香港企业电邮诈骗防范标准作业流程

商业电邮诈骗（Business Email Compromise，简称 BEC）是近年针对香港企业的最高发网络犯罪类型之一。骗徒通过冒充老板、冒充供应商、冒充律师，甚至直接入侵员工电邮账户，再以「紧急转款」「变更收款账户」等话术诱使财务人员汇款，单宗损失由数十万到数千万港元不等。香港警方与香港金融管理局（金管局）多次发布警示，但因为骗术成本低、变种快，中小企业仍是重灾区。

与一般钓鱼邮件不同，BEC 的恶意程式未必藏在附件里，电邮本身可能「看起来非常正常」——同样的发件人、同样的签名、同样的语气，但收款账户悄悄换成了骗徒控制的户口。本文整理一套适用于香港企业的标准作业流程（SOP），覆盖事前预防、事中识别、事后应急三个阶段，供管理层、财务、IT 与合规岗位直接落地。

一、认识四种最常见的 BEC 套路

套路类型	典型话术	关键特征
假冒 CEO/老板	「我在开会，紧急处理一笔保密交易」	强调机密、不许问、要求即时转款
假冒供应商	「我们换了收款银行，请更新你的付款资料」	突然变更账户、附带假发票
假冒律师/并购方	「项目进入保密阶段，需要先缴按金」	用项目保密制造心理压力
真实账户被盗	邮件确实来自同事或老板邮箱	措辞异常、附有可疑链接或二维码

关键判断点：任何要求「变更收款账户」的电邮，都必须通过原已登记的电话号码回拨核实，不得直接回覆电邮确认。

二、事前预防：把漏洞堵在门外

1. 启用多项基础防护

全面启用 SPF、DKIM、DMARC 三项电邮认证协议，从 DNS 层阻止伪造邮件
公司域名设置相似域名监控，警觉如「hk-company.com」「company-hk.com」之类注册
启用邮件服务商的进阶威胁防护（ATP），拦截含钓鱼链接的邮件

2. 账号与权限管理

全员强制启用多因素认证（MFA），行政管理层与财务岗位优先
财务付款权限分级：大额转款需两人以上审批
定期清理离职员工账户与外部转发规则

3. 收款账户变更流程「双通道验证」

任何供应商或收款方要求变更账户，必须以原留电话回拨核实
第一次付款到新账户前，强制要求对方提供银行发出的书面确认函
新账户首笔款项建议先做小额测试，并延迟 24 小时入账

4. 内部演练与培训

每半年一次钓鱼邮件演练，记录点击率并针对性培训
把近期真实案例做成内部教材，避免「我们公司不会发生」的错觉
财务团队须熟记「暂停、核实、复核」三步骤

三、事中识别：怎样一眼看穿骗局

红旗信号清单

语气紧迫：「今天之内」「保密」「不要告诉其他人」
收款账户与过去任何一次都不一致
发件人地址出现细微差异（如多一个字母或换了顶级域名）
邮件通过手机或网页版发出，却声称是「我本人」
附件或链接要求登入外部系统输入账号密码
与公司日常付款习惯明显不同（如突然拆分多笔小额转款）

验证流程 SOP

暂停动作：不要按邮件指示立即操作
独立渠道核实：用过去已登记的电话号码致电对方，切勿使用邮件中提供的任何联系方式
比对细节：核对账户名称、银行编号、过往发票编号格式
记录备案：将可疑邮件原样保留（不要删除），并截图存档
升级上报：通知直属上司与合规负责人，必要时通报 IT 部门

四、事后应急：被骗后的黄金 24 小时

如果款项已经汇出，时间就是金钱。香港警方与金管局均强调：报案与通知银行越快越好，追回款项的可能性越高。

步骤	负责方	时间窗
立即联络银行尝试拦截/止付	财务	30 分钟内
报警（999 或各区警署）+ 反诈骗协调中心热线 18222	管理层	数小时内
联络收款方银行（如能识别）请求冻结账户	法务/银行	同日
保存所有电邮、通讯、转账记录	IT/合规	同日
内部评估事件、启动危机沟通	管理层	24-72 小时
修补漏洞：重置密码、强化 MFA、审查权限	IT	一周内

损失金额与具体追回比例受多种因素影响，本文不提供预测，以警方及银行最终处理结果为准。

五、企业内控的「四个不要」

不要只依赖电邮作为付款指示的唯一渠道
不要在没有独立核实前，按电邮指示变更收款账户
不要让单一员工同时掌握付款发起与审批权限
不要忽略对高管私人电邮的保护——很多 BEC 是从高管私人账户被入侵开始

六、可信资源与求助渠道

香港警务处反诈骗协调中心（热线：18222）「防骗易」热线：提供即时的防骗咨询
香港金融管理局：定期发布银行防诈骗指引
香港银行公会：银行内部反诈流程查询
公司注册处与税务局的官方电邮域名核对工具（以官方最新公布为准）

香港作为国际金融中心，电邮诈骗手法迭代极快，再完善的 SOP 也不能保证零风险。真正的防线，是每一个员工在收到可疑邮件时愿意多花三分钟核实。把流程写入公司制度，把警惕心写进日常习惯，是中小企业把被骗风险压到最低的唯一方法。

香港大全还有更多香港公司注册、银行开户、税务合规、办公室租赁等实用指南，欢迎进一步阅读。

常见问答

香港中小企业最常遇到的企业电邮诈骗是哪几种？

文章整理出四种典型套路：假冒 CEO 或老板以「紧急保密交易」要求即时转款；假冒供应商以「更换收款银行」为由发出假发票；假冒律师或并购方以项目保密为由要求先缴按金；以及员工或高管真实电邮账户被盗后发出措辞异常、带可疑链接的邮件。这四类骗局都围绕「变更收款账户」展开，是企业需要重点防范的对象。

收到要求变更供应商收款账户的邮件，应该怎么处理？

文章给出的标准做法是「暂停、核实、复核」三步骤：先不要按邮件指示操作；再用过去已经登记在合同或档案里的电话号码致电对方核实，切勿使用邮件中提供的任何联系方式；确认后再做小额测试款并延迟 24 小时入账。任何要求变更账户的邮件，都不应仅凭电邮本身来回覆确认。

公司已经按诈骗电邮指示汇出了款项，应该怎么办？

文章强调「黄金 24 小时」原则：财务应在 30 分钟内联络银行尝试拦截或止付；管理层在数小时内报警（999 或各区警署）并致电反诈骗协调中心热线 18222；法务与银行方面争取当日联络收款方银行请求冻结账户。损失金额与具体追回比例受多种因素影响，以警方及银行最终处理结果为准，因此越快报案与通知银行，追回的可能性越高。

预防企业电邮诈骗，公司在技术上应该先做好哪些基本设置？

文章建议先从 DNS 层做起：全面启用 SPF、DKIM、DMARC 三项电邮认证协议，阻止伪造邮件；针对如「hk-company.com」「company-hk.com」之类相似域名进行监控；并启用邮件服务商的进阶威胁防护（ATP）以拦截含钓鱼链接的邮件。同时全员强制启用多因素认证（MFA），对管理层与财务岗位优先落实。

香港企业遇到电邮诈骗，可以去哪里求助？

文章列出几个可信渠道：香港警务处反诈骗协调中心「防骗易」热线 18222 提供即时防骗咨询；香港金融管理局定期发布银行防诈骗指引；香港银行公会可查询银行内部反诈流程；公司注册处与税务局也提供官方电邮域名核对工具，具体入口以官方最新公布为准。如怀疑被骗，建议同时报警与联络银行双线处理。