FBI 2025 IC3 报告提醒：2026跨境卖家如何核验供应商改账邮件？

FBI《2025 IC3 年度报告》记录了 24,768 起 BEC 投诉，相关报告损失约 30.47 亿美元；这些数字是向 IC3 报告的数据，不代表每家企业的受骗概率。报告原文显示，BEC 会针对与供应商合作或经常进行电汇的企业。

症状：供应商邮件要求更换收款账户、付款地址或付款流程。
最快解法：先暂停按新信息付款，再用邮件之外、事先留存的联系方式独立核实，并把复核纳入付款审批。仅回复原邮件或拨打邮件新提供的号码不够；邮箱分流也不能证明发件人身份。

适合经常通过邮件接收海外供应商发票和账户变更通知的跨境卖家。
也适合身兼采购、财务和付款审批的小微企业负责人，以及需要把异常变更升级处理的运营、采购人员。

最后更新于 2026 年 10 月 20 日；数据与建议核对自 FBI 的 BEC 说明及 IC3《2025 年度报告》原文。报告数字是投诉记录，不是对个体企业风险的预测。

FBI 2025 IC3 报告中的 BEC 风险，落到卖家日常是什么？

BEC，即商务邮件入侵，可能涉及冒充熟悉的供应商、控制真实邮箱，或伪造与真实地址相近的邮件地址。FBI 举例说明，常见情形之一是熟悉的供应商发来更新过的付款或邮寄信息，并建议不要只看显示名称或邮件地址，而要通过自行查找的电话号码核对请求。FBI 的 BEC 官方说明还提醒，催促立即行动也是值得留意的信号。

报告中的统计给出风险背景，但不能据此推断跨境卖家的具体受骗率。IC3 记录的 2025 年 BEC 投诉为 24,768 起，报告损失约 30.47 亿美元；同期，报告中的网络犯罪相关损失合计约 176.97 亿美元。因此，BEC 的损失金额值得经营者关注，但这些是投诉数据，不等于某类卖家的实际损失规模，也不能替代对一封具体邮件的核验。IC3《2025 年度报告》

FBI 的建议与卖家的日常付款场景直接相关：账户或付款流程发生变化时，要找已知联系人独立确认，而不是在可疑邮件提供的渠道里自证。FBI 过往的防范建议也提到，邮件地址可能只有细微差别，且攻击者可能进入真实邮箱、读取已有往来，再利用原有业务语境发起变更。FBI 关于 BEC 的早期说明

请求到达前：把独立核验信息留在邮件之外

不要等到付款倒计时开始，才临时搜索供应商电话。把合同、采购档案或已核实的联系人记录作为联系方式来源，并提前写清哪些人可以提出、核实和批准收款账户变更。

小团队不需要先搭复杂系统，关键是让联系方式和授权记录在邮件之外有可追溯的来源。IC3 的防范建议包括保存供应商授权联系人信息、通过已知号码确认变更，以及为涉及新账户的付款安排双人审批。IC3 关于供应商付款变更的建议

收到变更邮件后：先暂停，再独立回拨

核验供应商付款信息变更，重点不是凭几个可疑特征给邮件下结论，而是让付款决定脱离这封邮件提供的联系方式与对话链路。FBI 和 IC3 的指导都强调使用事先掌握的联系人或号码，而不是邮件里附带的新电话或链接。

第一步：把付款状态标为“待核验”

先暂停按新账户付款，也不要点击邮件中的改账链接或仅靠“回复确认”完成核实。若有付款截止时间，记录这个时间并告知负责人：核验未完成前，原有付款安排不自动变更。

第二步：从既有档案找到联系方式

回到合同、历史采购记录或已维护的供应商联系人清单，找到原先核实过的电话或其他业务渠道。不要把当前邮件里的号码、签名档、二维码或新链接当作独立来源；号码若已失效，也要通过另一条已知渠道重新找到供应商。

第三步：主动联系授权联系人

接通后，主动说明需要确认的是哪张发票、哪项付款变更。核对供应商名称、原收款信息与新信息、变更原因、生效时间，以及接听者是否有权批准这类变更。不要只问“刚才是不是发了邮件”，因为这类回答没有确认具体账户字段。

第四步：把结果与证据记下来

记录核验日期和时间、采用的联系方式、确认人及其职务、逐项确认的变更内容、内部经办人，以及最终结果。核验失败、对方无法确认或信息前后不一致时，把记录标为未完成并升级，不要把沉默或“稍后回复”当作同意。

第五步：必要时换另一个已知渠道

如果电话无法接通，或接听者要求继续只用原邮件沟通，就先停止付款流程，再通过另一条事先核实的业务渠道联系供应商。联系不上不是核验通过。FBI 还提醒，攻击者可能控制真实邮箱并利用原有邮件往来；因此，看起来熟悉的主题、签名和历史对话也不能替代独立确认。FBI 的相关防范建议

付款前：让二次确认真正挡住错误付款

小公司最容易忽略的不是有没有审批表，而是同一个人从收到邮件、确认账户到执行付款都没有第二个检查点。把“确认变更”和“支付这笔款”拆成两个动作：一人负责独立核验，另一位授权人员对照核验记录检查收款主体、账户字段和付款金额，再决定是否放行。

小团队的例外安排：如果实际只有一位日常经办人，不要把“自己回拨并记录”包装成双人审批。可先暂停该笔付款，等负责人、合伙人或指定的财务复核人查看核验结果后再处理；这属于内部风控建议，不是法律或银行规定。

核验表至少要能回答：供应商是谁、哪张发票涉及变更、谁通过什么既有渠道确认、哪些付款字段被确认、谁复核、是否批准。IC3 建议对供应商付款信息变更使用电话确认，并可考虑对涉及新银行账户的付款设置双人批准；是否采用以及审批条件，应按企业规模与内部流程确定。

以下情况出现时，按“未核实”处理并升级给负责人：邮件要求立刻付款或保密、对方拒绝使用既有联系方式、账户名称与供应商名称不一致、变更内容和口头确认对不上，或授权人无法确认收款信息。单个信号不能证明邮件就是钓鱼，但也不能据此跳过独立核验。FBI 对 BEC 的说明指出，地址细微差异和催促行动都值得留意；最终仍应通过独立渠道确认请求真伪。FBI 对 BEC 风险的说明

长期维护：联系人与邮箱分流各管一件事

为供应商主联系人、财务联系人和付款变更记录指定维护人。每当合同续签、联系人离职或电话号码变更，就更新档案；也要定期确认已有联系方式仍可用，避免等到紧急付款时才发现电话已停用。

邮箱标签、转发或经营邮箱分层，可以帮助团队把供应商往来和平台通知分开，也能更快找到发票、核验记录与客户邮件。它们解决的是收件整理和信息交接，不是发件人认证：邮件被分到“供应商”文件夹，并不等于账户变更已核实。我们整理的小微企业经营邮箱清理与分流方法可用于规划收件与升级路径。涉及付款、发票或重要业务账户的通信，应使用长期可访问的邮箱，而不是依赖短期收件地址。

如果变更请求疑似欺诈，保留原始邮件和相关记录，不要只留截图或转发后的正文；已付款的，应尽快联系相关金融机构并按适用渠道报告。FBI 的说明建议在发生 BEC 转账后立即联系金融机构；IC3 也提示保存与事件有关的消息和证据。具体处置取决于实际情况，本文不构成法律或银行建议。

供应商改账邮件的处理核心是“独立联系、逐项核对、付款前复核”，邮箱隔离只是收件管理手段。若正在梳理小团队的经营邮箱，可以从上述分流指南着手，把供应商联系人、客户来信和平台通知各自归位；但付款信息仍须通过事先留存的联系方式核验。