2. BEC基础认知
商业电子邮件欺诈（Business Email Compromise，简称BEC）是一类以“身份冒充+业务语境+资金指令”为核心的社会工程攻击。它通常不依赖恶意附件或漏洞利用，而是通过伪造、劫持或仿冒企业邮箱，冒充高管、供应商、客户或财务负责人，诱导员工执行转账、变更收款账户或泄露敏感财务信息。理解BEC的关键，不是把它当成“高级钓鱼”，而是把它视为针对业务流程与信任链的欺诈攻击。
一、BEC的核心原理：攻击的是“流程信任”，不是“技术漏洞”
传统网络攻击往往寻找系统漏洞，而BEC寻找的是人的判断漏洞与流程漏洞。攻击者会先收集目标企业的组织架构、高管姓名、供应商关系、付款周期、邮件签名格式、出差规律等信息，再构造一封“看起来完全合理”的邮件。例如，冒充CEO给财务发邮件：“我在外地开会，不方便接电话，请立即处理这笔供应商预付款，账号已更新。”这封邮件没有病毒，没有链接，甚至语法正确，但它触发了财务流程中的关键动作——付款。
BEC的典型攻击链可以概括为：侦察踩点 → 身份伪装 → 建立信任 → 提出请求 → 规避验证 → 完成转账。其中“规避验证”是核心环节，攻击者常以“我在开会”“电话不方便”“这是保密收购”等理由阻止受害者通过第二渠道确认。
二、BEC的典型特征：六个识别信号
BEC邮件往往具备以下特征，识别它们比依赖杀毒软件更有效：
- 身份可信但细节异常：显示名是“张总”，但实际发件地址为
zhang.zong@company-mail.com，与官方域名差一个字母。 - 业务语境高度合理：提及真实供应商、真实合同号、真实付款节点，降低受害者警惕。
- 制造紧迫与保密：常用“今天必须付”“不要告诉别人”“我在飞机上”等话术。
- 阻止二次验证：要求只通过邮件回复，拒绝电话或当面确认。
- 收款账户变更：以“供应商银行账户升级”“并购重组”为由要求更改收款账号。
- 无恶意附件或链接：邮件本身干净，传统邮件网关可能直接放行。
三、BEC与普通钓鱼、勒索软件的区别
BEC常被误认为“普通钓鱼”或“勒索软件的前奏”，但三者在目标、载体、技术依赖和处置方式上差异明显。下表从六个维度进行对比：
| 对比维度 | BEC商业电子邮件欺诈 | 普通钓鱼 | 勒索软件 |
|---|---|---|---|
| 核心目标 | 骗取资金或变更收款账户 | 窃取账号密码、会话凭证 | 加密数据并勒索赎金 |
| 主要载体 | 仿冒/劫持邮件、聊天工具 | 钓鱼链接、伪造登录页 | 恶意附件、漏洞利用、入侵 |
| 技术依赖 | 低，重社会工程 | 中，需伪造页面或链接 | 高，需恶意代码与横向移动 |
| 是否含恶意文件 | 通常没有 | 可能有，也可能仅链接 | 必然有恶意载荷 |
| 典型受害角色 | 财务、采购、高管助理 | 普通员工、外部用户 | 全组织终端与服务器 |
| 关键处置动作 | 止付、冻结、联系银行、核实账户 | 改密、吊销会话、排查登录 | 隔离、取证、恢复备份、评估解密 |
需要特别注意的是，BEC与勒索软件并非完全互斥。攻击者可能先用BEC获取财务权限或VPN凭证，再投递勒索软件。因此，BEC应被视为高优先级欺诈风险，而非普通垃圾邮件。
四、案例与复盘：一封“CEO邮件”如何绕过审批
某制造企业财务专员收到一封来自“CEO”的邮件，主题为“紧急供应商预付款”。邮件显示名与CEO一致，正文提到正在海外洽谈并购，要求当天向一个新账户支付80万元预付款，并强调“此事保密，不要电话确认”。财务专员因平时CEO确实常出差，且邮件中引用了真实供应商名称，便直接提交付款。直到三天后CEO回公司，才发现被骗。
复盘发现三个关键失误：
- 未核验真实发件域名：攻击者注册了与公司域名仅差一个字符的仿冒域名。
- 未执行独立回拨验证：财务仅通过邮件回复确认，未使用通讯录中的已知号码回拨。
- 账户变更无强制审批：供应商收款账户变更未触发双人复核与银行核验流程。
从防御角度看，BEC基础认知应落到三个动作：第一，任何资金指令必须通过已知独立渠道回拨确认；第二，收款账户变更必须执行双人复核+银行回执核验；第三，财务与采购人员需定期接受真实案例演练，而不是只读安全须知。只有把“怀疑”嵌入流程，才能让BEC失去最关键的信任杠杆。