先说结论：收到供应商“请把本期货款改到新账户”的邮件时，不应直接修改付款资料。 先冻结该笔付款，用合同或供应商主档中原有的电话和联系人独立回拨，核对公司主体、授权文件、账户名和变更原因；确认通过后仍需双人审批，必要时先做小额验证。
为什么真实邮件也不能直接相信
FBI 将 Business Email Compromise（BEC）描述为利用伪造或被入侵的邮箱，冒充熟悉的供应商、管理人员或业务伙伴发出付款请求。攻击者可能进入真实邮件线程，掌握发票、交期和联系人后，在付款前临时替换账户。
因此风险信号不只有拼写错误。突然要求保密、催促当天付款、拒绝电话确认、变更收款国家、账户名与合同主体不一致，或要求绕过既有审批，都应触发冻结。
账户变更必须走六步
- 冻结付款：暂停该供应商所有待支付批次，避免财务按旧计划自动执行。
- 独立回拨：使用供应商主档或合同中的原有号码，不使用变更邮件新提供的号码。
- 核对主体：比较合同、发票、收款账户名、开户国家和公司注册信息。
- 验证授权：要求加盖公章或符合既定签署方式的变更文件，并由原授权联系人确认。
- 双人审批：采购与财务分别复核，不能由收件人单独完成变更。
- 小额验证：风险较高时先支付可控金额，并通过独立渠道确认到账后再决定后续付款。
付款完成后，应把验证证据、审批记录、生效日期和受影响发票写入供应商主档，旧账户保留为停用历史，不能覆盖删除。
哪些证据不能单独作为放行依据
- 邮件来自真实域名；
- 对方能说出订单号和金额；
- 新账户开户名与品牌相似；
- 一张银行证明截图；
- 供应商表示“老板已批准”；
- 过去从未发生过异常。
这些信息都可能被攻击者获取或伪造，必须与独立回拨、主体和授权链结合。
供应商主体核验可参考站内供应商样品、产能与异常证据清单；付款阶段与异常保留参考采购首单分阶段付款清单；合同中还应写明账户变更通知方式和生效期限，可结合供应商报价与合同责任边界补充。
已经转到可疑账户怎么办
立即联系付款银行申请拦截或召回，并保存邮件原文、完整邮件头、发票、账户、金额、时间、审批和沟通记录。FBI 与 IC3 均强调应尽快联系金融机构并报告。不要先与可疑邮箱长时间争论而错过资金处置窗口。
常见问题
供应商用微信确认可以吗？
微信可以作为辅助，但应使用原有已验证账号，并与合同电话、授权文件和账户主体交叉确认。单一聊天截图不足以放行大额付款。
同一公司换了开户行，需要重新验厂吗？
不一定重新验厂，但必须重新走账户变更验证。若同时出现法人、地址、联系人或生产主体变化，应升级为完整供应商复审。
小额测试成功就能证明账户安全吗？
只能证明资金能到达该账户，不能单独证明账户属于正确供应商。主体、授权和独立回拨仍是必要条件。
核验来源
本文依据 2026 年 8 月 24 日可访问的 FBI 与 IC3 官方资料整理，是采购付款风控方法，不替代银行、警方、法律或财务专业意见。
