跨境併購與供應鏈大額交割中的商業郵件欺詐防禦手冊

跨境併購交割款與供應鏈大額電匯，是 CFO 與財務總監最恐懼的郵件場景：銀行賬號被改、發件域被仿冒、一切發生在船期或籤約前夜。本手冊不停留在協議參數表，而給出一條可演練的防禦路徑——尤其論證：攻擊者如何借主力企業套件（Suite）滲透通訊錄，以及為何必須把大額電匯指令與日常公網/企業郵箱物理隔離，並配置嚴格 DMARC 與發信前附件校驗。

攻擊者的套件滲透路徑（實操視角）

釣魚進入運營共享箱、顧問郵箱或 VA 賬號（常在 Suite 內）。
靜默閲讀對賬與交割習慣數周。
利用全局通訊錄定位 CFO、司庫、外部律所與供應商財務顯示名。
在真實線程末尾追加「更新收款賬戶」，或用高仿域發送；PDF 發票頁被替換。
緊迫話術壓縮覆核——「今晚放行，否則違約利息」。

Suite 的價值是協同；協同默認放大通訊錄與委託面。BEC 不需要攻破網銀，只需要讓一封「看起來合法」的郵件進入既有信任線程。

為何「加強 Suite 安全」仍不夠

Purview、DLP 與安全培訓降低租戶內事故，但大額改賬若仍默認落在同一爆炸半徑，攻擊者與日常噪聲共享路徑。物理隔離的含義是：超閾值資金確認不在 BAU 收件箱裏完成。日常會議與供應商詢價繼續留在 Suite；交割與改賬走 Dedicated Plane。

防禦路徑 A — 物理隔離資金確認平面

控制	做法
地址	僅財務與指定對手方的專屬地址
名單	書面通知：某日起只接受名單地址的改賬
流程	制單/放行分離；電話回撥；新賬戶冷卻
系統	確認在郵件平面，放行在司庫/網銀
退役	項目結束禁用別名

Finmail 可作為該平面：投遞核對、定時發送、身份驗證中心、Secure Share；AskAI 只做待核實清單，數字勾稽仍人工。不是端到端加密；伺服器不可讀需求請另選產品。

防禦路徑 B — 嚴格 DMARC 與讀信鑑權

為財務確認域發佈 SPF/DKIM，並將 DMARC 推向隔離/拒絕。
營銷發信域與財務確認域策略分離，避免寬鬆策略拖累。
覆核人查看身份驗證中心結果，而非 logo/籤名。
要求核心代工廠與交割代理公佈其 DMARC 策略。
認證通過只表示「可進入覆核」，不表示業務真實——回撥仍必須。

防禦路徑 C — 發信前附件與投遞校驗

在撰寫路徑強制：

收件域白名單 / 必現項目代號（投遞核對）；
含 invoice/wire 的附件與正文賬號一致性人工勾選；
優先安全外鏈，避免 PDF 無限複製；
定時發送給人打電話的窗口；
移動端謹慎「快速回復」。

「附件異常」在 Finmail 實務上落實為檢查清單 + 投遞核對，而不是神話化的自動判官。

併購交割周與供應鏈船期的聯合演練

每季度桌面推演三封信：（1）認證失敗的改賬；（2）認證通過但電話不符；（3）來自新域名的「緊急」指示。目標是肌肉記憶，不是羞辱員工。將結果寫進資金政策首頁。

與現有 BEC 長文的分工

協議與身份驗證細節見防範 BEC：SPF/DKIM/DMARC；出海供應鏈電匯見跨境大額電匯 BEC。本文聚焦 Suite 滲透 → 隔離平面 → DMARC → 發信前校驗 的手冊化路徑，供 CFO 直接下達。

九十天落地

第 1–2 周盤點超閾值確認郵箱；第 3–5 周開通專屬平面與 DNS；第 6–8 周通知對手方並切換；第 9–12 周完成演練與指標（專屬地址確認比例、回撥完成率、投遞核對攔截次數）。

小結

BEC 打的是交割窗口的信任捷徑。把大額指令從日常 Suite 拆出，用 DMARC、身份驗證、投遞核對與回撥疊成縱深，才能讓「看起來像財務」停在閘門前。

CFO 可直接籤發的十條軍規

超閾值改賬不在 BAU 共享箱確認。
無電話回撥不放行。
認證失敗即停，不靠「眼熟」。
新賬戶冷卻期內不得「特批一筆」。
PDF 賬號頁默認不可信。
財務確認域 DMARC 不得長期停留在監控空轉。
外包 VA 零委託財富/資金平面。
交割周開啓定時發送。
季度演練寫入內控日曆。
指標進董事會：專屬地址確認比例與回撥完成率。

供應鏈與併購交割的差異提示

供應鏈船期話術更重「物流截止」；併購交割更重「利息與違約」。防禦控件相同，話術仍需寫進各自主政策，避免員工以為「只有併購才要回撥」。

指標看板（司庫周報三行）

本周超閾值電匯中經專屬地址確認的比例
改賬電話回撥完成率
投遞核對攔截的誤發未遂次數

三行全綠才能談「文化到位」。長期為零通常意味着政策仍在幻燈片裏。

假冒域名與「看起來像內部人」

攻擊者會複製籤名、免責聲明甚至歷史報價單號。訓練覆核人打開完整地址與身份驗證中心，而不是信任顯示名。對內部「CEO 緊急指示付款」，政策應寫明：付款只走審批系統，郵件最多是通知。Suite 內的高管顯示名仿冒，同樣適用回撥規則。

與 ERP 日報的切割

若 ERP 把待付款清單推送到含客服的大組，攻擊者可掌握支付節奏。付款清單只推司庫或資金專屬地址；運營只看訂單狀態。隔離平面必須從源頭通知矩陣開始，而不是只改郵箱產品。

對手方協同話術（可粘貼）

「自某日起，涉及收款賬戶、受益人或 SWIFT 路徑的變更，僅接受來自我方名單地址的郵件，並須完成登記電話回撥。來自日常運營郵箱或個人消費級郵箱的改賬説明默認無效。」將該段同步進 ERP 供應商備註與交割清單。

手冊執行的最後一公裏

控件齊備但無人演練，等於幻燈片防禦。指定司庫所有者維護名單地址與回撥電話簿（離線副本），指定 IT 所有者維護 DMARC 與 DNS，指定合規所有者抽查指標。三角所有者缺一，手冊會在第一次船期或交割周失效。Finmail 提供平面與摩擦；所有制與演練必須長在客戶組織裏。

下一步

重建資金確認通道：從定價開通行政級收件箱，並配置投遞核對與域名 DNS。

另見輕量交易通訊 vs 虛擬數據室、Finmail vs Microsoft 365 與現有郵箱與專屬地址。

日常事務仍留在現有郵箱。交易與保密事項使用此專屬地址。