BEC 攻击通过伪造高管或供应商邮件盗取资金和数据。了解 DMARC、DKIM、SPF 和良好的邮件规范如何保护您的企业。

商业邮件欺诈（BEC）：如何识别与防范

商业邮件欺诈是损失金额最高的网络犯罪类型之一。与大规模钓鱼攻击不同，BEC 是有针对性的：攻击者会研究目标企业，找出控制资金或敏感数据的人员，然后发送一封看起来来自可信来源的精心伪造邮件。

美国联邦调查局互联网犯罪投诉中心（IC3）的数据显示，仅一年内 BEC 攻击造成的损失就超过 29 亿美元。这类攻击之所以成功，不是因为利用了软件漏洞，而是因为利用了人与人之间的信任。

BEC 攻击的常见形式

财务部门员工收到一封看似来自 CEO 的邮件："请在今天下班前将 8 万元转账到这个账户。这是机密事项，不要告诉任何人。"邮件地址看起来没问题，语气也像是 CEO 的风格。员工随即转出了钱款。

攻击者在监控企业邮件往来数周后，冒充一家该企业经常合作的供应商发送伪造发票，但将收款账户改为攻击者控制的账户。企业按时付款，钱却进了骗子的口袋。

在房产交易或企业并购的关键节点，攻击者冒充律师事务所或律师发送邮件，将大额转账重定向到欺诈账户。由于正好处于需要大额转账的时间节点，收款方往往毫无戒心。

BEC 成功的原因有以下几点：

域名仿冒：攻击者从 ceo@company-corp.com 而非 ceo@company.com 发送邮件——在繁忙的收件箱中很容易忽略这一细微差别
显示名欺骗：显示名为"张总，CEO"，但实际发件地址是 Gmail 或 QQ 邮箱
相似域名：攻击者注册 cornpany.com（rn 看起来像 m），并从该域名发送邮件
账户入侵：有时攻击者会真正控制一个合法账户，邮件确实从正确地址发出

邮件认证记录是防止域名仿冒的第一道防线。

SPF 允许您声明哪些邮件服务器有权代表您的域名发送邮件。接收方邮件服务器在接受邮件前会检查 SPF 记录：

v=spf1 include:_spf.rovela.dev ~all

单独使用 SPF 并不够——它只检查 SMTP 会话中的信封发件人地址，而非用户看到的 From 头部。

DKIM 为外发邮件添加加密签名。私钥对邮件头和正文进行签名，公钥发布在 DNS 中。收件方通过验证签名，确认邮件在传输过程中未被篡改，且确实来自持有私钥的服务器。

DMARC 将 SPF 和 DKIM 关联起来，并告知接收方当两者都验证失败时应如何处理：

v=DMARC1; p=reject; rua=mailto:dmarc-reports@company.com

p=reject 策略指示接收服务器丢弃 DMARC 对齐失败的邮件。这弥补了显示名欺骗的漏洞：From 头部的域名必须与 SPF 域名或 DKIM 签名域名之一对齐。

重要提示：在移至 p=quarantine 或 p=reject 之前，先使用 p=none（监控模式）收集报告，了解您的邮件流量。直接跳到 p=reject 而不审查报告，可能导致正常邮件被丢弃。

技术手段无法阻止所有 BEC——入侵合法账户的攻击者可以绕过身份认证。规程控制同样不可或缺。

制定明确规定：任何更改付款信息或发起异常转账的请求，必须通过电话或当面确认，且电话号码必须来自您自己的记录，而非邮件本身。这一条控制措施能阻止绝大多数冒充类 BEC 攻击。

超过一定金额的转账需要第二人审批，这意味着攻击者必须同时入侵两个账户。

BEC 邮件几乎都会制造紧迫感和保密要求："我现在就需要"和"不要告诉任何人"。这是操控手段，员工一旦识别这种模式，就更不容易跳过核实步骤。

培训财务团队检查完整的邮件地址，而非仅看显示名。浏览器和邮件客户端界面通常会隐藏实际地址——员工应点击或悬停查看完整地址。

如果收到可疑邮件，不要回复。通过已知可信的渠道联系表面上的发件人进行核实。如果转账已经发出，立即联系银行——24 小时内的转账撤回有一定成功率。向 FBI 的 IC3（ic3.gov）和当地执法机构举报。

如果您的企业通过邮件 API 发送营销或事务性邮件，同样适用上述认证要求。通过 Rovela 发送的每封邮件都使用您已验证的域名，配置了正确的 SPF、DKIM 和 DMARC。添加域名时，Rovela 会生成 DKIM 密钥，并显示需要发布的 DNS 记录。

保持良好的发件方信誉——低退信率、少量垃圾邮件投诉、经过认证的邮件——也能降低您的域名对 BEC 攻击者的吸引力，因为一个突然发送欺诈邮件的高信誉域名更容易触发过滤规则。