供应商联系人亲口确认“邮件是我发的”，只能证明请求可能来自本人，不能自动证明新账户属于合同方、收款安排合理或内部已经批准。安全的账户变更要过两道门：先核实请求，再核实账户。
FBI 将冒充正常往来方、利用真实邮件线程催促改付款信息列为商业邮件诈骗的典型风险，并建议企业用自己查到的电话联系对方，核实账户号码或付款流程的任何变化。回复原邮件、拨打邮件里新提供的号码，都没有形成独立验证。
第一步：确认请求确实来自供应商
回到变更发生之前已经保存的联系人和渠道，例如合同、供应商主档或历史往来中的电话。由采购或供应商管理人员主动拨出，要求对方说明变更原因、生效日期和适用发票。新邮件里的联系人、二维码和电话号码只能作为待核信息。
若原联系人也在异常邮件中，应再找另一名已知负责人或公司总机。域名只差一个字母、语气突然催促、要求绕过审批、以保密为由阻止回拨，都是暂停信号。即使邮件来自真实邮箱，账户也可能已经被接管。
第二步：确认新账户为何可以收这笔钱
新受益人名称应与合同和发票主体比较。完全一致时仍需核对银行所在地、币种和账户证明；不一致时则要解释第三方代收、集团资金中心或保理等关系，并取得与金额和适用规则相称的文件与审批。
| 检查 | 可接受的证据方向 | 不能单独依赖 |
|---|---|---|
| 请求真实性 | 通过旧主档渠道的独立回拨 | 回复原邮件或新号码 |
| 账户归属 | 银行资料、账户名和主体信息一致 | 可编辑的发票截图 |
| 第三方关系 | 合同安排、授权及必要审批 | “财务安排”一句解释 |
| 适用范围 | 明确哪些订单、发票和日期生效 | 把全部未付款项自动迁移 |
美国商务部国际贸易管理局建议在合作前调查境外代表或合作方的当前状态、历史，并取得商业与银行参考。用于新账户时，这些资料帮助回答“这家公司是谁、为何代收、怎样追责”，而不只是判断一封邮件真假。
让核验人、批准人和录入人互相校验
账户变更不应由收到邮件的人一键完成。核验人记录回拨和关系证据，授权人决定是否接受，财务再把批准后的资料写入受益人主档。系统条件有限时，也应至少由第二人比较新旧账户和批准记录。
首次向新账户付款可以降低单笔金额、设置额外复核或先用可控款项验证，但小额试付不能证明受益关系合法。真正的控制仍是身份、关系和授权证据。旧账户保留为历史记录，不要覆盖到无法追溯。
批准记录写清旧账户、新账户、请求时间、独立联系渠道、确认人、关系文件、适用订单、生效日期和批准人。发票审批时再把本次受益人与主档比较，避免变更流程通过后被另一封发票悄悄替换。
如果钱已经汇出
发现疑似误付后，时间比内部归因更重要。立即联系本方金融机构，请其联络收款金融机构尝试止付或追回；同时保存邮件、付款指令、通话和系统日志，并按所在地要求向执法或网络犯罪渠道报告。
不要等待供应商自行协调后才行动，也不要继续向同一账户支付“解冻费”或补款。暂停相关未付款项，确认邮箱、账号和主档是否受影响，再决定何时恢复。
- 使用变更前已保存的号码主动回拨。
- 把请求真实性与新账户商业关系分开核验。
- 受益人不一致时取得关系文件和适当审批。
- 核验、批准和主档录入至少有第二人复核。
- 疑似误付后立即联系金融机构并保存证据。
独立回拨的细节见新账户变更回拨；受益人主档见已批准账户基线；付款前的不一致处理见银行受益人不一致。
参考来源
以下 FBI 和美国商务部国际贸易管理局资料于 2026 年 8 月 30 日核对。账户证明、第三方收款和报告义务应按交易所在地及企业制度处理。
