早上九点，邮箱李婷打开邮箱，被黑发现里面躺着三封新邮件。客户客一封是付款客户催款通知，两封是邮箱系统提醒。她没多想，被黑点开第一封，客户客附件里是付款客户发来的银行账号变更函，措辞正式，邮箱还盖着对方公司的被黑红章。她照着新账号转了尾款，客户客十二万。付款

三天后，邮箱客户打电话过来问款子到账没有。被黑李婷说转了呀，客户客按你们新账号转的。电话那头沉默了几秒——客户说他们从没发过什么账号变更函。李婷翻出邮件，发件人确实是客户的域名，可仔细一看，那个域名拼写里多了个字母“r”。

这不是什么高深黑客技术。骗子注册了相似域名，买了个企业邮箱服务，伪造了客户公司的邮件头。李婷的公司没开通双因素认证，邮箱密码半年前就在某次数据泄露里流出了。黑客登录进去，翻看历史邮件，摸清了交易习惯，挑了个大额订单的间隙，精准插了一刀。

最讽刺的是，李婷的邮箱里其实躺着安全提醒——谷歌发来的“异常登录警告”，红色感叹号，写得很清楚：来自尼日利亚的IP地址登录了你的账户。她当时以为是垃圾邮件，直接划掉了。

这类骗局在国内叫“邮箱欺诈”，在海外叫BEC（Business Email Compromise），是过去五年全球损失最惨重的网络犯罪类型，远超勒索软件。FBI的年度报告说，2023年BEC造成的损失超过29亿美元。29亿，全是真金白银，不是虚拟币。

李婷不是个例。我认识一个做外贸的老哥，去年也被这么骗了八万美金。他的客户是欧洲老牌公司，合作五年了，对方发来邮件说“我们的收款银行变更了，请更新记录”。他信了，因为邮件里连对方公司CEO的签名都有。后来才知道，黑客先黑了他客户的邮箱，用客户的真实邮箱发来的——这种更狠，连域名都不用仿冒。

说句不好听的，很多企业主对邮箱安全的认知还停留在“设个复杂密码就完事”。可密码早就不够了。黑客现在玩的是“会话劫持”——你登录的时候他截胡，你看到的界面是正常的，其实背后已经插了根管子。你输的密码、看的邮件、发的附件，全被顺走了。

李婷的钱追回来了吗？没有。跨境转账到了尼日利亚的账户，十分钟内就被拆分成几十笔小额，分散到不同国家的ATM取现。警方立案了，但跨国追赃的难度，你懂的。

她后来跟我复盘时说了一句话，挺扎心的：“我天天给客户发防骗提醒，结果自己先中招了。”

这事儿给所有做业务的人提了个醒——别太相信邮箱里的“官方通知”。真正的客户不会突然改账号，改了一定会电话确认。涉及付款，哪怕多花两分钟打个电话，也比事后追款划算得多。还有，打开邮箱时，花十秒钟看看有没有异常登录提醒。那玩意儿不是垃圾邮件，是你的哨兵在喊救命。