贵公司会收到的最昂贵的网络钓鱼邮件，既没有病毒，也没有可疑链接。它看起来像一封来自熟悉供应商的普通邮件：对方说银行账户已变更，请把下一张发票付到新的 IBAN。在 FBI 发布的 2025 年互联网犯罪报告中，这类被称为商业电子邮件诈骗（BEC）的欺诈共产生 24,768 起投诉，损失 $3,046,598,558，平均每起投诉约 $123,000，约合 SAR 461,000。解决办法几乎零成本：绝不凭一封邮件就更改收款人的银行信息。请使用您自己记录中的电话号码致电确认，并要求由第二个人批准这项变更。（关于付款审批，我们在 币安被盗事件与付款审批控制 一文中已有讨论。）
2026 年的网络钓鱼邮件是什么样子
过去的建议是找拼写错误，这已经不管用了。FBI 报告指出，聊天生成工具可以快速写出语气正式、冒充公司 CEO 或其他高管的邮件，语音克隆也可能被用来要求转账。2025 年，FBI 收到超过 22,000 起提及人工智能的投诉，损失超过 8.93亿美元；企业报告在涉及 AI 的商业电子邮件诈骗中损失超过 3000万美元。
因此，要判断的是请求本身，而不是文字质量。以下预警信号依然有效：
- 银行信息变更，尤其是在一笔大额付款到期之前。
- 紧急和保密：“今天就付”、“我在开会，别打电话”、“这件事请保密”。
- 几乎正确的发件人地址：域名中改了一个字母，或用免费邮箱代替公司域名。
- 绕过常规流程的请求：某位经理直接要求会计在系统之外转账。
问题背后的数字
FBI 互联网犯罪投诉中心（IC3）在 2025 年共收到 1,008,597 起投诉，报告损失 208.77亿美元，比 2024 年增长 26%。仅网络钓鱼和身份伪造就产生 191,561 起投诉。商业电子邮件诈骗投诉从 2024 年的 21,442 起增至 2025 年的 24,768 起。这些是在美国提交的投诉，并非沙特数据，但手法在任何地方都一样：犯罪分子并不入侵您的银行，而是说服您自己的员工把钱汇出去。
同一份报告给所有财务团队留下了最有用的一课：速度。当受害者迅速报案时，FBI 的资产追回小组会与银行合作冻结资金。2025 年，它在 3,900 起事件中冻结了 $679,013,183，成功率为 58%。FBI 自己的建议是：时间至关重要，请立即联系银行并要求撤回转账。
保护公司的 6 个步骤
- 任何银行信息变更都要回拨核实。凡是更改供应商、员工或合作伙伴账户的请求，都要拨打您记录中已有的号码电话确认，绝不使用邮件中的号码。把它写成正式制度，让任何人都不会因为核实而尴尬。
- 每个新收款人都需要两个人。一人录入新的 IBAN，另一人在另一台设备上审批。请银行在其企业网银中开启这一功能。
- 邮箱启用多因素认证。沙特国家网络安全局（NCA）的电子邮件保护标准模板要求网页邮箱和手机邮件应用的访问以及邮件管理员都使用 MFA。大多数商业电子邮件诈骗都始于一个被盗的邮箱密码。
- 为您的域名配置 SPF、DKIM 和 DMARC。同一份 NCA 模板要求配置这三项记录，使其他服务器能够拒收冒充您域名的邮件。它们保护您的客户和供应商免受以您名义发出的假邮件。
- 过滤和外部发件人提示。NCA 模板要求拦截含有恶意链接或钓鱼企图的来信，并隔离中等风险邮件。请在每封来自公司外部的邮件上加上醒目的提示条。
- 一页纸的应急预案。如果钱已经汇出：立即致电银行要求撤回，修改邮箱密码，检查邮箱中是否有您未创建的转发规则，并提醒被冒名的供应商。
用 15 分钟教会员工什么
不需要冗长的课程。教会三个习惯：检查发件人的完整地址；绝不执行只通过邮件发来的付款请求；发现可疑邮件时上报而不是删除。然后每季度发送一次无害的测试邮件，讨论结果时不责怪任何人。一个能迅速上报的团队，比一个自以为从不点击的团队更有价值。
Origami 的观点
我们认为，网络钓鱼首先是流程问题，其次才是技术问题。邮件过滤总会漏掉一些邮件，而 AI 让假邮件一个月比一个月更逼真。不变的是系统内部的规则：未经核实和第二人审批，银行信息就不可能被更改。我们在为会计、采购或付款开发定制系统时，会把这条规则写进系统本身，并记录收款人数据的每一次修改，让它不依赖任何人的记忆。如果您希望检查公司的邮箱配置和付款审批流程，请 联系我们 或了解我们的 服务。
资料来源
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report：投诉和损失总数、商业电子邮件诈骗与网络钓鱼数据、与 AI 相关的投诉，以及资产追回小组的资金冻结结果。
- 沙特国家网络安全局（NCA）— Email Protection Standard template：关于 MFA、SPF、DKIM、DMARC 以及拦截钓鱼邮件的要求。
常见问题
如何判断一封要求更改供应商银行账户的邮件是诈骗？
往往无法仅凭邮件本身判断，因为 AI 现在能写出很有说服力的邮件。在通过您记录中已有的供应商电话号码（而不是邮件里的号码）致电确认之前，应把任何银行信息变更都视为可疑。
我们已经把钱转给了骗子，第一步该做什么？
立即致电您的银行，要求撤回这笔转账；速度最重要。然后修改邮箱密码，检查邮箱中是否有您未创建的转发规则，并提醒被冒名的供应商。
SPF、DKIM 和 DMARC 足以阻止网络钓鱼吗？
不够。它们能阻止他人冒充您自己的域名发送邮件，从而保护您的客户和供应商。但它们挡不住相似域名，也挡不住被入侵的供应商邮箱，因此仍然需要回拨核实规则和双人审批。
如果 AI 能写出完美的邮件，员工培训还有用吗？
有用，但要改变培训内容。不要再教员工找拼写错误，而要教他们判断请求本身：任何银行信息变更、紧急要求、保密要求或绕过正常流程的付款，都必须核实并上报。
