翻译自 FBI IC3 报告、M3AAWG BCP 及行业最佳实践

BEC（Business Email Compromise，商业邮件欺诈）是企业面临的最昂贵的网络安全威胁之一。FBI IC3 2025 年度报告显示，BEC 在 2025 年造成的全球损失超过 36 亿美元，连续五年保持增长。本章介绍 2025-2026 年 BEC 最新手法及多层防御体系。

2025-2026 BEC 最新手法

供应商发票欺诈

攻击者通过入侵供应商邮件系统或伪造供应商域，向目标企业的 AP（应付账款）部门发送虚假"付款账户变更通知"。邮件中嵌入攻击者控制的银行账户信息，诱导财务人员将付款转入攻击者账户。此手法占 2025 年 BEC 案件的 42%，平均损失达 12.8 万美元/起。

工资单重定向欺诈

攻击者利用从 HR 系统数据泄露或社会工程获取的员工身份信息，伪造员工发往 HR 的 Direct Deposit 账户更新邮件。2026 Q1 数据显示此类攻击同比增长 47%。邮件通常以"紧急——请尽快处理我的薪资账户变更"为主要话术。

深度伪造 CEO 视频/电话配合邮件攻击

2025-2026 年最危险的 BEC 变种：攻击者首先发送邮件，要求 CFO 执行紧急转账。几秒后 CFO 收到"CEO"的 WhatsApp/Signal 语音消息确认，实际上是 Deepfake 生成的语音。在部分案件中，攻击者还发起了伪造的 Zoom 视频会议。邮件+语音+视频的多模态欺骗手法使传统反钓鱼培训几乎失去效果。

技术防御层

DMARC p=reject

在所有自有域和供应商域部署 DMARC 拒绝策略。DMARC 阻止基于域仿冒的 BEC 攻击，但无法防御已入侵的合法账号发出的邮件。部署 BIMI 品牌标识可让收件方通过视觉方式确认发件人真实性。

发件人域监控

建立供应商域的白名单，监控与供应商相关的域名注册活动（如相似域、新注册的同形异义词域）。自动告警任何新注册的与重要供应商名称相似的域名。推荐使用以下工具：

• DNSTwister：检测可能被用于仿冒攻击的相似域名
• PhishLabs：品牌保护与域名监控
• Cisco Talos：威胁情报集成

邮件认证分析

在邮件网关层面增加 Authentication-Results 头部分析引擎，对 SPF/DKIM 认证结果进行多维度评分。对于存在认证问题但来自疑似合法域的邮件标记为"可疑"。运用邮件头分析工具提取 Return-Path vs From 域不一致的异常模式。

流程防御层

双重确认制度

所有涉及资金变动的邮件请求必须通过独立渠道二次确认：

• 初始确认：邮件本身
• 二次确认：通过电话拨打事先存档的供应商联系人号码（而非邮件中附带的号码）
• 三次确认：金额超过阈值（如 5 万美元）需要部门负责人签字

异常交易自动标记

在 ERP（企业资源计划）系统中集成异常交易标记规则：

• 付款账户第一次使用
• 供应商账户信息变更后 24 小时内的大额交易
• 付款目的地国家/地区与供应商注册地不一致
• 季度末/月末付款高峰期的异常交易

培训防御层

BEC 场景模拟训练

每季度执行一次针对财务、HR、法务部门的 BEC 模拟训练。模拟场景包括：

• 伪造 CEO 的"紧急转账"邮件 + 语音确认
• 伪造供应商的"付款账户变更"附件
• 伪造 HR 的"工资单重定向"请求

红队演练

每年至少一次由外部安全团队执行的 BEC 红队演练，评估现有防御体系的有效性。演练后出具详细的差距分析报告和整改建议。