商业电子邮件泄露（BEC）是一类独立的金融犯罪，并非恰好以高管为目标的网络钓鱼变种。网络钓鱼的成功依赖于诱骗他人点击不该点击的内容，而商业电子邮件泄露的成功无需这些手段：整个攻击只是一封经过充分调查的电子邮件，要求某个特定的人去做一件看似符合日常工作的事情。最大的案件可以通过单笔转账转移六位数的资金，而等到有人察觉时，钱通常已经流出境外。

网络钓鱼过滤器或训练有素的员工通常会寻找的信号在这里全都检测不到。这正是商业电子邮件泄露与普通网络钓鱼的区别所在，也是为什么一般性的网络钓鱼意识难以阻止它。我们将向您展示如何识别商业电子邮件泄露并保护您的组织。

什么是商业电子邮件泄露？

商业电子邮件泄露是一种针对性攻击，犯罪分子会冒充目标信任的人，通常是高级管理人员、供应商或内部同事，然后要求电汇、更改付款详细信息或提供敏感凭证。

通常不涉及恶意软件（新窗口），也没有恶意链接。不同之处在于发件人身份是如何被伪造的，而攻击者的可选项比大多数人想象的更多：

  • 仿冒域名：攻击者注册一个与真实域名几乎完全相同的域名，只替换一个字母或添加一个连字符，并指望没有人仔细查看地址。
  • 显示名称欺骗：“发件人”显示名称被设置为与已信任的人一致，例如“张伟”，而实际地址却毫不相干。许多移动电子邮件客户端默认只显示显示名称，因此真实地址甚至不会出现在屏幕上。
  • 标题欺骗：SMTP 是传输电子邮件的协议，它本身不会验证“发件人”标题，因此攻击者可以发送一条声称来自真实地址的消息，而无需实际控制该地址。消息能否进入收件箱取决于接收域名的身份验证检查。
  • 回复地址篡改：可见的“发件人”地址看起来合法，但其背后设置了另一个不同的 Reply-To 地址，因此目标一旦点击回复，会话就会悄然被转送到攻击者那里。
  • 帐户泄露：攻击者获得真实电子邮件帐户的访问权限，并从该帐户内部发送请求。

最后一种，即帐户泄露，是最难察觉的，因为这封电子邮件在技术上确实毫无破绽。它来自真实地址，使用真实的自定义电子邮件域，甚至可能延续目标之前见过的某个话题。

商业电子邮件泄露攻击的惯用套路是如何运作的

商业电子邮件泄露攻击是精心策划的，而非临时起意，罪犯的大部分精力通常都花在准备工作上。

调查研究

攻击始于侦察：LinkedIn 个人资料能揭示谁担任什么职位、谁向谁汇报，公司新闻稿会公布合并、融资轮次或新的供应商合作关系，而一条休假自动回复甚至可能把攻击者最需要的详细信息拱手送上——确认真正的高管此刻无法联系。

选择目标

接下来，攻击者开始挑选目标。并非每位员工都对商业电子邮件泄露企图有用；目标必须是真正有权调动资金或更改付款详细信息的人，这通常会将范围缩小到财务、应付账款、人力资源或薪资部门。

冒充开始

一旦选定了目标和一套看似可信的说辞，冒充便随之展开，要么利用仿冒的相似域名，要么利用真正被泄露的邮箱，语气、签名和正式程度都与真实发件人的习惯保持一致。

发起联系

攻击者会与企业内的某人互动，提出紧急请求或要求。这可能是必须当天敲定的收购交易、急需数据的审计人员，或是电话打不通、身陷困境的同事。

通常，这类请求会是电汇、更改银行详细信息，或索取登录凭证，并且被包装成一件只需照办、无需质疑的事情。

四种常见的商业电子邮件泄露场景

以下是攻击者最常使用的几种商业电子邮件泄露手段。

CEO 欺诈

一封电子邮件看似来自 CEO、董事总经理或其他高层领导，要求财务团队成员处理一笔紧急且往往保密的付款。在这里，发件人表面上的高位起了大部分作用，因为很少有员工能坦然质疑一封看似来自最高层的请求。

发票欺诈

一家与企业已有合作关系的供应商看似发来通知，要求更改银行详细信息，时间通常恰好赶在真实发票到期之前。由于真实的业务关系和真实的付款本就存在，这种版本往往是财务团队最难识破的，而且企业在报告的重大单笔损失中，有相当一部分正是由它造成的。

薪资重定向

一封冒充员工（偶尔冒充人力资源部本身）的电子邮件要求薪资部门在下一次发薪前更新银行详细信息。这个请求小而平常，很少会有人多看一眼，而这正是它得逞的原因。

冒充 IT 支持

一条冒充内部 IT 或服务台的消息要求员工在系统更新前确认密码或批准登录提示。与其他三种不同，这种场景并不直接图财，而是冲着凭证来的——有了凭证，其他各种形式的商业电子邮件泄露实施起来都会更容易。

商业电子邮件泄露的实际代价

商业电子邮件泄露损失的统计口径与普通银行卡欺诈不同，这也是问题规模容易被低估的原因之一。美国联邦调查局互联网犯罪投诉中心记录显示，2024 年共发生 21,442 起报告的商业电子邮件泄露事件，损失达 277 亿美元（新窗口）；其对这类骗局的累计统计显示，过去十年全球暴露损失已超过 550 亿美元（新窗口）。不过，平均值掩盖了真实情况。那些登上头条的案件展示了单封精心打造的电子邮件能转移多少资金。

2013 年至 2015 年间，一名立陶宛诈骗分子利用一家冒充广达电脑（Quanta Computer）的公司开出的假发票，向 Facebook 和 Google 累计开票 1.21 亿美元（新窗口）。广达电脑是这两家公司确实在使用的硬件供应商。由于这些发票符合现有的业务关系，帐户团队照单付款，而且一付就是两年。

2016 年，奥地利航空航天供应商 FACC 遭到一封冒充时任 CEO 的电子邮件攻击，对方以一个所谓的收购项目为由要求转账约 5000 万欧元（新窗口）——这正是本文开头描述的借口。该公司在发现欺诈后叫停了部分转账，但其余款项始终未能追回。

这些案件所描述的这类犯罪，其表现方式与大多数网络钓鱼统计截然不同。网络钓鱼以数量衡量：数百万封几乎一模一样的电子邮件，其中大多数在有人看到之前就被过滤器拦截。

商业电子邮件泄露则以单个事件衡量，每一起都围绕一个目标和一笔付款展开，而单单一项就足以在一个下午造成一千封被拦截的网络钓鱼电子邮件永远无法企及的破坏。

任何曾经通过电汇调动资金或更改过供应商银行详细信息的组织，都应将其视为现实存在的财务风险，并将可疑事件报告给本国的欺诈举报中心，例如美国的 FBI IC3、英国的 Action Fraud，以及其他地区的同类机构。

真正能阻止商业电子邮件泄露的管控措施

由于商业电子邮件泄露绕过了网络钓鱼培训所依赖的技术性危险信号，能阻止它的管控措施看起来也有所不同。提高意识有帮助，但真正经得起考验的防御是流程性和技术性的，而不是要求员工更仔细地阅读电子邮件。

双重授权

对超过设定阈值的任何付款，双重授权必须是强制性的，而不是在有人想起来要求时才给予的礼遇。无论请求看起来级别多高或多么紧急，仅凭一个人的批准绝不应足以转移一笔可观的资金。

回拨验证

回拨验证弥补了单靠电子邮件无法闭合的环节。任何更改银行详细信息或放行付款的请求都应通过电话确认，且必须使用档案中已有的号码，绝不能使用电子邮件本身提供的号码，因为攻击者提供的号码只会把目标重新连回攻击者那里。

审查付款审批流程

定期审查付款审批流程也有助于长期降低商业电子邮件泄露风险。随着企业发展壮大，临时例外和非正式的快捷方式常常在无人质疑其是否仍然合适的情况下成为日常运营的一部分。审查谁有权批准付款、银行详细信息变更如何获得批准，以及哪些交易需要额外验证，有助于确保财务管控与组织当前的风险水平保持一致。即使是设计良好的流程，如果不随业务演进而重新审视，也会失去效力。

电子邮件身份验证

技术性的电子邮件身份验证是电子邮件安全的关键组成部分，其重要性在这里远超大多数网络钓鱼场景，因为商业电子邮件泄露经常依赖欺骗组织自己的域名来冒充其高管。

DMARC 与 SPF 和 DKIM 协同工作，告诉接收邮件服务器如何处理未通过您的域名身份验证的消息，从而让攻击者更难发送看似来自贵方 CEO 的电子邮件。

开放的安全文化

如果没有一种文化规范作为支撑，这一切都行不通：无论请求看似来自谁，暂停下来加以核实永远都是可以接受的。那些害怕在高层人物面前显得碍事或不信任他人的员工，恰恰是商业电子邮件泄露企图想要捕获的对象。只有当领导层反复明确表示，质疑不寻常的请求是理所应当的、而非不忠时，这种顾虑才会消失。

如何识别商业电子邮件泄露企图的警告信号

商业电子邮件泄露很少通过明显的技术性警告信号显露自己。电子邮件可能来自熟悉的地址，提及真实的项目，并使用与以往会话相符的语言。这就是为什么请求相关的背景信息往往比电子邮件本身更重要。

在商业电子邮件泄露调查中，有几种模式反复出现。绕过正常审批程序的请求应始终引起质疑。同样值得警惕的还有：出人意料地要求对付款保密的指示、在发票即将到期前不久更改供应商的银行详细信息，或在高级管理人员出差难以联系时提出的请求。攻击者故意选择员工不太可能通过其他频道核实请求的时机。

沟通风格的细微变化也能提供线索。通常将财务审批交由他人处理的高管可能突然亲自要求付款。通常通过客户经理沟通的供应商可能由另一个联系人发送银行指示。这些迹象本身都不能证明发生了攻击，但在资金转出或帐户详细信息变更之前，它们应促使进行额外的验证。

最稳妥的做法是将不寻常的财务请求视为业务流程例外，而不是需要紧急决断的情况。使用已信任的号码打个简短电话，或通过既有的内部沟通频道进行确认，就能避免一场原本需要数周甚至数月才能恢复的损失。

凭证如何让商业电子邮件泄露变得更加容易？

并非每一次商业电子邮件泄露企图都依赖仿冒的相似域名。有时，它始于一个真正被泄露的电子邮件帐户——攻击者只是用早已在别处暴露的密码登录了进去。

进入之后，他们无需伪造任何东西。他们可以查看以往的话题，精确模仿语气和格式，并从一个能通过所有身份验证检查的地址发送欺诈请求，因为这确实是发件人自己的帐户。

这正是密码安全习惯与商业电子邮件泄露防范直接重叠之处。Proton 的数据泄露观测站追踪企业凭证在犯罪数据集中出现的频率——这往往远早于受影响公司内部任何人的察觉，而帐户泄露正是这些数据所促成的后果。

安全的商务电子邮件、每个帐户使用唯一密码，再配合多因素身份验证（MFA），意味着从一次泄露事件中泄露的密码无法被重复使用来闯入邮箱并从内部发动商业电子邮件泄露企图。

像 Proton Pass for Business 这样的企业密码管理器让这一标准在整个组织中切实可行地维持下去，而不是依赖个别员工记得不重复使用密码。当凭证得到妥善生成和存储时，数据泄露和帐户接管的漏洞将显著减少。

使用安全的企业密码管理器保护您的企业帐户免遭泄露。