商业邮件欺诈在骗什么？
攻击者冒充或攻陷业务往来中的身份，诱导收件人转账、改变收款信息或交出重要信息。常见请求看起来像正常业务，不一定含恶意链接、附件或明显错别字。[1]
010 / 社会工程 / Business Email Compromise
还是熟悉的邮箱，收款账户却变了。
商业邮件诈骗 · Business Email Compromise
供应商在原来的邮件往来里要求改付新账户，还强调今天必须处理。邮箱是真的，业务请求却可能不是真的。暂放付款单，把变更内容与独立核验得到的事实逐项对上。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
职员对照含银行图标的文件，画面同时呈现伪装消息和电话核实的情境。头像不能证明发件身份，画面也未说明号码来源或核验是否成功；商业邮件欺诈并不一定含恶意链接或附件。
本课任务 / 商业邮件诈骗
为一项具体收款变更寻找独立证据，并让核验结论约束这张单据的放行。
- 识别真实邮箱也可能发送欺诈请求
- 区分同源确认与独立供应商核验
- 把核验绑定到当前收款变更
亲手探索 / 不同条件，不同结果
同一句“已确认”，证据来自哪条路径？
检查虚构变更单，分别尝试回复原线程、使用来信号码和联系原有供应商档案中的联系人。更换供应商、发票或版本，核对独立确认是否仍然有效，再尝试教学放行。这里没有真实银行资料、邮件或付款。
攻击机制工作台 · 封闭离线模型
新账户变更单，凭什么放行？
真实邮箱也可能失陷。选择变更单，再决定确认信息来自哪里。只做模拟审核，不填写银行账号、不发信、不通话、不转账。
收到：请把本张发票改付到新账户。邮箱及历史线程看起来真实。当前变更版本 v1；本轮独立确认：无；已释放发票数：0。
尚未检查当前条件。修改选择会清除旧结论；保留的状态可在工作台查看。
登记目录在本情境中事先可信；熟悉声音和电话动作本身不证明身份。核验绑定供应商、发票、具体版本；同一供应商发票即使换版本也不重复付款。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先固定本次请求的业务事实
记录是哪张单据、哪一版收款变更、原先获准的收款方，以及对方要求改成什么。对“紧急”“领导已批准”等说法不要只看语气，而要检查是否改变了已知业务流程和付款目的地。[1]
02 / 实用细节
回复原线程不能产生独立证据
若邮箱已经被接管，攻击者可以在同一线程继续确认，也可以把来信中的新电话指向自己。因此本练习把这些回答作为同源说法展示，不允许它们把未核验变更直接升级为获准付款。[1]
03 / 实用细节
从原有可信记录另行联系
使用事先建立的供应商联系方式核对收款变化，不拨打可疑请求临时提供的号码。说明待确认的是哪笔业务及哪项变更，并按组织流程验证回应者的身份与权限；有通话记录不等于已经确认了正确内容。[1]
04 / 实用细节
核验可能证实，也可能否定变更
独立核验不是把每封变更邮件都判为诈骗。本练习的合法变更会得到对应确认，欺诈变更则被原有联系人否认。两者都应以核实后的业务事实推进，不能只因邮件真实或请求紧急就跳过步骤。[1]
05 / 实用细节
新变更不能复用旧结论
供应商曾经确认过一次付款，不代表后来所有账户变化都获准。把核验结果与当前单据和变更版本关联；本练习更换场景会清除旧结论，重复点击放行也不会生成第二笔教学付款。真实支付流程还需自己的审批和防重复控制。[1]
06 / 实用细节
若已经付出，尽快进入响应流程
停止继续按可疑指示操作，立即通过已知渠道联系本机构财务、安全人员和金融机构，说明实际发生的转账与变更。按适用地区渠道报告；及时报告可能帮助处置，但不保证款项可追回，也不要在可疑线程里继续处理。[1]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
长期供应商邮件突然更改收款账户，应该？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- FBI · Business Email Compromise ↗
冒充与真实邮箱接管、付款变更、独立核验及事后报告；非完整银行流程
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。