外贸客户邮件要求更换收款账户，付款前怎样独立核验？

收到新的收款账户或付款流程邮件时，暂停付款，用既有可信渠道独立确认，并记录审批、发票与账户变更关系。

外贸团队收到一封“我们公司银行账户更新了”的邮件，发件人姓名、邮件签名甚至历史对话都看起来熟悉。财务如果只按新邮件里的账号付款，可能把货款打到并非合同约定的账户。FBI 将这类“看似来自熟悉供应商、要求更新收款信息”的邮件列为商业邮件诈骗（BEC）的常见场景，并建议通过自己独立查到的联系方式核验付款账户或流程变更。

这类风险不只发生在供应商侧。出口企业也可能收到冒充买家的邮件，要求把退款、佣金或后续款项改付到新账户。核心做法是：把账户变更当作独立审批事件，暂停不可逆付款，在原有可信渠道外再确认一次，并保留核验记录。本文是内部操作建议，不代替企业银行、合同或当地法律意见。

第一步：暂停付款并标记变更请求

收到任何账户号码、收款主体、银行、SWIFT/IBAN、付款链接或操作步骤变化，先暂停尚未发出的款项。给订单或发票记录加上“收款信息变更待核”状态，由财务和业务负责人共同查看。不要因为邮件强调“今天截止”“货物马上发出”或“老板已批准”而跳过流程。

把原先已确认的付款资料与新请求分开保存：邮件原文、附件版本、发票号、订单号、付款阶段、接收时间、提出变更的人以及当前收款信息。不要在尚未验证时覆盖旧账户主档，也不要把新邮件附件直接当成修改合同或银行信息的证明。

暂停不是否定客户，而是把支付执行与信息核验分开。业务团队可以礼貌回复已收到变更请求、正在按常规流程核对，并请对方通过企业已有的联系方式配合确认。回复时不要引用或重复发送完整银行账号，减少不必要的数据扩散。

第二步：通过独立可信渠道联系对方

不要拨打变更邮件中新提供的电话，也不要点击邮件里的“安全验证”链接。FBI 的 BEC 防护建议明确提醒：不要使用可疑请求里提供的号码，而应自行查找企业原有电话并回拨确认；账户或付款流程的任何变更都应与发起变更的人确认。

“独立渠道”意味着联系方式来自此前已验证的资料，例如已签署合同、供应商/客户主档、过去确认过的公司总机或既有业务联系人记录，而不是来自本次变更消息。通过已知渠道接通后，核对的不只是“你有没有发邮件”，还要确认：

如果电话无法接通，先保持付款暂停，按既有升级路径寻找另一个已验证联系人。不能用本次邮件提供的新手机号、新聊天账号或附件里的二维码来“独立确认”同一条变更。

第三步：让双人复核对得上订单和账户

核实对方确实提出变更后，仍需按企业自身付款授权流程复核。业务人员确认订单、发票、付款阶段与变更范围；财务人员比对受益人名称、账户资料、币种和适用订单；有权限的负责人批准后，才能更新主档或付款指令。

这里的“双人复核”是可采用的内部控制方式，不代表适用于所有企业的法定要求。企业应根据付款金额、组织分工和银行流程设定审批级别。关键是执行人不要成为唯一的变更提出人和批准人，且每次更新都能追溯到依据和授权。

如果新账户名称与合同主体不同、请求涉及个人账户、收款路径跨多个第三方，或对方无法解释变更原因，先暂停并交给财务负责人、法务或合规人员判断。不要自行把“客户确认了”扩展成“所有付款主体关系都已合规”，也不要为赶交期绕过企业的合作方准入或付款规则。

建一张收款账户变更记录卡

每一次变更应有单独记录，至少包括：变更前账户资料的内部引用、新请求收到时间、请求来源、关联订单/发票、独立回拨使用的既有联系方式来源、核实对象及时间、确认范围、批准人、主档更新时间和付款拦截是否解除。

记录不应把所有证件、网银登录信息、完整交易明细或敏感个人数据复制到普通共享表格。只保留执行和复核所必需的信息，访问范围与保留时间按企业制度管理。若外部核实失败或账户信息仍有冲突，就保留待核状态，并说明谁负责跟进。

这张记录卡还用于处理后续争议：财务可以看出新账户是何时、由谁、基于什么确认更新；业务可以确认对方的请求覆盖哪些订单；审核者可以看到付款是否在独立确认完成后才放行。记录并不能证明对方不存在任何风险，但能减少“只因一封邮件就改账号”的盲点。

如果款项已经汇出

若发现款项可能已经汇入错误账户，立即联系发起汇款的银行，并请求其按本行流程联系收款行处理；同时保存邮件、付款凭证、发票和沟通时间线。FBI 建议在 BEC 事件中立即联系金融机构，并可通过 IC3 报告相关诈骗。中国企业应同时按所在地和交易涉及国家/地区的规定，联系自己的银行及适当的执法或网络犯罪报告渠道；跨境事件是否向 IC3 报告，应结合案件关系和适用要求判断。

通知往来方时使用已验证联系方式，不要继续在疑似被入侵的邮件线程里分享账号、密码或验证码。谁对外通知客户、供应商和内部管理层，应由企业的事件响应流程确定。本文不承诺汇款可追回，也不判断某类案件适用的法律责任。

付款前核验清单

FBI：Business Email Compromise（访问日期：2026-10-19）

FBI IC3：Business Email Compromise（访问日期：2026-10-19）

常见问题

发件人地址与以前完全相同，还需要回拨吗？

需要独立核验。FBI 提醒攻击者可能冒充账号，也可能进入真实邮件线程，因此单看发件人显示信息或历史对话不能证明账户变更真实。使用之前已经核验过的公司联系方式确认。

客户只改了银行名称，账号没变，是否可以直接更新？

不要只按变化字段多少决定风险。银行、受益人、付款流程或通知方式任何变化都应先按企业规定核实，尤其要确认变更请求的授权人、适用订单和生效范围。

付款期限很急，能否先付款后补核验？

账户本身尚未核实时，先付款会失去付款前拦截机会。应按企业的紧急付款审批和核验流程处理；无法完成独立确认时，升级给授权负责人，不要让邮件里的催促取代审批。