什麼是商業電郵詐騙？定義、運作原理及防範

重點摘要

1. 對公司的風險：一封可信的電郵，足以令貨款或薪金檔案落入騙徒手中，款項被轉走後很難追回。
2. 商業電郵詐騙（BEC）是騙徒冒充老闆、同事或供應商，誘使員工轉帳或交出資料的騙案。
3. 它通常沒有連結或惡意程式，真正的防線是公司的付款流程。
4. 如已匯款，立即致電銀行及「防騙易」熱線 18222。

星期五傍晚，會計部同事收到董事總經理的電郵：今晚必須完成一宗交易，請把 48 萬港元匯到新帳戶，並且保密。電郵沒有連結、沒有附件，看起來就是一封普通的工作電郵，這正是商業電郵詐騙得手的原因。

什麼是商業電郵詐騙（BEC）？

商業電郵詐騙（Business Email Compromise，簡稱 BEC）是騙徒透過偽造或被入侵的電郵帳戶，冒充員工信任的人，例如老闆、同事、供應商或律師，誘使對方轉帳、更改收款銀行資料或發送敏感資料的騙案。它依靠欺騙與時機，而非惡意程式。

它就像一封印在真信紙上的假信：信封、語氣與時機都對，收信人自然不會起疑。BEC 屬於網絡釣魚的一種，但只針對一位有權批核付款的人。

香港例子：警方於 2026 年 4 月透露，一名經理收到冒充行政總裁的電郵，把逾 1,400 萬港元匯入本地帳戶，事後才知道對方郵箱早已被入侵（香港電台，2026 年 4 月 27 日）。

商業電郵詐騙如何運作？

大部分 BEC 騙案分五步：先研究公司架構，再以盜取的密碼或仿冒網域取得立足點，然後靜靜監視往來電郵，在適當時機發出緊急付款或索取資料的要求，最後在數小時內經傀儡戶口轉走款項。每一步技術含量不高，但騙徒非常有耐性。

1. 研究：收集姓名、職銜與供應商資料。
2. 立足：騙取郵箱密碼，或註冊仿冒網域。
3. 監視：設定隱藏規則轉寄或刪除回覆。
4. 出手：在下班前或老闆出差時發出指示。
5. 套現：經傀儡戶口轉走款項。

人工智能令研究與撰寫更快。Microsoft 於 2026 年 9 月瓦解的犯罪平台 EvilTokens，便以 AI 分析被盜郵箱中的付款流程，涉及逾 12,000 個郵箱（Microsoft，2026 年 9 月 22 日）。

商業電郵詐騙有哪些類型？

常見有五類：冒充老闆要求緊急轉帳；偽造供應商發票或通知更改收款帳戶；入侵真實員工的郵箱；在交易期間冒充律師或核數師；以及索取薪金、稅務等資料。其中供應商發票騙案最難識破，因為付款本身看來完全合理。

所有入侵途徑，不只最出名的一種

1. 仿冒網域：改一個字母，或把 .com 換成 .co。
2. 顯示名稱偽冒：顯示老闆名字，背後是免費電郵地址。
3. 盜用密碼：騙徒直接用被盜的真帳戶發信。
4. 裝置代碼或授權釣魚：受害人在真正的 Microsoft 或 Google 頁面批准登入，便已交出存取權。
5. 供應商被入侵：電郵確實來自供應商，技術檢查全部通過。
6. 跟進來電：以聲音複製或深偽視像「確認」指示。

怎樣識別商業電郵詐騙？

留意同時帶有「緊急」、「保密」及「改變正常流程」的付款或資料要求，例如新的銀行帳戶、要求跳過審批、寄件地址只差一個字母、回覆地址陌生，或老闆突然無法接聽電話。只要出現其中一個警號，就應該先停下來核實。

1. 收款帳戶是新開的、在海外，或以個人名義持有。
2. 電郵強調保密，或按回覆後收件地址與寄件地址不同。
3. 對方迴避通電話，只肯用電郵或 WhatsApp 溝通。

冒充已不限於電郵。HKCERT 在 2026 年第三季錄得 4,404 宗保安事故，約 61% 屬網絡釣魚，騙徒越來越多同時利用即時通訊、短訊及電話（HKCERT，2026 年 11 月 5 日）。

怎樣防範商業電郵詐騙？

防範分兩層。人與流程：任何新增或更改的銀行資料，都要用公司已有的電話號碼致電核實，大額轉帳須由兩人批核。技術：所有郵箱啟用防釣魚的多重認證（MFA），設定電郵驗證紀錄，並在郵箱出現新轉寄規則時即時發出警報。

個人：啟用雙重驗證（選單路徑最後核對於 2026 年 11 月）

1. iPhone 上的 Google 帳戶：Gmail App → 點選個人頭像 → 管理你的 Google 帳戶 → 安全性與登入 → 開啟兩步驟驗證。
2. Android 上的 Google 帳戶：設定 → Google → 管理你的 Google 帳戶 → 安全性與登入 → 開啟兩步驟驗證。
3. Microsoft 365（iPhone 與 Android 相同）：Microsoft Authenticator → + → 工作或學校帳戶 → 掃描 QR 碼（QR 碼在 mysignins.microsoft.com/security-info 取得）。

中小企與 IT 團隊

1. 設定 SPF、DKIM 及 DMARC 電郵驗證紀錄，讓伺服器拒收冒用你公司網域的電郵。
2. 為外部電郵加標籤，並禁止自動轉寄到公司以外。
3. 郵箱出現新規則或異地登入時發出警報。
4. 財務與高層帳戶改用通行密鑰等防釣魚 MFA，這是 HKCERT 對高風險帳戶的建議。

公司情境：一條規則擋住騙案

公司規則：收款帳戶如屬新增或更改，必須先用系統內已有的號碼致電收款方核實；大額轉帳不得由一人獨自放行。金額門檻按公司實際情況設定。

可直接轉發到 WhatsApp 群組的員工通知

管理層提醒：公司不會用電郵或 WhatsApp 要求你緊急或秘密轉帳。
任何新增或更改的銀行資料，必須用公司系統內的號碼致電核實。
要求很趕？先停下來打電話確認，核實不會被責怪。
可疑電郵請轉寄 IT，不要回覆。

60 秒自我檢查清單

1. 公司所有郵箱都已啟用多重認證？
2. 更改銀行資料必須致電已知號碼核實？
3. 大額轉帳需要兩人批核？
4. 本月有沒有人檢查過郵箱的陌生轉寄規則？
5. 員工知道懷疑受騙時第一時間找誰？

中了商業電郵詐騙應該怎樣做？

立即行動：致電銀行要求截停或追回款項；致電警方「防騙易」熱線 18222 或到就近警署報案；重設被入侵郵箱的密碼並登出所有裝置；刪除陌生轉寄規則；保留原始電郵。然後通知可能收到後續假電郵的供應商與客戶。

1. 銀行：提供收款帳號，要求緊急追回。
2. 報警：致電 24 小時「防騙易」熱線 18222，緊急情況致電 999。
3. 查核：用防騙視伏器查詢收款帳戶是否曾被舉報。
4. 技術支援：HKCERT 熱線 8105 6060。
5. 證據與私隱：保存電郵標頭；如個人資料外洩，考慮通知私隱專員公署。

商業電郵詐騙與網絡釣魚有何分別？

網絡釣魚廣泛撒網，用連結或附件盜取密碼或植入惡意程式；商業電郵詐騙則是有針對性的對話，通常完全沒有連結，只要求某一個人付款或交出資料。網絡釣魚往往是騙徒取得郵箱的第一步，商業電郵詐騙則是他們套現的方法。

讓付款流程成為最強的防線

商業電郵詐騙看起來就是日常工作。阻止款項流出的方法很簡單：致電已知號碼核實，不尋常付款由第二人批核。

測試你的團隊能否識破假老闆電郵

模擬釣魚電郵測試找出哪些同事會按假付款要求行事，再以員工警覺培訓補上缺口。

安排釣魚電郵測試

常見問題

被商業電郵詐騙騙走的款項可以追回嗎？

如在數小時內報告，有機會凍結或撤回仍在收款帳戶的款項；款項一旦轉走便難以追查。應先致電銀行，再報警。

商業電郵詐騙只會經電郵發生嗎？

不是。HKCERT 指出冒充手法已擴展至即時通訊、短訊及電話，致電核實規則應適用於任何要求付款的渠道。

商業電郵詐騙造成多大損失？

美國聯邦調查局《2025 年網絡犯罪報告》錄得 24,768 宗商業電郵詐騙投訴，損失約 30.5 億美元，較 2024 年增加約一成，是該報告損失第二高的罪案類別。