跨境并购与供应链大额交割中的商业邮件欺诈防御手册

跨境并购交割款与供应链大额电汇，是 CFO 与财务总监最恐惧的邮件场景：银行账号被改、发件域被仿冒、一切发生在船期或签约前夜。本手册不停留在协议参数表，而给出一条可演练的防御路径——尤其论证：攻击者如何借主力企业套件（Suite）渗透通讯录，以及为何必须把大额电汇指令与日常公网/企业邮箱物理隔离，并配置严格 DMARC 与发信前附件校验。

攻击者的套件渗透路径（实操视角）

钓鱼进入运营共享箱、顾问邮箱或 VA 账号（常在 Suite 内）。
静默阅读对账与交割习惯数周。
利用全局通讯录定位 CFO、司库、外部律所与供应商财务显示名。
在真实线程末尾追加「更新收款账户」，或用高仿域发送；PDF 发票页被替换。
紧迫话术压缩复核——「今晚放行，否则违约利息」。

Suite 的价值是协同；协同默认放大通讯录与委托面。BEC 不需要攻破网银，只需要让一封「看起来合法」的邮件进入既有信任线程。

为何「加强 Suite 安全」仍不够

Purview、DLP 与安全培训降低租户内事故，但大额改账若仍默认落在同一爆炸半径，攻击者与日常噪声共享路径。物理隔离的含义是：超阈值资金确认不在 BAU 收件箱里完成。日常会议与供应商询价继续留在 Suite；交割与改账走 Dedicated Plane。

防御路径 A — 物理隔离资金确认平面

控制	做法
地址	仅财务与指定对手方的专属地址
名单	书面通知：某日起只接受名单地址的改账
流程	制单/放行分离；电话回拨；新账户冷却
系统	确认在邮件平面，放行在司库/网银
退役	项目结束禁用别名

Finmail 可作为该平面：投递核对、定时发送、身份验证中心、Secure Share；AskAI 只做待核实清单，数字勾稽仍人工。不是端到端加密；服务器不可读需求请另选产品。

防御路径 B — 严格 DMARC 与读信鉴权

为财务确认域发布 SPF/DKIM，并将 DMARC 推向隔离/拒绝。
营销发信域与财务确认域策略分离，避免宽松策略拖累。
复核人查看身份验证中心结果，而非 logo/签名。
要求核心代工厂与交割代理公布其 DMARC 策略。
认证通过只表示「可进入复核」，不表示业务真实——回拨仍必须。

防御路径 C — 发信前附件与投递校验

在撰写路径强制：

收件域白名单 / 必现项目代号（投递核对）；
含 invoice/wire 的附件与正文账号一致性人工勾选；
优先安全外链，避免 PDF 无限复制；
定时发送给人打电话的窗口；
移动端谨慎「快速回复」。

「附件异常」在 Finmail 实务上落实为检查清单 + 投递核对，而不是神话化的自动判官。

并购交割周与供应链船期的联合演练

每季度桌面推演三封信：（1）认证失败的改账；（2）认证通过但电话不符；（3）来自新域名的「紧急」指示。目标是肌肉记忆，不是羞辱员工。将结果写进资金政策首页。

与现有 BEC 长文的分工

协议与身份验证细节见防范 BEC：SPF/DKIM/DMARC；出海供应链电汇见跨境大额电汇 BEC。本文聚焦 Suite 渗透 → 隔离平面 → DMARC → 发信前校验 的手册化路径，供 CFO 直接下达。

九十天落地

第 1–2 周盘点超阈值确认邮箱；第 3–5 周开通专属平面与 DNS；第 6–8 周通知对手方并切换；第 9–12 周完成演练与指标（专属地址确认比例、回拨完成率、投递核对拦截次数）。

小结

BEC 打的是交割窗口的信任捷径。把大额指令从日常 Suite 拆出，用 DMARC、身份验证、投递核对与回拨叠成纵深，才能让「看起来像财务」停在闸门前。

CFO 可直接签发的十条军规

超阈值改账不在 BAU 共享箱确认。
无电话回拨不放行。
认证失败即停，不靠「眼熟」。
新账户冷却期内不得「特批一笔」。
PDF 账号页默认不可信。
财务确认域 DMARC 不得长期停留在监控空转。
外包 VA 零委托财富/资金平面。
交割周开启定时发送。
季度演练写入内控日历。
指标进董事会：专属地址确认比例与回拨完成率。

供应链与并购交割的差异提示

供应链船期话术更重「物流截止」；并购交割更重「利息与违约」。防御控件相同，话术仍需写进各自主政策，避免员工以为「只有并购才要回拨」。

指标看板（司库周报三行）

本周超阈值电汇中经专属地址确认的比例
改账电话回拨完成率
投递核对拦截的误发未遂次数

三行全绿才能谈「文化到位」。长期为零通常意味着政策仍在幻灯片里。

假冒域名与「看起来像内部人」

攻击者会复制签名、免责声明甚至历史报价单号。训练复核人打开完整地址与身份验证中心，而不是信任显示名。对内部「CEO 紧急指示付款」，政策应写明：付款只走审批系统，邮件最多是通知。Suite 内的高管显示名仿冒，同样适用回拨规则。

与 ERP 日报的切割

若 ERP 把待付款清单推送到含客服的大组，攻击者可掌握支付节奏。付款清单只推司库或资金专属地址；运营只看订单状态。隔离平面必须从源头通知矩阵开始，而不是只改邮箱产品。

对手方协同话术（可粘贴）

「自某日起，涉及收款账户、受益人或 SWIFT 路径的变更，仅接受来自我方名单地址的邮件，并须完成登记电话回拨。来自日常运营邮箱或个人消费级邮箱的改账说明默认无效。」将该段同步进 ERP 供应商备注与交割清单。

手册执行的最后一公里

控件齐备但无人演练，等于幻灯片防御。指定司库所有者维护名单地址与回拨电话簿（离线副本），指定 IT 所有者维护 DMARC 与 DNS，指定合规所有者抽查指标。三角所有者缺一，手册会在第一次船期或交割周失效。Finmail 提供平面与摩擦；所有制与演练必须长在客户组织里。

下一步

重建资金确认通道：从定价开通行政级收件箱，并配置投递核对与域名 DNS。

另见轻量交易通讯 vs 虚拟数据室、Finmail vs Microsoft 365 与现有邮箱与专属地址。

日常事务仍留在现有邮箱。交易与保密事项使用此专属地址。