关注优贲财税有助于升职加薪噢！
CGMA全球管理会计精英认证项目
Better Skills，Better Businesses
网络罪犯们已经把黑手伸向了财务部门以及财务的决策者们。他们通过复杂的技术手段设计了电子邮件诈骗程序，直接导致全球企业损失数十亿美元。
商业电子邮件妥协（BEC），是一种复杂的多层次欺诈，由跨国有组织犯罪集团雇佣律师、语言学家、黑客和社会工程师进行操作，据美国联邦调查局称，150多个国家已经对此进行重视和披露。
最常见的手段是，员工从CFO或是CEO那里收到紧急邮件，通常这时CFO或是CEO在出差，或是无法接听电话，邮件一般要求员工立即电汇“秘密”项目；伪造合法供应商的发票；提供欺诈性付款账户详细信息；或是通过说服员工更改付款银行账户，截取或转移合法付款。
从2013年10月FBI开始跟踪网络诈骗，截至2018年年中，FBI估计BEC致使全球损失共计达125亿美元，深受其害的国际公司高达近79000家。
“这对企业来说可能是一个巨大的问题，很可能某些企业因为这个损失而一蹶不振甚至倒闭。” GeT Safe Online的首席执行官Tony Neate这样说，GeT Safe Online是一家英国的，为政府以及私营部门，提供网络安全方面的信息和培训的供应商。
▲
BEC是一种新兴的，影响巨大的“网络瘟疫”，GeT Safe Online和劳埃德银行估计，53%的英国企业都经历过BEC欺诈的犯罪攻击，联邦调查局注意到，在2016年12月至2018年5月期间，全球因其遭受的损失确认增加了136%。
另一位研究院专家，伯明翰阿拉巴马大学计算机取证研究主管Gary Warner表示：“事实上，BEC所带来的损失远远不止于此，并且欺诈率正在以惊人的速度上升。” Gary Warner与执法机构和公司合作，跟踪和监控国际网络犯罪分子，他们研究发现，实际上网络犯罪涉及范围之大让人无法想象，因为这中间很多犯罪案未向联邦调查局进行报告或是披露。
专家预测，在未来几年里，这个问题只会越来越糟，而且公司为之付出的代价也会愈高。此外，财务部门将被网络罪犯们视为头号攻击对象，据电子邮件安全公司称，他们在其中一个网络犯罪团伙的目标数据库当中就发现了超过50000名财务高管的联系方式。
那么商业电子邮件妥协（BEC）到底是什么？财务专业人士怎么做才能保护好自己，来避免自己遭受攻击，减少损失呢？
▲
这是一种欺诈行为
从最简单的层次上去解释，BEC就是一种冒充权威人士或是供应商，通过发送电子邮件来欺骗财务人员，引诱其进行欺诈性付款的行为。
更具体而言，BEC是一种针对目标人群的电子监控操作程序，它通过恶意软件和间谍软件侵入公司的计算机系统，网络罪犯进入公司系统后，会监控公司内部通信的财务状况，有时甚至是潜伏长达数个月，等待最佳的时机，选择关键的攻击对象，从而操纵他们来获取大笔的资金入库。
网络犯罪分子还可以模仿公司的发票，因为他们经常会截取相关的开票信息邮件，他们还会访问员工的行程表和日历，从而了解在公司里谁是付款方。因为这些罪犯使用的是看起来足够真实的仿制品，并拥有足够详细的公司架构信息，所以他们能够准确找到公司的网络漏洞和最佳的攻击时机。
2018年3月，网络犯罪分子利用其获取的公司信息从法国独立电影集团Pathé骗走2150万美元，当时他们趁母公司的CFO去度假的时候，说服荷兰一家子公司的CEO进行四次电汇来完成迪拜的“秘密”收购项目。这个诈骗案导致公司损失惨重，该子公司的CEO和CFO都因此而失去了工作。
▲
社会工程
实际上，人性的某些弱点以及职场上的权力结构某种程度上也加剧了BEC的风险。一般员工不会积极主动地去寻找BEC的危险信号，当他们已经陷入恶意软件程序的时候，也不知道怎么去发现它们。因为他们没有接受过专业的培训，所以他们无法意识到自己所作所为的后果。即使他们可能发现了一些看似不对劲的事情，他们也常常因为害怕挑战公司的CFO/CEO权威受到惩罚，从而对这些视若罔闻。
公司内部的商业弱点是对权威的恐惧。在会议上，如果公司的CEO正在对他的战略规划或是商业计划高谈论阔时，一般的员工谁敢打断他，质疑他的方案？
但是，如果财务部门想要减轻BEC所带来的灾难性的风险，他们必须要学会发现一些警示的信号。
▲
警示信号
BEC一般很难让人们察觉的原因是，黑客往往能够通过搜集大量关于攻击对象的信息来深入了解目标财务部门的运作方式，从而伪造文件和电邮。
秘密交易
一般BEC罪犯会告诉目标对象，CEO或是CFO正在进行一项秘密交易，需要你去紧急电汇。在Pathé的案件中，诈骗犯就声称在迪拜的秘密收购需要一笔资金。诈骗者通常的话术是，为了保证公司的竞争优势，这个附加项目，你需要紧急汇款并对此保密。
出门在外的要求
BEC罪犯通常能够提前了解公司高管的作息时间表，所以他们经常会在员工无法与CFO或是CEO联系时采取行动。典型例子就是，当CEO在坐长途飞机时，在长达十几个小时里他一般无法接到电话或是查收邮件的。
突如其来的变更
诈骗犯通常会要求更改当前的支付地址，或是本来长期合作的双方，突然要求提供新的账户信息，这都是作为转移经常性支付的常见方式。
语法错误
网络犯罪分子在伪造和模仿会话语言方面越来越熟练，但在语法和拼写方面仍然会存在错误。尤其是那些日常用语上，我们需要额外重点关注那些不常使用的词组或是语句。
越级需求
诈骗犯通常会针对那些很少收到CEO或CFO电子邮件的员工，因为这些员工害怕冒犯老板，所以不会质疑他们，会迅速采取行动来执行他们的命令。因此，如果你收到高管给你发送的超过正常工作职责范围的命令，或是他们跳过其他人直接找你去解决问题，这个时候你要多加小心，一定要审慎辨别真伪。
提前计划
在打击BEC诈骗犯方面，最为关键的就是开放的沟通和培训。各公司针对申请和授权付款方面，应该制定标准化的内部流程文件，任何超出公司标准流程的付款请求都应该进行质疑，进行多方评估。
审慎甄别
如果你收到一封BEC电子邮件，那么第一步应该是什么都不要做。所有员工都必须接受如何察觉欺诈交易的培训，学会如何去审慎考虑任何有关财务信息或付款的请求，然后对此做出回应。
犯罪分子依赖于受害者快速的情绪化反应，尤其是当他们担心冒犯或激怒老板时，这种反应往往会模糊人们的判断。
再次确认
一旦确定了BEC的危险信号，下一步就是在采取任何行动之前立即和发件人取得联系。如果CFO要求你去进行秘密电汇，在你操作之前，务必电话得到CFO的亲自确认，即便这可能会打扰他们，或者冒犯到他们的权威。
即便它很大程度上可能会减慢支付过程，建议最好还是使用文件中的联系信息对可疑支付进行语音验证。诈骗犯们目前还没有弄清楚如何模仿语音通话，这个简单的步骤可以节省大量的时间和金钱。
建立一个积极开放的反馈沟通文化
沉默意味着风险。降低BEC风险的一个非常有效的方法是，通过鼓励员工在出现可疑情况时大声说出，从而消除员工对质疑权威的恐惧。
最重要的是，我们必须让公司的员工了解，那些可疑的要求一定需要及时反馈，并针对这些能够察觉到交易异常。此外，针对那些帮助公司减少损失的员工，我们还需要给予他们必要的表扬和奖励。
📶 来源 | CGMA · Linked-f 铂略CIMA，优贲财税整理发布。【以上文章为作者独立观点，不代表优贲财税立场，内容及图片来源网络，版权归原创者所有。除非无法确认，我们都会标明作者及出处，如有侵权烦请告知我们，我们会立即删除并表示歉意。谢谢！】
-- The End --
愿有一天我们能成为您的优质阅读源
以获得您的置顶
优贲财税
有效解决企业财税供应商选择难题！
优贲——最精准的财税服务筛选管家
