E-mel pancingan data paling mahal yang akan diterima syarikat anda tidak mengandungi virus atau pautan pelik. Ia kelihatan seperti mesej biasa daripada pembekal yang anda kenali, memaklumkan akaun banknya telah bertukar dan meminta invois seterusnya dibayar ke IBAN baharu. Dalam laporan jenayah internet 2025 oleh FBI, penipuan jenis ini, yang dipanggil penipuan e-mel perniagaan (BEC), mencatatkan 24,768 aduan dan kerugian $3,046,598,558, kira-kira $123,000 bagi setiap aduan, atau lebih kurang SAR 461,000. Penyelesaiannya hampir percuma: jangan sekali-kali menukar butiran bank penerima berdasarkan e-mel semata-mata. Sahkan melalui panggilan ke nombor dalam rekod anda sendiri, dan wajibkan orang kedua meluluskan pertukaran itu. (Kami telah membincangkan aspek kelulusan pembayaran dalam artikel tentang penggodaman Binance dan kawalan kelulusan pembayaran.)
Rupa e-mel pancingan data pada 2026
Nasihat lama ialah mencari kesilapan ejaan. Nasihat itu tidak berkesan lagi. Laporan FBI menyatakan penjana sembang boleh menghasilkan dengan pantas e-mel berbunyi rasmi yang meniru CEO atau pegawai lain syarikat, dan pengklonan suara boleh digunakan untuk meminta pindahan wang. Pada 2025 FBI menerima lebih 22,000 aduan yang menyebut kecerdasan buatan, dengan kerugian melebihi $893 juta, dan syarikat melaporkan kerugian lebih $30 juta akibat penipuan e-mel perniagaan yang melibatkan AI.
Oleh itu, nilai permintaannya, bukan mutu penulisannya. Tanda amaran yang masih sah:
- Pertukaran butiran bank, terutamanya sejurus sebelum pembayaran besar perlu dibuat.
- Desakan dan kerahsiaan: "bayar hari ini", "saya dalam mesyuarat, jangan telefon", "rahsiakan perkara ini".
- Alamat pengirim yang hampir betul: satu huruf berbeza dalam domain, atau akaun e-mel percuma dan bukan domain syarikat.
- Permintaan yang memintas proses biasa anda: seorang pengurus meminta akauntan terus memindahkan wang di luar sistem.
Angka di sebalik masalah ini
Pusat Aduan Jenayah Internet FBI (IC3) menerima 1,008,597 aduan pada 2025, dengan kerugian dilaporkan sebanyak $20.877 bilion, meningkat 26% berbanding 2024. Pancingan data dan penyamaran sahaja mencatatkan 191,561 aduan. Aduan penipuan e-mel perniagaan meningkat daripada 21,442 pada 2024 kepada 24,768 pada 2025. Ini ialah aduan yang dibuat di Amerika Syarikat, bukan angka Saudi, tetapi kaedahnya sama di mana-mana: penjenayah tidak menceroboh bank anda, sebaliknya meyakinkan pekerja anda sendiri untuk menghantar wang.
Laporan yang sama mengandungi pengajaran paling berguna untuk mana-mana pasukan kewangan: kepantasan. Apabila mangsa melapor dengan cepat, Recovery Asset Team FBI bekerjasama dengan bank untuk membekukan dana. Daripada 3,900 insiden pada 2025, pasukan itu membekukan $679,013,183, dengan kadar kejayaan 58%. Nasihat FBI sendiri jelas: masa amat penting, hubungi bank anda dengan segera dan minta pindahan ditarik balik.
6 langkah yang melindungi syarikat anda
- Peraturan panggilan balik bagi setiap pertukaran butiran bank. Setiap permintaan untuk menukar akaun pembekal, pekerja atau rakan kongsi disahkan melalui panggilan ke nombor yang sedia ada dalam rekod anda, bukan nombor dalam e-mel. Jadikannya dasar bertulis supaya tiada sesiapa berasa segan untuk bertanya.
- Dua orang bagi setiap penerima baharu. Seorang memasukkan IBAN baharu, seorang lagi meluluskannya daripada peranti berbeza. Minta bank anda mengaktifkan ciri ini dalam portal korporatnya.
- Pengesahan pelbagai faktor pada e-mel. Templat Piawaian Perlindungan E-mel oleh Pihak Berkuasa Keselamatan Siber Nasional Arab Saudi (NCA) mewajibkan MFA untuk akses mel web dan aplikasi e-mel mudah alih, serta untuk pentadbir e-mel. Kebanyakan penipuan e-mel perniagaan bermula dengan kata laluan e-mel yang dicuri.
- SPF, DKIM dan DMARC pada domain anda. Templat NCA yang sama mewajibkan ketiga-tiga rekod ini, supaya pelayan lain boleh menolak e-mel yang berpura-pura datang daripada domain anda. Ia melindungi pelanggan dan pembekal anda daripada e-mel palsu atas nama anda.
- Penapisan dan amaran pengirim luar. Templat NCA mewajibkan sekatan mesej masuk yang mengandungi pautan berbahaya atau cubaan pancingan data, dan kuarantin mesej berisiko sederhana. Tambah sepanduk amaran yang jelas pada setiap e-mel dari luar syarikat.
- Pelan tindak balas satu halaman. Jika wang sudah keluar: hubungi bank serta-merta dan minta tarik balik, tukar kata laluan e-mel, semak peti mel untuk peraturan pemajuan yang tidak anda cipta, dan beri amaran kepada pembekal yang namanya digunakan.
Apa yang perlu diajar kepada pekerja dalam 15 minit
Anda tidak memerlukan kursus panjang. Ajar tiga tabiat: semak alamat penuh pengirim, jangan sekali-kali melaksanakan permintaan pembayaran yang hanya tiba melalui e-mel, dan laporkan mesej yang mencurigakan dan bukan memadamkannya. Kemudian hantar e-mel ujian yang tidak berbahaya sekali setiap suku tahun dan bincangkan keputusannya tanpa menyalahkan sesiapa. Pasukan yang cepat melapor lebih bernilai daripada pasukan yang menyangka mereka tidak pernah mengklik.
Pandangan Origami
Kami melihat pancingan data lebih sebagai masalah proses berbanding masalah teknologi. Penapis e-mel akan sentiasa terlepas sebahagian mesej, dan AI menjadikan e-mel palsu semakin meyakinkan setiap bulan. Yang tidak berubah ialah peraturan di dalam sistem anda: pertukaran butiran bank mesti mustahil tanpa pengesahan dan kelulusan kedua. Apabila kami membina sistem khusus untuk perakaunan, perolehan atau pembayaran, kami meletakkan peraturan itu dalam sistem itu sendiri, bersama log setiap perubahan pada data penerima, supaya ia tidak bergantung pada ingatan sesiapa. Jika anda mahu semakan tetapan e-mel dan kelulusan pembayaran syarikat anda, hubungi kami atau lihat perkhidmatan kami.
Sumber
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: jumlah aduan dan kerugian, angka penipuan e-mel perniagaan dan pancingan data, aduan berkaitan AI, serta keputusan pembekuan dana oleh Recovery Asset Team.
- Pihak Berkuasa Keselamatan Siber Nasional (NCA) — Email Protection Standard template: keperluan MFA, SPF, DKIM, DMARC dan sekatan mesej pancingan data.
Soalan lazim
Bagaimanakah saya tahu e-mel yang meminta pertukaran akaun bank pembekal itu penipuan?
Selalunya anda tidak dapat mengetahuinya daripada e-mel itu sendiri, kerana AI kini menulis mesej yang meyakinkan. Anggap setiap pertukaran butiran bank sebagai mencurigakan sehingga anda mengesahkannya melalui panggilan ke nombor pembekal yang sedia ada dalam rekod anda, bukan nombor dalam e-mel.
Kami telah memindahkan wang kepada penipu. Apakah yang perlu dibuat dahulu?
Hubungi bank anda dengan segera dan minta pindahan itu ditarik balik; kepantasan paling penting. Kemudian tukar kata laluan e-mel, semak peti mel untuk peraturan pemajuan yang tidak anda cipta, dan beri amaran kepada pembekal yang namanya digunakan.
Adakah SPF, DKIM dan DMARC cukup untuk menghalang pancingan data?
Tidak. Ia menghalang pihak lain daripada menghantar e-mel yang berpura-pura datang daripada domain anda sendiri, sekali gus melindungi pelanggan dan pembekal anda. Ia tidak menghalang domain yang hampir serupa atau peti mel pembekal yang digodam, jadi peraturan panggilan balik dan kelulusan dua orang masih diperlukan.
Adakah latihan pekerja masih berguna jika AI menulis e-mel yang sempurna?
Ya, tetapi tukar kandungannya. Daripada mencari kesilapan ejaan, ajar pekerja menilai permintaan itu: sebarang pertukaran butiran bank, desakan, kerahsiaan atau pembayaran di luar proses biasa mesti disahkan dan dilaporkan.
