商业电子邮件欺诈（business email compromise，BEC）是指骗子冒充企业信任的人，比如董事、供应商、客户或顾问，通常通过电子邮件诱导员工转账或提供敏感信息。这类邮件和群发的钓鱼邮件不同，通常简短自然，不一定带附件或恶意软件，却能混进正常的业务往来。
香港警方经常提醒企业警惕这类骗局。中小企业付款往往只靠少数几个人把关，因此容易成为目标。
BEC 的常见手法
大多数案例属于以下几种模式，有时会组合使用：
- 供应商变更收款账户：一封看似来自长期供应商的邮件称银行信息已变更，要求下一张发票付到新账户。
- “老板”紧急指令：看似董事发来的消息，要求财务尽快、保密地转账，时间往往挑在本人出差期间。
- 邮箱被盗用：骗子窃取员工或供应商的邮箱密码，翻看往来记录，再在真实的邮件线程里回复。
- 仿冒域名：发件地址和真实地址只差一个字符，比如用“rn”冒充“m”，或者换了一个域名后缀。
- 工资账户劫持：要求把某位员工的工资账户改成新账户。
需要警惕的迹象
- 任何变更银行账户信息的要求，尤其是只通过邮件提出的。
- 语气急迫、要求保密，或者让你别打电话确认，比如“我在开会，今天务必办好”。
- 发件地址、回复地址或域名和平时略有出入。
- 措辞和平时不一样，或者要求跳过正常审批流程。
- “已发送”里出现不是你发的邮件，或者邮箱里多了你没设置过的转发规则。
怎样降低风险
BEC 本质上是流程问题，最有效的防线是付款管控，技术手段则用来加大冒充的难度。
付款与审批管控
- 用已知号码回拨核实：凡是新增或变更的银行信息，都要用公司记录里已有的电话号码打过去确认，不要用邮件里给的号码。
- 双人审批：新增收款方、变更银行信息以及超过一定金额的付款，都需要第二个人批准。
- 允许暂停付款：让员工清楚，为了核实而推迟付款不会被追责。
邮箱与账户安全
- 为所有邮箱开启多重身份验证，优先从财务和管理层账户做起。
- 配置 SPF、DKIM 和 DMARC 记录，让收件方能识别冒用你公司域名的邮件。
- 使用密码管理器，保证每个账户的密码都不重复。
- 给外部邮件加上标记，邮箱新增转发规则或出现异常登录时及时告警。
- 按照RBAC 角色权限管理，限制谁能在网银和财务系统里新增收款方或放行付款。
员工意识
定期给财务和行政人员看看上述手法的例子，并提供一个简单的上报渠道。相关伎俩可参阅网络钓鱼一文。
示例场景：一位会计在和长期供应商的邮件线程里收到新邮件，对方以“审计”为由，要求本月货款付到新账户。按公司规定，她回拨供应商的常用联系人核实，对方毫不知情，原来是供应商的邮箱被盗用了。这是假设场景，并非描述任何具体客户。
怀疑被骗时怎么办
- 马上联系银行：如果钱已经转出，越早通知越好，但不一定能追回。
- 向警方报案：在香港可拨打反诈骗协调中心的“防骗易热线 18222”咨询，并到警署或通过警方“电子报案中心”报案。
- 保留证据：保存原始邮件（含完整邮件头）、发票、付款记录和通话记录。
- 保护账户：重置密码，退出所有登录会话，检查多重身份验证设置，删除来历不明的转发规则。
- 告知对方：如果被冒用的是供应商或客户的邮箱，要通过可信渠道通知对方。
提前制定事件响应计划，写清每一步由谁负责，出事时就能节省时间。
常见问题
SPF、DKIM 和 DMARC 能阻止 BEC 吗？
它们能帮助拦截完全冒用你公司域名的邮件，但拦不住仿冒域名，也挡不住从真正被盗用的邮箱发出的邮件，所以付款核实仍然必不可少。
这类骗局只通过邮件进行吗？
不是。同样的骗局也可能通过即时通讯软件、电话或伪造的视频会议进行。可参阅我们的深度伪造诈骗防护一文。
如需协助检查邮件安全、登录管控和付款流程，可查看我们的网络安全及合规服务。如需有约定响应时间的持续监控和维护，可参考托管支持及 SLA 服务。