什么是商务邮件诈骗？定义、原理与防范方法

重点摘要

1. 对公司的风险：一封以假乱真的邮件，就能让货款或工资文件落入骗子手中，资金被转走后很难追回。
2. 商务邮件诈骗（BEC）是骗子冒充老板、同事或供应商，诱使员工转账或交出资料的诈骗。
3. 它通常没有链接或恶意程序，真正的防线是公司的付款流程。
4. 如已汇款，立即联系银行并拨打「防骗易」热线 18222。

一位财务主管说，她最担心的是某天收到「老板」的邮件：合同今晚必须签，请马上把订金汇到新账户，暂时保密。这类邮件没有链接、没有附件，看起来就是普通的工作邮件，这正是商务邮件诈骗屡屡得手的原因。

什么是商务邮件诈骗（BEC）？

商务邮件诈骗（Business Email Compromise，简称 BEC）是骗子利用伪造或被盗的邮箱，冒充员工信任的人，例如老板、同事、供应商或律师，诱使对方转账、更改收款银行信息或发送敏感资料的诈骗。它靠的是欺骗与时机，而不是恶意程序。

它就像一封印在真信纸上的假信：信封、语气和时机都对得上，收件人自然不会多想。BEC 属于网络钓鱼的一种，但只瞄准一位有付款审批权的人。

香港案例：警方于 2026 年 4 月披露，一名经理收到冒充行政总裁的邮件，把超过 1,400 万港元汇入本地账户，事后才发现对方邮箱早已被入侵（香港电台，2026 年 4 月 27 日）。

商务邮件诈骗是如何运作的？

多数 BEC 诈骗分五步：先摸清公司架构，再用盗取的密码或仿冒域名取得立足点，接着悄悄监视往来邮件，在合适时机发出紧急付款或索取资料的要求，最后在几小时内通过傀儡账户转走资金。每一步技术门槛不高，但骗子极有耐心。

1. 踩点：收集姓名、职位与供应商资料。
2. 立足：骗取邮箱密码，或注册仿冒域名。
3. 潜伏：设置隐藏规则转发或删除回复。
4. 出手：在下班前或老板出差时发出指令。
5. 洗钱：经傀儡账户转走资金。

AI 让骗子写信更快。Microsoft 于 2026 年 9 月瓦解的犯罪平台 EvilTokens，就用 AI 分析被盗邮箱的付款流程，波及超过 12,000 个邮箱（Microsoft，2026 年 9 月 22 日）。

商务邮件诈骗有哪些类型？

常见有五类：冒充老板要求紧急转账；伪造供应商发票或通知更改收款账户；入侵真实员工的邮箱；在交易过程中冒充律师或审计师；以及索取工资、税务等资料。其中供应商发票诈骗最难识别，因为这笔付款本身看起来完全合理。

所有入侵途径，而不只是最出名的那一种

1. 仿冒域名：改一个字母，或把 .com 换成 .co。
2. 显示名称伪装：显示老板名字，背后是免费邮箱地址。
3. 盗用密码：骗子直接用被盗的真账户发信。
4. 设备代码或授权钓鱼：受害人在真正的 Microsoft 或 Google 页面批准登录，就已交出访问权限。
5. 供应商被入侵：邮件确实来自供应商，技术校验全部通过。
6. 跟进来电：用声音克隆或深度伪造视频「确认」指令。

如何识别商务邮件诈骗？

警惕同时具备「紧急」、「保密」和「改变常规流程」特征的付款或资料请求，例如新的银行账户、要求跳过审批、发件地址只差一个字母、回复地址陌生，或老板突然无法接电话。只要出现其中一个信号，就应该先停下来核实。

1. 收款账户是新开的、在境外，或以个人名义开立。
2. 邮件强调保密，或点击回复后收件地址与发件地址不一致。
3. 对方回避通电话，只愿意用邮件或 WhatsApp 沟通。

冒充早已不限于邮件。HKCERT 在 2026 年第三季度录得 4,404 宗安全事故，约 61% 为网络钓鱼，且骗子常同时利用即时通讯和电话（HKCERT，2026 年 11 月 5 日）。

如何防范商务邮件诈骗？

防范分两层。人员与流程：任何新增或更改的银行信息，都要用公司已有的电话号码回拨核实，大额转账必须双人审批。技术：所有邮箱启用防钓鱼的多因素认证（MFA），配置邮件认证记录，并在邮箱出现新的转发规则时立即告警。

个人：开启两步验证（菜单路径最后核对于 2026 年 11 月）

1. iPhone 上的 Google 账号：Gmail App → 点击头像 → 管理你的 Google 账号 → 安全与登录 → 开启两步验证。
2. Android 上的 Google 账号：设置 → Google → 管理你的 Google 账号 → 安全与登录 → 开启两步验证。
3. Microsoft 365（iPhone 与 Android 相同）：Microsoft Authenticator → + → 工作或学校账户 → 扫描二维码（二维码在 mysignins.microsoft.com/security-info 获取）。

中小企业与 IT 团队

1. 配置 SPF、DKIM 和 DMARC 邮件认证记录，让服务器拒收冒用你公司域名的邮件。
2. 给外部邮件加标签，并禁止自动转发到公司以外。
3. 邮箱出现新规则或异地登录时自动告警。
4. 财务和高管账号改用通行密钥等防钓鱼 MFA，这是 HKCERT 对高风险账号的建议。

公司情境：一条制度挡住诈骗

公司制度：收款账户如为新增或变更，必须先用系统内已有的号码致电收款方核实；大额转账不得由一人单独放行。金额门槛按公司实际情况设定。

可直接转发到 WhatsApp 或工作群的员工通知

管理层提醒：公司不会通过邮件或 WhatsApp 要求你紧急或秘密转账。
任何新增或变更的银行信息，必须用公司系统里的号码回拨核实。
要求很急？先停下来打电话确认，核实不会被追究。
可疑邮件请转发给 IT，不要回复。

60 秒自查清单

1. 公司所有邮箱都已开启多因素认证？
2. 更改银行信息必须回拨已知号码核实？
3. 大额转账需要双人审批？
4. 本月有人检查过邮箱里的陌生转发规则吗？
5. 员工知道怀疑受骗时第一时间找谁？

遭遇商务邮件诈骗后应该怎么做？

马上行动：致电银行要求拦截或追回款项；拨打香港警方「防骗易」热线 18222 或到就近警署报案；重置被入侵邮箱的密码并退出所有设备；删除陌生转发规则；保留原始邮件。随后通知可能收到后续假邮件的供应商和客户。

1. 银行：提供收款账号，要求紧急追回。
2. 报警：拨打 24 小时「防骗易」热线 18222，紧急情况拨打 999。
3. 查核：用防骗视伏器查询收款账户是否曾被举报。
4. 技术支援：HKCERT 热线 8105 6060。
5. 证据与隐私：保存邮件头信息；如个人资料外泄，考虑通知私隐专员公署。

商务邮件诈骗和网络钓鱼有什么区别？

网络钓鱼是广撒网，用链接或附件盗取密码或植入恶意程序；商务邮件诈骗则是精准的对话，通常完全没有链接，只要求某一个人付款或交出资料。网络钓鱼往往是骗子拿到邮箱的第一步，商务邮件诈骗则是他们变现的手段。

让付款流程成为最坚固的防线

商务邮件诈骗看起来就是日常工作。最有效的防线：回拨已知号码核实，异常付款双人审批。

测试你的团队能否识破假老板邮件

模拟钓鱼邮件测试找出哪些同事会按假付款请求操作，再用安全意识培训补上漏洞。

安排钓鱼邮件测试

常见问题

被商务邮件诈骗骗走的钱还能追回吗？

如果在几小时内报告，有机会冻结或撤回仍在收款账户的资金；一旦被转走便很难追查。应先联系银行，再报警。

商务邮件诈骗只会通过邮件发生吗？

不是。HKCERT 指出冒充手法已扩展到即时通讯、短信和电话，回拨核实制度应适用于任何要求付款的渠道。

商务邮件诈骗造成的损失有多大？

美国联邦调查局《2025 年网络犯罪报告》录得 24,768 宗商务邮件诈骗投诉，损失约 30.5 亿美元，比 2024 年增加约一成，是该报告中损失第二高的犯罪类型。