商業電郵騙案（business email compromise，BEC）是指騙徒冒充公司信任的人，例如董事、供應商、客戶或顧問，通常透過電郵誘使員工轉賬或提供敏感資料。與群發的釣魚電郵不同，這類電郵往往簡短通順，不一定附有檔案或惡意程式，卻能混入正常的業務往來。
香港警方經常提醒企業提防這類騙案。中小企付款往往只靠少數人核對，因此容易成為目標。
商業電郵騙案的常見手法
大部分個案都屬以下幾種模式，有時會混合使用：
- 供應商更改銀行戶口：看似來自長期供應商的電郵表示銀行資料已更改，要求下一張發票付款到新戶口。
- 「老闆」緊急指示：看似由董事發出的訊息，要求財務盡快並保密地轉賬，時間往往選在董事外遊期間。
- 電郵戶口被入侵：騙徒盜取員工或供應商的電郵密碼，閱讀往來紀錄，再在真實的電郵串內回覆。
- 相似域名：寄件地址與真實地址只差一個字元，例如以「rn」代替「m」，或改用另一個域名後綴。
- 轉移薪金：要求把某位員工的薪金戶口改為新戶口。
需要留意的警號
- 任何要求更改銀行戶口資料的要求，尤其是只透過電郵提出的。
- 語氣急迫、要求保密，或叫你不要致電確認，例如「我在開會，今天之內處理好」。
- 寄件地址、回覆地址或域名與平時略有不同。
- 用字與平日不同，或要求略過正常的審批程序。
- 「寄件備份」出現並非由你發出的電郵，或信箱多了你沒有設定的轉寄規則。
如何降低風險
商業電郵騙案主要是流程問題，最有效的防線是付款管控，技術措施則可提高冒充的難度。
付款及審批管控
- 按已知號碼回電核實：任何新增或更改的銀行資料，都要用公司紀錄中已有的電話號碼致電確認，切勿使用電郵內提供的號碼。
- 雙人審批：新增收款人、更改銀行資料，以及超過指定金額的付款，都需要第二人批核。
- 容許暫停付款：讓員工知道，為核實而延遲付款不會受責備。
電郵及戶口安全
- 為所有電郵戶口啟用多重認證，先由財務和管理層戶口開始。
- 設定 SPF、DKIM 和 DMARC 紀錄，讓收件方識別冒用你公司域名的電郵。
- 使用密碼管理器，確保每個戶口都有獨立密碼。
- 為外來電郵加上標示，並在信箱新增轉寄規則或出現異常登入時發出警報。
- 按照角色權限管理（RBAC），限制可在網上銀行及會計系統新增收款人或放行付款的人員。
員工意識
定期向財務及行政同事展示上述手法的例子，並提供簡單渠道報告可疑情況。相關技倆可參考網絡釣魚一文。
示例情境：會計文員在與長期供應商的電郵串中收到新郵件，對方以「審計」為由要求本月付款到新戶口。按公司規定，文員致電供應商的慣常聯絡人核實，對方並不知情，原來是供應商的電郵戶口被入侵。這是假設情境，並非描述任何特定客戶。
懷疑受騙時應怎樣做
- 立即聯絡銀行：如款項已經轉出，越早通知越好，但不保證能追回。
- 向警方舉報：在香港可致電反詐騙協調中心的「防騙易熱線 18222」查詢，並到警署或透過警方「電子報案中心」報案。
- 保存證據：保留原始電郵（包括完整標頭）、發票、付款紀錄和通話紀錄。
- 保護戶口：重設密碼、登出所有工作階段、檢查多重認證設定，並刪除不明的轉寄規則。
- 通知對方：如被冒用的是供應商或客戶的電郵，應透過可信渠道告知對方。
預先制定事故應變計劃，寫明每個步驟由誰負責，事發時便可節省時間。
常見問題
SPF、DKIM 和 DMARC 可以阻止商業電郵騙案嗎？
它們有助阻擋完全冒用你公司域名的電郵，但無法阻止相似域名，也擋不住從真正被入侵的信箱發出的郵件，因此付款核實仍然必要。
這類騙案只會透過電郵進行嗎？
不是。同樣的騙局也可以經即時通訊軟件、電話或偽造的視像會議進行。可參考我們的深偽詐騙防護文章。
如需協助檢視電郵安全、登入管控及付款流程，可查看我們的網絡安全及合規服務。如需有約定回應時間的持續監察及維護，可參考託管支援及 SLA 服務。