送邮件。
- 告诉客户公司会通过什么方式通知付款信息，并说明绝不会只凭一封电邮更改银行账户。把这句话印在发票上。
如果你也通过聊天软件与客户沟通，同样适用这条规则。WhatsApp Business 设置虽然方便，但通过消息发来的银行变更，同样需要回拨核实。
如果已经付了款怎么办
速度比什么都重要。汇入诈骗账户的钱往往很快就会被转走，所以请按以下顺序行动。
- 立即致电银行。拨打银行官方热线，说明这笔款项汇入了诈骗账户，请银行尝试追回或拦截转账，并联系收款银行。准备好日期、金额、收款账户和交易参考号。
- 报警。可以通过新加坡警察部队（SPF）的网上服务或到邻里警岗报案。银行和保险公司通常需要报案编号。如需一般的防骗建议，可拨打 ScamShield 热线（1799）了解下一步。
- 保护被入侵的账户。更改密码、重置多重身份验证、删除陌生的转发规则，并查明漏洞出在自己这边还是供应商那边。通知真正的供应商，让他们提醒其他客户。
- 保存证据。保留带完整邮件头的原始邮件、发票、通话记录和截图。不要删除诈骗邮件。
- 通知保险公司。如果公司投保了网络安全险或犯罪险，请查看保单条款中的通知期限和承保范围。社会工程类损失有时不在承保范围内，或需要专门的保障。
- 检视个人资料保护义务。如果客户或员工的个人资料可能已经外泄，公司可能需要履行《个人资料保护法》（PDPA）规定的义务。请查阅个人资料保护委员会（PDPC）的指引。
资金不一定能追回，本文仅为一般信息，不构成法律建议。如果涉及大额款项，或对损失由谁承担存在争议，请咨询律师。
培训员工，但不要让他们草木皆兵
目标是养成冷静的习惯，而不是制造恐慌。给所有经手付款的员工做简报，分享真实案例，让「我打个电话确认一下」成为公司里再正常不过的一句话。至少每年检讨一次流程，例如在年中业务检讨时进行，并在财务人员变动时及时更新。
延伸阅读：在新加坡防范诈骗与欺诈
常见问题
怎样分辨冒充的供应商电邮和真的电邮？ 留意寄件地址是否几乎一样，例如换了一个字母或多了连字符，以及显示的名称是否掩盖了陌生的地址。也要检查回复地址是否与寄件地址不同，并注意语气、发票格式或编号有没有变化。
打电话到可疑电邮里的号码，算是核实过了吗？ 不算。如果用的是可疑电邮里提供的联络方式，即使后续的电话或聊天“确认”了更改，也不算数。应该用你自己记录中的号码或对方官方网站上的号码致电，并问一个只有真正联络人才知道的问题。
汇款到骗子账户后的第一个小时，应该做什么？ 立即拨打银行的官方热线，请银行设法追回款项并联络收款银行。准备好日期、金额、收款账号和交易编号，然后报警，因为银行和保险公司往往需要报案编号。
公司的网络保险会赔偿假发票的付款损失吗？ 这要看保单。社交工程造成的损失有时被排除在外，或需要另外投保，也可能设有通报期限。要查看保单条文，并尽快通知保险公司。如果涉及大笔款项，或对谁承担损失有争议，应咨询律师。
怎样让员工敢于质疑老板的紧急要求？ 内部先约定，董事提出的紧急转账要求一律要通过电话或当面确认，并写进正式程序。高层应该表扬而不是责备主动查证的员工，让“我先打个电话确认一下”成为公司里的日常用语。
官方资料： 新加坡警察部队