境外电诈防范全书
海外华人防诈必修 · 全三十章
据代理律师公开披露的一起案件：一家长期从事国际贸易的中国企业，与海外供应商已经合作多年，日常采购、付款等业务主要通过电子邮件沟通完成。
春节期间，诈骗分子注册了一个与供应商邮箱高度相似的电子邮箱，冒充供应商的工作人员持续沟通。在取得信任之后，对方以「公司已经更换收款账户」为由，提供了一套新的银行账户信息。
由于正值春节假期，加之双方长期合作形成的信任关系，客户并未注意到邮件地址存在细微差别，于是照常付了款。金额是 80 万美元。
这个案子后来经过横跨香港、美国联邦调查局与美国联邦法院的跨境追款，帮客户追回了绝大部分损失。代理律师复盘时的结论是：预防永远比追款重要，而一旦发生，第一时间采取专业、有效的法律措施，往往决定案件最终的走向。
请注意这起案件里没有黑客技术，没有病毒，没有系统被攻破。骗子做的只有一件事：注册了一个长得很像的邮箱。
先讲金额较小、但遇到率极高的一类。第 4 章的湖北省数据中，虚假购物服务类占比 14.14%，位居第三；公安部通报的五大高发类型里也包含冒充客服。这一类的流程比看起来更精密。
| 步 | 动作 | 具体表现 | 要点 |
|---|---|---|---|
| 一 | 开场即报出你的订单信息 | 对方能准确说出你买了什么、什么时候买的、花了多少钱、快递单号是多少 | 它不是可信度的证明，而是你的信息已经泄露的证明（见第 5 章） |
| 二 | 把你从平台拉走 | 以「平台客服系统无法办理退款」「需要走财务通道」为由，要求你加微信、加 QQ 或拨打某个电话 | 整套骗局的分水岭——一旦离开平台官方聊天窗口，平台的记录、风控和客服体系全部失效 |
| 三 | 制造一个「操作困难」 | 账户信用分不足、支付方式已过期、退款通道受限、系统显示你的银行卡不支持退款 | 第 18 章讲过这个骨架——把「他没给你钱」变成「你哪里不对」 |
| 四 | 要求你操作 | 一条路是下载软件、开启屏幕共享由对方「协助」；另一条是按指示借款、转账或提供验证码 | 无论哪条路，资金最终流向对方 |
而第一步那个「他能报出我的订单信息」，作用和第 15 章讲的「报出身份证号」完全一样——它不是可信度的证明，是你的信息已经泄露的证明。
真正的退款是原路退回的
这一类的共同点是：它给你的不是威胁，是补偿。你不是要防止损失，你是要去领一笔钱——警惕性天然就低。
据反诈提示，这类骗局的关键动作是诱导受害人下载屏幕共享软件或点击钓鱼链接，进而窃取账户密码、验证码，盗转资金。第 4 章讲过公安部白皮书里的判断：这类 App 不仅能偷窥你的屏幕，还能让手机自动黑屏、设置呼叫转移，甚至模拟手指点击——一旦装上，你什么都不做，钱也会被转走。
所以这一类的识别可以简化成一句话：任何客服要求你开启屏幕共享、下载指定软件、或者在通话中操作银行账户的，一律是诈骗。
真正的退款是原路退回的——退到你当初支付的那张卡、那个账户，不需要你提供任何信息，更不需要你操作。
常见入口与屏幕共享诱导手法出自反诈提示；远程控制类 App 功能描述见第 4 章核查清单。
两条补充判准：真的客服不会要求你提供验证码——验证码的唯一用途就是证明「是你本人在操作」，把它给别人等于把账户给别人；真的退款不会要求你先充值、先垫付、先提高信用分，这一点与第 18 章讲的骨架完全相同。
理赔类：「我记不清」正是骗子需要的状态
「理赔」与「退款」话术相近，但入口不同，值得单独识别。
理赔类的危险在于它比退款类更难自查。你确实可能不记得自己买过什么保险、确实可能有航班变动——而「我记不清」这个状态，正是骗子需要的。
处理方法只有一条：挂断，自己打开该航空公司、保险公司或平台的官方 App 查询。真实的理赔一定能在官方渠道里查到记录。
理赔类入口系对公开案例的归纳。医保社保补贴类主要针对老年人，详见第 22 章。
注意这一支与退款类的关键差别：退款类你还能回想「我确实买过这个东西」，理赔类往往连这个锚点都没有。
所以它不需要你相信某件具体的事，只需要你不确定。
BEC：500 亿美元，以及三种形态
BEC 是 Business Email Compromise 的缩写，通常译作商业邮件诈骗。定义很简单：网络犯罪分子冒充可信的领导者或合作方，欺骗员工为其转账或发送数据。
形态一：仿冒域名。这是开篇案例使用的方法。骗子注册一个与真实方高度相似的域名，靠肉眼难以察觉的细微差别蒙混过关。这一类最危险的地方在于：公司的邮件系统完全正常，没有被入侵，所有安全设备都不会报警——因为那封邮件确实是从一个真实存在的邮箱发出的，只不过那个邮箱不是你以为的那个。
形态二：入侵真实账户。骗子通过钓鱼等方式取得某一方的邮箱凭证，直接用真账户发信——这一类比仿冒域名更难识别，因为发件地址是完全正确的。据公开报道，曾有诈骗分子入侵某教区的电子邮件系统，伪装成正在为教堂翻新工作的建筑公司行骗。更隐蔽的做法是：入侵之后先潜伏，观察双方的往来节奏、用语习惯、付款周期，等到一笔真实的货款即将支付时才出手。
形态三：冒充高管，业内称为「捕鲸」。典型场景是财务收到一封来自「老板」的紧急邮件，要求立即电汇到新账户，并强调不要与任何人讨论。
FBI 的 500 亿美元与 2019 年投诉数据为公开资料；厂商披露的检测频次与行业集中度为安全厂商公开资料。文中所引统计数据来源与统计口径不一，不宜直接互相换算。本章不提供任何仿冒域名的具体构造方法、钓鱼邮件模板或邮箱入侵技术细节。
请注意行业集中度那句话：制造业与海外贸易——这正是大量海外华人从事的行业，也是本章把 BEC 单独拿出来讲的原因。
而形态三的升级版已经出现：第 17 章讲过的西安某公司财务被 AI 换脸「老板」骗走 186 万元的案件，就是这一形态从邮件升级到了视频。
为什么假期是高发期
开篇案例发生在春节期间，这不是巧合。
假期同时创造了三个条件：对方联系不上，所以你无法当场核实；财务人员减少，所以复核流程容易被简化；而「节前把款结了」本身就是一个真实存在的合理需求，不会引起怀疑。
所以有一条很具体的建议：把长假前后列为付款高风险期，凡在此期间收到的账户变更通知，一律押后到假期结束、且完成回拨核实之后再处理。
本段为对案例时间特征的分析性归纳。
对海外华人企业，需要同时留意两套假期——中国的春节、国庆，以及所在国的圣诞、新年、长周末。骗子会挑双方都不在岗的那个交集下手。
把三个心理支点和开篇案例对照：多年的合作关系（信任惯性）、供应商工作人员的身份（权威仿冒）、春节假期的时间点（制造无法核实的窗口）——三样都齐了。
BEC 发生之后，企业内部最常见的反应是追问「财务怎么这么不小心」。但这个问题本身就问错了。
回头看那三个心理支点：权威、紧迫、信任惯性——它们针对的恰恰是一个尽职员工的正常反应。一个对老板的指示反应迅速、对老客户高度信任、对紧急事务不拖延的员工，恰恰是最容易中招的那个。
所以防线不能建立在「员工要更警觉」上，必须建立在制度上。制度的好处是它不需要判断力，而判断力在紧急状态下最先失效——第 17 章讲 AI 换脸时说过同样的话。
并且必须是打给通讯录里已有的号码，不是邮件里给的号码。
这一条能挡住绝大部分 BEC，原因很简单：骗子控制的是邮箱，不是电话。
本章标题里那句话说的就是这一条。双人复核的价值不在于第二个人更聪明，而在于骗子必须同时骗过两条独立的链路。
对一人公司或家庭企业，双人复核可以简化成一条：任何超过约定金额的付款，必须在回拨确认之后、隔一晚再执行。「隔一晚」本身就是一道复核。
第 15 章讲冒充公检法时说过，保密令是杀招。在企业场景里它同样成立——真实的商业付款没有任何理由需要对内保密。
技术层（不能替代制度，但能过滤掉相当一部分）：部署 SPF、DKIM、DMARC 三项邮件认证协议；对外部来信加显著标识；为邮箱账户启用多因素认证；对相似域名进行监测。
习惯层：核对完整的发件地址而不是显示名称（显示名称可以随意设置）；回复重要邮件时手动输入或从通讯录选择收件人，不要直接点「回复」——如果来信本身就是仿冒的，「回复」会直接回到骗子手上；对首次出现的账户、跨境账户、与合同主体名称不一致的账户，一律提高审核等级。
BEC 的三个心理支点——权威仿冒、心理操纵、信任惯性——针对的恰恰是一个尽职员工的正常反应。所以「财务怎么这么不小心」这个问题本身就问错了：防线不能建在警觉上，必须建在制度上，因为制度不需要判断力，而判断力在紧急状态下最先失效。而这一章的两条线最终指向同一个结论：在冒充类骗局里，你要防的从来不是「识破对方」，而是「不给自己留下必须当场判断的时刻」。
沟通高度依赖邮件——跨时区、跨语言的合作几乎全部通过邮件留痕，而这正是 BEC 的作战场地。跨境汇款本身就不透明——到账慢、查询难，等你发现不对时往往已经过去数天。语言差异掩盖破绽——用非母语沟通时，措辞的细微异常很难被察觉，而这本来是识别冒充的重要线索。账户变更看起来合理——跨境企业确实经常因为开户行调整、税务安排而更换账户，这让骗子的说辞天然可信。小微企业没有制度——很多海外华人企业规模不大，老板本人就是财务，不存在双人复核，而这恰恰是最需要制度的场景。
BEC 与本系列其他骗局有一个重要区别：它的追回可能性相对更高。开篇那起 80 万美元的案件，最终通过跨境法律行动追回了绝大部分损失——原因在于：企业间的大额跨境汇款走的是银行体系，有完整的电汇路径记录，而不像第 14 章讲的虚拟货币那样链上一去不回。
但前提仍然是速度。资金一旦从收款账户被提走或转出，追回难度会急剧上升。
立刻做的事：第一时间联系汇出行，说明遭遇诈骗，请求发起电汇召回或止付——这一步越快越好，以小时计；同时联系收款行所在地的银行提交欺诈说明；向所在国警方报案并取得报案编号；如资金流向中国内地或香港，同步向相应机关报案（见第 28 章）；立即通知被冒充的一方——他们的邮箱可能已被入侵，而且很可能不止你一个受害人；保存全部邮件原文，包括完整的邮件头信息——那是追查的技术依据，不要只截图正文。
然后尽快委托专业律师。BEC 的追款通常涉及多个法域：汇出地、收款地、以及可能的中转地。这类工作个人很难自行完成，而且时效性极强。
第一：员工被骗，公司能不能追究他的责任。
这是 BEC 发生后企业内部最尖锐、也最容易处理失当的问题。从法律上看，需要区分几种情况：员工是否违反了公司既有的规章制度；员工是否存在重大过失；以及——公司本身是否建立了相应的制度。
如果公司从未建立付款复核制度、从未进行相关培训、也未设置任何技术防护，那么将全部损失归咎于经办员工，在法律上和管理上都站不住脚。
实务中的建议是：先处置资金，再复盘制度，最后才谈责任。顺序颠倒会导致两个后果——错过追款窗口，以及员工出于自保而隐瞒关键细节，进一步妨碍追查。
第二：合同里其实可以提前约定。这是一个很少被使用、但成本极低的预防手段。在与长期合作方的合同中，可以约定：收款账户信息的变更必须以书面形式并经双方指定联系人电话确认后生效；未经上述程序变更账户导致的付款，不构成有效履行；明确双方各自的指定联系人及其固定电话。这几条的价值在于：它把「要不要核实」从一个可选动作，变成了一项合同义务。
第三：被冒充的一方也可能有责任。在形态二（账户被入侵）的情形下，损失的分担会更复杂。如果被入侵一方存在明显的安全管理疏漏，受害方在民事上未必没有主张空间。这类争议的处理高度依赖证据——邮件头信息、登录日志、双方的往来记录。所以卷六强调保存完整邮件原文，不只是为了追查骗子，也是为了厘清双方责任。
最后一句：这一章讲的两条线，一条针对个人，一条针对企业，但它们指向同一个结论——回拨、复核、隔夜，这三个动作不需要你聪明，只需要你执行。
平衡提示：本章包含个人线与企业线两部分，改稿时须保持两侧篇幅大体相当。个人线受众更广，不得因企业线内容更「专业」而压缩个人线。
红线提示：本章不得补充任何仿冒域名的具体构造方法、钓鱼邮件模板或邮箱入侵技术细节。卷三对手法的描述已控制在识别所需的最小程度。
本章基于公开报道、执法机构统计与安全行业公开资料整理。80 万美元 BEC 案系代理律师公开披露。FBI 关于自 2013 年以来 BEC 造成超过 500 亿美元损失的报告，以及 2019 年收到 467,361 起投诉、损失超 35 亿美元、近一半来自 BEC 的数据，均为公开资料。邮件安全厂商每月检测到 10 至 15 起 BEC 攻击、集中于制造业与海外贸易行业，以及仿冒域名手法说明，为厂商公开披露。俄亥俄州某教区案为公开报道。BEC 三个心理支点为安全行业分析；SPF、DKIM、DMARC 为通用技术标准。冒充客服类的常见入口与屏幕共享诱导手法出自反诈提示；虚假购物服务类占比 14.14% 与远程控制类 App 功能描述见第 4 章；西安 AI 换脸案见第 17 章。
文中所引统计数据来源与统计口径不一，部分为安全厂商或行业机构发布，引用时已注明出处性质，不宜直接互相换算。卷七关于责任分担的说明为一般性法律讨论，具体案件的责任认定取决于合同约定、内部制度、过错程度与证据情况，应由执业律师依据个案判断。本刊内容仅供风险提示与信息参考，不构成针对任何具体案件的法律意见，亦不构成任何技术方案建议。
