文章总结： 本文分析BEC商业邮件欺诈攻防，指出其本质是攻击流程信任而非系统漏洞，VEC供应商邮箱泄密已占61%并反超CEO欺诈。AI将钓鱼邮件制作门槛降至5分钟，双因子认证可被绕过。文章给出真实案例及财务防线清单，核心建议为转账必须带外验证、双签审批、付款白名单、冷静期机制及域名仿冒监控，强调技术防线之外流程确认是关键。
综合评分： 88
文章分类： 安全意识,安全运营,解决方案,威胁情报
几百万是怎么被一封邮件骗走的 BEC 攻防深水区，甲方财务必看
宝十八
宝十八
网络安全老宋
2026年9月25日 12:00
山东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
导语： 你好，我是网络安全老宋。安全攻防干货准时送达！
网络安全老宋// 邮件安全 · BEC 攻防
// 邮件安全 · BEC 攻防
几百万是怎么被一封邮件骗走的 BEC 攻防深水区，甲方财务必看
没有木马、没有钓鱼网站，一封”老板急汇款”就能搬走几百万。BEC 不攻击系统，攻击的是流程信任。
BEC供应商泄密财务防线
目录 · Table of Contents
01BEC 的本质：不攻击系统，攻击人
02最危险的变种：VEC 已经反超 CEO 欺诈
03AI 把门槛砸到了地板
04真实翻车案例：每一笔都是真金白银
05为什么总能得手：财务流程里那道缝
06甲方财务防线清单（直接能用）
上篇我们讲了邮件安全怎么”配”才算真的配了。这篇翻到攻击侧——因为配得再好，只要财务流程有一道缝，骗子照样能把钱搬走。
先给你一组冷冰冰的数字：美国 FBI 的 IC3 报告里，2025 年商业邮件欺诈（BEC）造成的直接经济损失是 30.46 亿美元，全年 24,768 起投诉，同比还涨了 15.5%，单案平均损失 12.3 万美元。注意，这还只是美国报案的，大量案件因为企业怕丢脸根本没报。
更魔幻的是，这些案子绝大多数没有木马、没有病毒、没有钓鱼网站。骗子就是发一封看起来无比正常的邮件：”我是老板，在出差，紧急把这笔款转到这个新账户。”然后钱就没了。
01BEC 的本质：不攻击系统，攻击人
传统邮件攻击靠技术：钓鱼网站套密码、恶意附件种木马。BEC 反其道而行——它根本不碰你的技术防线。
骗子会先花几周甚至几个月潜伏：监控目标公司的邮件往来，摸清谁是财务、谁是供应商、老板说话什么语气、平时怎么安排转账。然后挑老板在飞机上、开会的时机，用仿冒邮箱（或者干脆攻陷了真邮箱）发指令。
Verizon 的数据泄露调查报告显示，钓鱼仍是 16% 的数据泄露的初始入口；IBM 统计，涉及钓鱼的数据泄露平均损失 480 万美元。但 BEC 的恐怖之处在于：它不需要你点错任何东西，它骗的是”流程信任”。
02最危险的变种：VEC 已经反超 CEO 欺诈
早年的 BEC 经典剧本是”假 CEO”——骗子仿冒老板邮箱催财务打款。但现在更狠的是 VEC（Vendor Email Compromise，供应商邮箱泄密）。
什么意思？骗子不直接骗你，而是先攻陷你合作方的邮箱（比如你家长期合作的供应商销售），然后用那个真邮箱给你发”发票账户变更”的邮件。你想想：合作伙伴自己发来的邮件，你防备心几乎为零。
最新数据让人警醒：在 BEC 案件里，VEC 已经占到约 61%，反超了传统的 CEO 欺诈。攻击链变成了”骗 A 来骗 B”——拿下供应商，再顺着供应链打到下游客户。这对甲方来说是双杀：你既是 VEC 的受害者，也可能因为自己邮箱被拿下变成骗别人的那一方。
03AI 把门槛砸到了地板
以前写一篇逼真的钓鱼邮件，老练的社工工程师要花 16 个小时——研究目标、模仿语气、排版措辞。现在大模型把这件事变成了 5 分钟。
效果立竿见影：IBM 报告显示，2025 年约 16% 的数据泄露事件涉及 AI 因素；FBI 收到 22,364 起与 AI 相关的投诉，涉及金额 8.93 亿美元。AI 不只帮骗子写得快，还帮他们写得不像机器——没有语法错误、语气自然、能针对你公司情况定制，传统的”拼写错误就疑为诈骗”的识别法彻底失效。
更黑产的是，现在有现成的”MFA 绕过工具包”在地下市场只卖约 120 美元。双因子认证不再是铜墙铁壁，骗子用偷来的密码配合中间人代理，能把你的短信验证码也骗走。
04真实翻车案例：每一笔都是真金白银
光讲概念没感觉，看几个近两年实打实的案子：
| | | |
| — | — | — |
| 案例 | 涉案金额 | 剧本 |
| 腾讯云假 CEO 案 | 200 万美元 | 骗子仿冒高管邮件，指示财务向”新账户”紧急转账，”假老板急汇款”剧本在出海企业里尤其高发。 |
| 新加坡 2025 年 | 8500 万新元 | 当地披露 BEC 一年内造成约 8500 万新元损失，大量针对跨国企业财务部门。 |
| 澳大利亚 2025 年 | 21.8 亿澳元 | 全年近 48 万起诈骗中，BEC 和发票欺诈是企业与政府损失最重的类型之一。 |
| DOJ 追回案例 | 670 万 + 530 万美元 | 美国司法部为波特兰市追回 670 万美元、为马萨诸塞州一个工会追回 530 万美元——这是”追回来”的，更多追不回来的连新闻都上不了。 |
这些案子的共同点：骗子用的不是高科技漏洞，而是一封看起来合理的邮件 + 一条形同虚设的转账确认流程。
05为什么总能得手：财务流程里那道缝
复盘这些案子，技术防线几乎都”过关”了——邮件没带毒、链接不是钓鱼站、发件人域名看着也没问题。真正出问题的，是资金变更的确认流程。
骗子最爱的突破口有三个：
一是只认邮件不认人。财务收到”老板”邮件就执行转账，没有第二通道确认。
二是账户变更无带外验证。供应商说”我换收款账户了”，财务直接在系统里改，没通过电话等独立渠道核实。
三是紧急感施压。”这笔款必须今天到，别声张，老板在开会”。骗子专门制造时间压力，让你没空核对。
💡 FBI 和国际反诈机构反复强调的唯一一条铁律：任何银行账号、收款方变更，必须通过邮件之外的独立渠道（当面或电话）二次确认。这一条能挡掉绝大多数 BEC。
06甲方财务防线清单（直接能用）
给甲方财务和安全同学一份可执行的反 BEC 清单：
| | |
| — | — |
| R1 | 带外验证所有对公转账、收款方账户变更，必须用电话或当面核实，绝不允许”邮件说改就改”。 |
| R2 | 双签 / 多级审批大额转账强制双人复核，金额越大审批层级越多。 |
| R3 | 付款白名单常用供应商账户固定白名单，新账户或变更须走专项审批。 |
| R4 | 冷静期机制新增收款方后的首笔转账设置延迟或人工确认，破掉”紧急施压”剧本。 |
| R5 | 域名仿冒监控对自己和核心供应商域名做仿冒监控，发现相似域名（比如把 o 换成 0、加个横杠）及时下线。 |
| R6 | 重点人群培训财务、采购、高管助理是重点人群，培训重点不是”别点链接”，而是”任何变更走带外确认”。 |
| R7 | 事件预案一旦发现自己可能中招，第一时间联系银行和警方冻结，时间就是钱——DOJ 那些追回案例，胜在报案够快。 |
07结尾
BEC 是邮件安全的”深水区”，因为它不靠漏洞靠人心，不靠技术靠流程。上篇我们讲怎么把三件套配真、把网关和 DLP 用起来；这篇讲怎么堵住财务那道最致命的缝。
// 老宋说：技术防线拦得住 99% 的毛贼，但最后一笔钱的安全，握在”有没有带外确认”这一个动作里。把这条写进制度、写进系统、写进每个人的肌肉记忆，比买十台网关都管用。
网络安全老宋 · 转载请注明出处
防御，不是在演练期间发现攻击，而是在演练开始前就把攻击面收敛到最小。
end
不想错过文章内容？读完请点一下“在看”，加个“关注”，您的支持是我创作的动力
期待您的一键三连支持（点赞、在看、分享~）
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络安全老宋 宝十八
宝十八《几百万是怎么被一封邮件骗走的 BEC 攻防深水区，甲方财务必看》