1. 课程导入
欢迎进入《付款欺诈BEC与收款账户变更控制》课程。本章不讨论具体攻击脚本，也不急于展开审批表单，而是先建立一张“认知地图”：我们到底在防什么、为什么传统财务控制会失效、收款账户变更为什么是BEC攻击的“最后一公里”，以及后续30章将如何层层展开。只有先对齐概念和框架，后面的控制设计、技术检测与复盘演练才不会变成零散技巧的堆砌。
一、学习目标：从“知道BEC”到“能控制账户变更”
本课程的学习目标分为四个层次。第一，认知层：理解BEC（Business Email Compromise，商业电子邮件欺诈）的本质不是单纯“假邮件”，而是针对信任链、业务流程与付款决策的社会工程攻击。第二，识别层：能够识别收款账户变更请求中的高风险信号，包括发件人域名相似、语气催促、回避电话核实、账户开户行跨区、变更时点临近付款日等。第三，控制层：掌握收款账户变更的端到端控制方法，包括申请、验证、审批、执行、复核与归档。第四，运营层：能够把控制嵌入现有ERP、银企直联、工单与邮件安全体系，并设计可审计、可追溯、可复盘的流程。
核心判断：BEC防护的成败，不取决于员工是否“聪明”，而取决于组织是否把“收款账户变更”设计成一个不能由单点信任完成的流程。
二、核心概念：BEC、收款账户变更与信任链
BEC通常指攻击者通过冒充高管、供应商、客户或内部同事，诱导员工执行付款、泄露数据或变更收款账户。它与普通钓鱼的区别在于：邮件内容往往没有恶意链接或附件，甚至语法正确、业务上下文真实，因此传统邮件网关和终端杀毒难以拦截。收款账户变更控制，则是围绕“供应商/客户银行账户信息发生变化”这一高风险事件建立的控制集合。
理解BEC，需要抓住三个核心概念。其一是身份冒充：攻击者可能注册相似域名，如将 supplier.com 变为 supp1ier.com，或直接入侵真实邮箱。其二是业务上下文劫持：攻击者会研究付款周期、发票编号、联系人姓名，使请求看起来“正好合理”。其三是收款账户变更：这是攻击变现的关键节点，一旦新账户被录入并付款，资金追回难度极高。
| 概念 | 典型表现 | 控制切入点 |
|---|---|---|
| 身份冒充 | 相似域名、篡改显示名、盗用真实邮箱 | 域名验证、DMARC、回拨核实 |
| 业务上下文劫持 | 引用真实发票、合同、付款批次 | 工单关联、付款计划比对 |
| 收款账户变更 | 要求更新银行账号、SWIFT、开户行 | 双人复核、独立回拨、白名单 |
| 资金转移 | 付款至新账户后迅速分散 | 付款前拦截、异常监测、银行联动 |
三、整体框架：从邮件到付款的六道闸门
本课程将BEC与收款账户变更控制整合为一个六层框架：邮件身份层、业务触发层、变更申请层、独立验证层、审批执行层、监测复盘层。邮件身份层解决“发件人是否可信”；业务触发层判断“变更请求是否与真实业务匹配”；变更申请层要求供应商通过约定渠道提交；独立验证层使用已知电话回拨，而非回复邮件；审批执行层落实双人授权与职责分离；监测复盘层则通过日志、对账和案例回看持续改进。
这六层不是简单串联，而是相互补偿。邮件网关可能漏掉无链接邮件，但独立回拨可以拦截；审批人可能被催促，但付款前冻结窗口可以争取时间。课程后续章节会逐层拆解，并给出可落地的模板、检查表与日志字段。
四、案例场景：一次“几乎成功”的收款账户变更
某制造企业财务专员收到“供应商”邮件，称公司银行账户因审计调整需要变更，并附上新账户信息。邮件来自供应商真实联系人姓名，且引用了正在执行的三张发票。财务专员按流程提交变更单，但未使用历史合同中的电话回拨，而是直接回复邮件确认。对方迅速回复“确认无误”，并催促当天完成，否则影响发货。
幸运的是，该企业规定收款账户变更必须由第二人使用供应商主数据中预留电话进行独立核实。第二人拨通后，供应商财务表示从未发送变更请求。复盘发现：攻击者入侵了供应商邮箱，设置了自动转发，并删除了部分往来邮件。若没有独立回拨，资金将在当晚付出。
关键教训：“回复邮件确认”不是独立验证。攻击者控制邮箱时，回复邮件只会回到攻击者手中。独立验证必须使用变更请求之外的已知渠道。
五、常见误区与复盘要点
- 误区一：有审批人签字就安全。若审批人同样被冒充身份欺骗，签字只是形式。控制要验证“请求来源”，而非只验证“内部同意”。
- 误区二：供应商发来的PDF有公章就可信。公章图片可伪造，PDF元数据也可篡改。应核验开户行、账号、SWIFT与历史记录的一致性。
- 误区三：小额变更可以简化。攻击者常先改小额账户测试，再发起大额付款。所有收款账户变更都应执行同等验证。
- 误区四：技术控制可以替代流程。DMARC能减少域名冒充，但不能阻止邮箱被盗后的真实发件。流程控制仍是最后防线。
复盘清单：变更请求是否来自约定渠道？是否使用已知电话回拨？是否核对账号与历史记录？是否双人复核？是否在付款前设置冻结窗口？日志是否记录操作人、时间、IP与审批意见？
六、课程路线图：30章如何展开
后续课程将按“认知—识别—控制—技术—运营—复盘”推进。第2至第6章深入BEC攻击链、身份冒充与邮件协议；第7至第12章聚焦收款账户变更的申请、验证、审批与职责分离；第13至第20章进入ERP、银企直联、邮件安全与异常监测；第21至第26章覆盖供应商主数据、跨境付款、应急响应与资金追回；第27至第30章通过综合案例、红蓝对抗与成熟度评估收束。
学习路径示例：
第1章 导入：概念、框架与路线图
第2-6章 攻击链与身份冒充识别
第7-12章 收款账户变更控制设计
第13-20章 技术检测与系统集成
第21-26章 运营、应急与资金追回
第27-30章 综合演练与成熟度评估请记住本课程的一条主线：BEC攻击利用的是信任，而收款账户变更控制要做的，是把信任转化为可验证的证据。当每一笔账户变更都能回答“谁提出、谁验证、谁审批、谁执行、谁复核”时，组织才真正具备抵御付款欺诈的能力。