供應商說要換收款帳戶？企業匯款前先查這一步

(中央社財經訊息服務20261015 10:26:45)「您好，我們公司最近更換銀行帳戶，這筆貨款請改匯到新帳號。」對經常處理付款的財務或採購人員來說，這類通知可能只是日常工作的一部分。但如果寄信的人根本不是原本的供應商呢？今年4月，新加坡一家企業就因為收到假冒供應商的Email，將660萬美元匯入詐騙帳戶。這起事件也提醒企業，面對更改匯款資訊的要求，不能只確認Email看起來是不是真的，更重要的是公司有沒有一套可以查證、核准並留下紀錄的管理流程。

根據新加坡警方公布的資料，這家大宗商品交易公司4月28日收到一封看似來自合作供應商的Email，通知變更收款帳戶。詐騙集團使用與真正供應商極為相似的網域名稱，只將其中兩個字母對調，讓收件者難以察覺。企業隔天依照信件指示匯出660萬美元，直到真正的供應商表示從未更改銀行帳戶，才發現遭到詐騙。所幸警方後續透過跨國合作成功追回款項。

財團法人台灣網路資訊中心（TWNIC）10月13日也引用這起案例，提醒企業除了辨識可疑郵件，更應重視數位資產與操作紀錄的管理。因為一旦發生異常，能否查出付款要求從哪裡來、由誰確認、誰核准匯款，將影響後續調查與處理效率。

其實，很多公司都有付款審核制度，例如採購確認發票、主管核准金額，再由財務安排匯款。但如果最初收到的收款帳戶資訊就是假的，即使後續每個人都依照流程簽核，款項仍可能匯到錯誤的地方。

因此，當供應商突然要求更換銀行帳戶，最重要的不是直接回覆原本那封Email詢問真假，而是透過另一個已確認的聯絡方式進行查證。例如撥打過去合約或公司資料中留存的電話，聯繫原本熟悉的供應商窗口，確認是否真的提出變更要求，以及新的銀行帳戶是否正確。尤其不能直接使用變更通知信中新提供的電話，否則可能只是聯繫到詐騙集團安排的另一個窗口。

確認身分之後，企業也應將變更收款資訊視為需要獨立審核的作業，而不是一般資料修改。包括誰提出申請、由誰向供應商確認、確認時間、新帳戶由誰審核，以及最後由誰核准付款，都應留下可以查閱的紀錄。對金額較高或首次使用的新收款帳戶，更可以透過不同人員分別確認及核准，避免單一人員從接收通知到執行匯款都自行完成。

不過，企業的防護不應只停留在財務流程，日常使用的網域與電子郵件系統，同樣是重要的管理環節。尤其當企業長期使用Email與客戶、供應商往來時，寄件來源能否正確辨識、誰有權限管理郵件系統，以及重要設定是否受到妥善維護，都可能影響企業對外溝通的安全性。

Cloudmax匯智資訊長期協助企業規劃、建置與管理網域、DNS及企業郵件等數位服務，提醒企業在建立對外溝通環境時，不應只考慮信箱能否正常收發，更需要一併檢視寄件身分驗證、管理帳號權限及後續維護機制。例如透過SPF、DKIM與DMARC等郵件驗證技術，協助收件端判斷郵件是否符合網域授權與驗證規則，降低企業自有網域遭冒用的風險。

但技術防護並非萬無一失。即使企業已經建立郵件驗證機制，詐騙者仍可能另外註冊與原廠商名稱相似的網域，藉此寄送看似正常的商務郵件。這也說明企業需要同時從技術與管理兩個面向著手，不能期待只靠郵件系統，就能辨識所有詐騙行為。

對企業來說，完整的數位服務規劃不只是把系統建置完成，後續由誰負責管理、重要帳號如何授權、設定異動是否有人確認，也同樣重要。尤其網域與企業郵件是公司長期使用的數位資產，如果缺乏明確的管理責任，當員工離職、管理窗口更換或發生異常事件時，就可能面臨權限無法釐清、設定難以追查等問題。

匯智生活觀察室觀察，企業防範商務郵件詐騙，不一定要從增加複雜的資安設備開始。對許多中小企業而言，先建立「更換收款帳戶必須透過第二管道確認」的規則，清楚區分資料修改、審核與付款權限，再搭配妥善規劃的企業郵件環境及網域管理制度，就能逐步降低因資訊遭冒用而產生的營運風險。

如果發現款項已經匯錯，也應立即聯繫銀行尋求攔截或追查，並儘速報警及保存相關郵件與付款紀錄。這次新加坡企業雖然成功追回款項，但並非每起案件都有相同結果。

從一封Email到完成匯款，企業真正需要管理的不只是錢有沒有匯出去，而是從郵件來源、帳號權限到付款核准，每個重要環節是否都有適當的確認與管理機制。唯有讓技術防護與內部流程相互配合，才能讓企業日常的數位溝通與資金往來更有保障。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成