外贸邮箱被黑、汇款被骗：BEC 诈骗原理与防范

商业邮件欺诈（BEC）是针对企业损失金额最大的网络犯罪类型。攻击的核心是控制一个合法邮箱——你的或者你供应商的——再借此拦截一笔货款或篡改一条收款信息。攻击者不需要破解加密，不需要植入病毒，只需要你的密码。

攻击是怎么发生的

密码泄露

最常见的入口。攻击者通过三种方式拿到密码：仿冒邮件服务商登录页面的钓鱼链接、用其他网站泄露的密码碰撞（大多数人在多个平台用同一个密码），以及通过恶意邮件附件安装的键盘记录器。

拿到密码后，攻击者悄悄登录，几周内只是读邮件，摸清你客户的付款节奏，等合适的付款时机再出手。

仿冒域名

攻击者注册一个和你的域名极度相似的域名：company-inc.com（加了连字符）、cornpany.com（rn 看起来像 m）、或者把 .com 换成 .org。然后冒充你给你的客户发邮件。

这种攻击特别危险，因为攻击者完全不碰你的账号——你的收件箱没有任何异常，但客户已经把钱打到了错误账户。

设置静默转发规则

拿到账号访问权限后，攻击者几乎必做的一件事是创建一条转发规则：所有包含「发票」「付款」「汇款」关键词的邮件，自动转发到他们的外部地址，然后删除规则创建的通知邮件。这样即使你改了密码，只要转发规则还在，他们依然能持续读到你的商务往来。

外贸里最常见的场景

攻击盯住的是一笔正在进行中的付款。监控了你邮箱一段时间的攻击者，用你的真实地址（或仿冒地址）给你的客户发邮件，说银行账号已更换，请更新收款信息。客户看到发件人是熟悉的地址、文字风格也对，就更新了记录，把下一笔货款打到了攻击者账户。

等你发现的时候，钱已经在第三个国家了。

怎么防

用每设备凭据，不共享密码

Rovela 为 IMAP 和 SMTP 客户端访问颁发每设备凭据（mb_ 开头）。每台设备或每个应用用自己的凭据，其中一个泄露了，在后台吊销它，不影响其他设备。不要让所有设备共用一个密码。

开启两步验证

两步验证意味着泄露的密码单独无法登录账号。用验证器 App（TOTP），不要用短信——SIM 卡交换攻击可以拦截短信验证码。Rovela 后台登录支持 TOTP 两步验证。

定期审查转发规则

有任何可疑迹象后立即检查，平时也要每季度检查一次：登录 Rovela 后台，进入设置 → 邮件规则，找不是你创建的转发规则，全部删掉。

设置 DMARC 阻止伪造你的域名

DMARC 策略设为 p=reject，告诉收件服务器：凡是声称来自你的域名但 SPF/DKIM 不通过的邮件，直接丢弃：

_dmarc.company.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@company.com;"

这能阻止攻击者用你的精确域名发信，但防不住仿冒域名。确认所有合法发信路径都能通过 DKIM（在 Rovela 后台可以核对），然后从 p=none 逐步升级到 p=quarantine，最后到 p=reject。

所有换账号请求，必须电话二次确认

任何要求更改收款账号的邮件——无论看起来是谁发的——都必须用你已经知道的电话号码（不是邮件里提供的号码）打电话确认。这一条规定能拦截绝大多数 BEC 诈骗。

把这个规程落到财务部门的操作流程里，没有例外。如果连财务总监的邮件里提出汇款要求，五分钟内无法电话确认，汇款就先暂停。

识别账号被盗的迹象

• 发件箱里有你没有发过的邮件
• 联系人问起你没有写过的邮件
• 收到陌生地点或陌生设备的登录通知（Rovela 后台 设置 → 登录会话 里可以查看）
• 发现不是你创建的转发规则
• 收到使用这个邮箱地址的其他服务的密码重置通知

一旦发现上述情况，立即吊销所有每设备凭据、修改登录密码、如果还没开两步验证就立刻开，并审查所有转发规则。

已经发生了怎么办

1. 立即吊销所有凭据并修改密码——先把攻击者踢出去
2. 审查并删除所有不是你创建的转发规则
3. 同一天联系你的银行和客户的银行——国际电汇有时可以在 24 小时内召回
4. 向当地网络犯罪机构报案（中国：公安部 110 网络报警平台）
5. 通知受影响的客户，让他们也检查自己的账号有没有被设置转发规则

资金追回率在 24 小时后急剧下降，72 小时后接近于零。速度比任何事情都重要。