2024年6月，苏州一家中型外贸企业的财务总监收到了一封来自公司总经理的邮件。
2024年6月，苏州一家中型外贸企业的财务总监收到了一封来自公司总经理的邮件。邮件内容非常紧急：公司正在进行一笔重要的海外收购谈判，需要立即向一个境外账户支付340万元的定金。总经理在电话会议中表示自己正在国外出差，时差原因不便走正常的审批流程，要求财务总监"特事特办"，并承诺回国后立即补签书面手续。
邮件中的措辞、语气、签名格式、行文习惯都与总经理日常风格高度一致，附件中的合同扫描件也显示着公司Logo和公章。财务总监没有过多犹豫，执行了转账操作。三个工作日后，总经理回国，财务总监拿着审批单请他补签时，总经理一脸茫然——他从未发送过那封邮件，更不知道什么340万元的定金交易。此时钱款已经转入一个海外的离岸账户。
警方介入调查后发现，这是一起典型的商业邮件欺诈案。攻击者通过钓鱼邮件提前攻破了该公司一名销售经理的邮箱账户，然后在邮箱中潜伏了数周，通过阅读大量往来邮件，逐步掌握了公司组织架构、汇报关系、业务习惯、审批流程甚至关键人物的工作节奏。在充分了解了公司内部沟通风格和当前正在进行的海外业务背景后，攻击者注册了一个与总经理真实邮箱地址仅相差一个字母的域名，随后以这个高度仿真的邮箱地址向财务总监发出了转账指令。
这封伪造邮件的迷惑性极高。发件人显示的名称与总经理完全一致，邮件正文中提到了真实存在的海外项目名称和洽谈进展，签名文件中的手机号码也是总经理的真实号码。财务总监甚至曾经试图拨打电话确认，但因为总经理正在国外出差无法接通而放弃。事实上，攻击者正是通过这些细节提前设计好了应对财务总监电话确认的心理战术。这起事件暴露出的核心问题在于：该公司在财务审批环节缺少一条"不可绕过的验证通道"。
邮件可以被仿冒，电话可能无法接通，微信消息也可能被盗号。如果该公司建立了双因素确认机制——例如每一笔超过特定金额的对外转账必须通过独立的专用审批系统完成，或者在邮件确认之外增加实时视频验证环节——这340万元就不会被骗走。根据FBI互联网犯罪投诉中心发布的报告，商业邮件欺诈是近年来造成经济损失最大的网络犯罪类型之一，2023年全球相关损失超过29亿美元。
随着AI技术的普及，攻击手段正在变得越来越难以分辨。攻击者可以利用深度伪造技术合成高管的声音，在电话确认环节中欺骗财务人员；也可以生成与真实邮件几乎无法区分的钓鱼文本；甚至可以分析高管的语言习惯和表态风格，让伪造邮件的可信度达到前所未有的高度。企业应当从以下几个维度构建对商业邮件欺诈的多层防御体系。首先是流程层面，建立严格的大额转账审批制度，所有超过设定金额的对外付款必须经过至少两人独立审批，任何"特事特办"的请求都应触发升级审批流程而不是简化。
其次是技术层面，部署邮件安全网关，对伪造域名、异常附件、可疑发件地址进行自动识别和拦截。第三是人员层面，定期开展针对性的防钓鱼培训和实战演练，提高财务人员对伪造邮件的识别能力。第四是通讯层面，建立关键交易的"双通道验证"机制——邮件确认后必须通过另一个独立通道二次确认，例如专用的审批App、内网审批系统或当面签署。
在AI驱动的钓鱼攻击愈演愈烈的今天，任何一家有对外支付业务的企业，都不能再单纯依赖一封邮件来验证数万元甚至数百万元的转账指令。技术可以制造骗局，技术也可以构建防御。关键在于，企业是否愿意在看似"繁琐"的审批环节上多一些投入，以避免一次足以致命的经济损失。
