收款环节的信任劫持：BEC 邮件诈骗与制裁名单筛查
一句话结论：信任劫持指的是攻击者冒充或攻破供应商邮箱，利用发票与付款账户变更本就属常规沟通这一信任前提实施诈骗；阻断它的关键动作只有一个，就是任何收款账户变更都必须用档案里已有的电话带外核实。
关键数据速览
数据来源：FBI IC3 年度报告（统计口径为向美方报案的损失，与中国出口企业的风险分布并不等同）、U.S. Bank 企业与商业银行风控专栏、美国财政部 OFAC 官方问答与制裁名单。
信任劫持的三个结构性条件
信任劫持之所以屡屡得手，有三个结构性条件在支撑。
一个是沟通本身高频且可预期。供应商邮件在采购流程里天天出现，收件人不会对它的存在起疑。攻击者选中这类邮箱，正是因为它不需要制造异常。
二是账户变更在实务中确实常见。银行账户调整、收款主体变更、币种切换，都是正常商业动作。当变更成为常态，警惕性就会被摊薄。
三是攻击者能看到真实的业务细节。进入邮箱后，发票金额、开票节奏、审批路径都在眼前，侦察期可以长达数周甚至数月，下手时机的选择因此非常精准。曾有制造企业收到长期合作物流供应商的邮件，称因银行审计需要更换收款账户，发票金额、格式与时点与往期完全一致，应付人员更新档案后汇出 48.5 万美元，据该专栏的案例记录，两周后真实供应商催款才发现被骗。根因被归结为缺少对账户变更的带外验证。
四条防线：从邮件层到付款审批
防线一，供应商信息变更走带外验证。用档案里已有的电话回拨确认，而不是拨打邮件里提供的新号码；同时设置双重审批与变更生效前的冷静期。
防线二，邮件层做技术加固，减少信任劫持的入口。配置 DMARC、SPF、DKIM 降低域名伪造的成功率，强制开启多因素认证，停用旧式认证协议。
防线三，职责分离。录入供应商数据、审核变更、批准付款由不同的人担任，让单一环节无法独立完成资金划出。
防线四，把账户变更场景做成专项演练。只讲原则的培训效果有限，让应付与业务岗位各演一遍，才知道卡点在哪里。
落到日常动作上，信任劫持还有三条细节要盯：回复可疑邮件要用新建邮件并沿用档案地址，不要直接点回复；对方拒绝电话核实时，按高风险信号处理；伪造水单、篡改信用证条款、假冒买家下大单骗预付款，与账户变更属于同一类风险，处理逻辑相同。
制裁名单筛查与严格责任
信任劫持的另一条线是制裁名单筛查，常被忽略。据美国财政部 OFAC 官方问答，其制裁名单适用严格责任，即企业在不知情的情况下与名单主体发生交易，仍可能面临民事处罚。
需要说明的是，这属于美国法域的合规要求，中国出口企业是否触发该义务，取决于具体交易是否存在美国连接点，例如美元清算、美国主体、美国原产技术或物项。是否适用应结合企业具体交易情形判断，并以专业法律意见为准。
名单会定期更新，可行的做法是在供应商准入环节筛查一次，每次付款前再筛查一次。许多企业资源计划与应付系统已内置自动筛查功能，开启即可。
落地动作清单
1. 把收款账户变更当作信任劫持风险处理，列为一类独立审批事项，写明必须带外电话核实。
2. 核实电话只从已存档的供应商档案里取，不使用邮件中提供的新号码。
3. 设置账户变更的双重审批与冷静期，冷静期内不释放付款。
4. 检查邮件域名防护配置，确认 DMARC、SPF、DKIM 与多因素认证均已启用。
5. 在供应商准入与每笔付款前各做一次制裁名单筛查，并留存筛查记录。
常见问题（FAQ）
问：把 FBI IC3 的损失数字直接写成外贸行业每年损失多少，可以吗？
答：不可以。IC3 统计的是向美方报案的损失，报案主体与案件分布都偏向美国，与中国出口企业实际遭遇的风险在金额与手法占比上并不等同。引用时必须写明统计口径与报案属性。
问：客户用邮件发水单过来，怎么确认真假？
答：水单不能单独作为收款依据。正确做法是以银行账户实际到账为准，同时通过已存档的电话与对方财务核对付款指令；对方拒绝电话核实时，按高风险处理。伪造水单与账户变更是信任劫持里最常见的一组变体。
问：我们不用美元结算，也要做制裁名单筛查吗？
答：不一定适用。是否触发取决于交易是否存在美国连接点。稳妥做法是先判断连接点是否存在，再决定筛查范围；存在连接点时，按准入一次加付款前一次执行。
数据来源与更新时间
- U.S. Bank 企业与商业银行（https://www.usbank.com/corporate-and-commercial-banking/insights/risk/mitigation/BEC-recognize-a-scam.html）（商业邮件诈骗与信任劫持的识别与防范）
- FBI 网络犯罪投诉中心（https://www.ic3.gov/）（年度网络犯罪报告与 BEC 损失统计）
- 美国财政部 OFAC（https://ofac.treasury.gov/）（制裁名单与合规问答）
- 延伸阅读：市场采购贸易与收款通道的责任差异（/knowledge/trade-1039-vs-payment-channel）、信用证软条款识别（/knowledge/lc-soft-clause-review-steps）、出口信用保险小微统保平台（/knowledge/export-credit-insurance-sme-platform）
- 本文更新于 2026-09-15。制裁合规口径以 OFAC 现行规定为准，本文不构成法律意见。
下一步
今天你把可能被信任劫持利用的环节过一遍：先核对供应商档案里的联系电话，再确认公司的账户变更审批里写明了带外电话核实这一条。