供應商話「轉咗銀行戶口」，付款前點核實？商業電郵騙案（BEC）防騙實務
一、BEC 係咩：唔係偷密碼，係呃信任
商業電郵騙案（Business Email Compromise, BEC）係咁運作：騙徒冒充可信來源——供應商、高層、客戶——誘使商戶將錢轉去騙徒戶口，或披露資料。同一般釣魚唔同，BEC 唔一定偷密碼，重點係利用信任，令員工主動轉帳。香港背景數字：2025 年詐騙 43,212 宗，損失 HK$8,120,000,000（警務處 2026 年 2 月）。
BEC 危險之處在於流程正常：電郵嚟到，內容合理，金額同平時差唔多，員工跟足平時做法付款，成個過程無任何技術警報。等到真供應商追數，先發現錢已經去咗第二個戶口。所以防 BEC 唔係靠防毒軟件，而係靠付款流程本身有冇核實關口。
生成式 AI 令釣魚訊息越來越逼真、越難分辨（HKCERT），BEC 電郵的語氣、格式、簽名檔可以模仿得同真的一樣。本文以下會講點解咁難認、有咩相關個案、錢出咗之後點處理，同付款前點核實。
二、點解咁難認：六個原因
騙徒通常喺付款期到時發送電郵，聲稱供應商收款銀行資料已更改，並提供已更新資料及要求付款。難以察覺的原因，按恒生指引原文要點有以下幾項：騙徒通常用供應商常用電郵地址，或同佢非常相似的偽冒地址；騙徒簽發的收據仿真度極高；偽冒供應商職員的電郵簽名或溝通風格，同真實的無明顯差異。
更難處理的情況係，某啲情況下騙徒已取得郵箱登入權限，詐騙電郵嚟自真實電郵地址，騙徒可存取郵件往來並以相似語調溝通；騙徒要求的款項往往臨近付款期限；同真正供應商電郵的唯一分別，通常係更改咗收款銀行詳細資料。換句話說，單憑電郵地址正確，證明唔到電郵係真——詐騙電郵可以嚟自真實郵箱。
仲有一個推論要講清楚：小額試付只能證明戶口收到錢，證明唔到戶口屬於真供應商——假戶口一樣收得到細額款項。例如有人以為先試付一小筆款項，收到就代表戶口係真，呢種諗法並不可靠；核實戶口持有人身份先至係關鍵，方法見第五節。
三、香港相關個案：三宗唔同機制，分開講
主個案係 BEC 本身（加拿大反詐騙中心 2025 年 7 月 24 日，官方）：一間加拿大溫哥華地區律師行成為 BEC 目標；魚叉式釣魚攻擊令該行將款項電匯去香港一個欺詐戶口；香港本地銀行及時向 ADCC 通報；經同加拿大當局合作，全數 CAD $2,300,000 被攔截並退回。本文不將加元換算做港元，因為無已核實匯率。
第二宗係同屬冒充信任、唔同渠道的個案，屬於 WhatsApp 騎劫，唔係電郵 BEC，必須分開理解。警方過去兩周接獲逾 150 宗 WhatsApp 帳戶騎劫騙案，總損失逾 HK$1,500 萬；其中一宗虛擬貨幣兌換公司職員誤信被複製的假工作群組，轉帳逾 HK$400 萬（HK01 2026 年 10 月 16 日報道警方「守網者」）。警方提醒：啟用雙重認證；任何經 WhatsApp 確認匯款前，記得打電話向對方核實。
第三宗係輔助個案，屬於付款連結騙案，唔係 BEC。67 歲男子遇假買家㩒連結損失逾 HK$100 萬；過去一周逾 100 宗同類騙案，總損失逾 HK$1,400 萬（HK01 2026 年 9 月 24 日報道警方）。用途係說明「連結」危險：BEC 電郵內的連結／附件同樣切勿亂㩒。
四、錢出咗之後會點：ADCC 做緊咩，同現實
ADCC（反詐騙協調中心）喺 2017 年 7 月成立；24 小時反詐騙熱線 18222；同國際刑警合作啟動「國際止付機制」。ADCC 2025 年數字（adcc.gov.hk 官方頁面）：「上游詐騙干預」計劃成功干預 4,060 宗騙案，按年升 69.4%，攔截詐騙款項共 HK$480,000,000，按年升 158.4%；2025 年騙案總損失減少 HK$1,030,000,000，干預計劃攔截金額相當於減少額約 46.6%（480÷1,030＝46.6%）。以升幅推算，2024 年約 2,397 宗（衍生數字），攔截約 HK$186,000,000（衍生數字）。
ADCC 三年成績（2020 年，警務處《警聲》）：接獲 65,824 個來電；成功勸止 679 宗進行中騙案；喺 1,586 宗騙案中攔截共 HK$6,330,000,000 付予騙徒的款項。其中口罩採購案：本地診所負責人向自稱批發商匯出 2,320,000 歐元去 7 個國家共 14 個戶口；報案時錢已匯出逾一星期，ADCC 仍成功截停其中 1,730,000 歐元，約 74.6%（1,730,000÷2,320,000＝74.57%）。
早期 ADCC 數據（2017 年，《南華早報》引述警方，經 MSOA 轉載，次級來源）：ADCC 設立首不到五個月，接獲 441 宗止付要求，涉 HK$880,000,000；凍結近 HK$99,000,000，約 11.25%（99÷880＝11.25%，以「近」數計，屬約數）；當中 229 宗係商業電郵詐騙，約 51.9%（229÷441＝51.93%）；最大一宗約 HK$2,400 萬（美國公司被假冒業務夥伴電郵欺騙，轉帳去香港銀行戶口）。《2025 年銀行業（修訂）條例》於 2025 年 11 月 3 日生效，引入自願機制，讓銀行喺察覺可疑行為時，經金管局指定安全平台同其他銀行及執法機構分享戶口資料（立法會答問 2025 年 10 月 15 日）。現實係：追回唔係保證，越快報案＋通知銀行，越有機會截停未轉走的款項；報案速度提高截停機會，但唔構成追回保證，亦唔代表銀行會賠償。
五、付款前核實五步：停一停，回撥確認
第一步暫停付款，切勿更新已保存的供應商資料。第二步經獨立渠道回撥——用事前已有的聯絡資料（合約、供應商主檔、之前已核實的往來紀錄、公司官方網站公開號碼），切勿用變更訊息入面提供的電話號碼、連結、回覆電郵或簽名檔。警方同樣提醒：如訊息話電話／銀行戶口號碼已更改，要直接致電聯絡人核實。
第三步叫對方講出新戶口資料（戶口持有人名稱、銀行資料、更改原因），切勿由我方讀出訊息內的資料、叫對方答「係」。第四步戶口變更須第二人覆核；付款批核同戶口資料更改分開由唔同人處理。第五步留痕——保留原始要求；記錄邊個確認、幾時確認、用咩獨立渠道。
如錢已付出：即時聯絡付款銀行官方詐騙渠道（提供收款人、金額、時間、付款參考編號，要求啟動追回程序並攞案件編號）＋致電 18222＋向警方報案；切勿等供應商或警方先通知銀行。保留涉事電郵同批核紀錄（銀行、保險公司、警方可能需要）。POS／記帳角度：供應商主檔戶口資料變更要有審批＋留痕（呼應 post-62 權限管理、post-95 三方對數）。POSKing 不提供供應商戶口核實功能；防騙靠流程，POS 唔會自動識別假戶口。
付款前核實五步速查
| 步驟 | 做法 | 切勿 |
|---|---|---|
| 1. 暫停 | 停低付款，唔更新已保存資料 | 切勿照跟訊息改戶口 |
| 2. 獨立回撥 | 用事前已有的聯絡資料聯絡供應商 | 切勿用訊息內的電話／連結／回覆電郵 |
| 3. 對方講出 | 叫對方講出新戶口資料＋更改原因 | 切勿由我方讀出資料叫對方答「係」 |
| 4. 第二人覆核 | 戶口變更同付款批核分開由唔同人處理 | 切勿一人改戶口又批付款 |
| 5. 留痕 | 保留原始要求＋確認紀錄 | 切勿口頭確認就算 |
六、五個危險信號：見到一個就要停
戶口變更本身就係最高風險信號，無論訊息睇落幾日常。騙徒最擅長將異常包裝成日常：「只係更新戶口資料」、「同平時一樣入數就得」。所以任何戶口變更要求，預設都要行第五節的核實流程，切勿因為睇落正常就跳過。
其餘四個信號：急迫——要求即時行動、話趕唔切付款期限、話高層唔喺度；保密——要求將戶口變更保密、叫收件人獨自處理；繞過批核——要求跳過既定批核程序、直接付款；連結／附件——叫你㩒連結登入、開附件啟用巨集、或經連結「驗證戶口」。
金管局提醒：銀行唔會發出附有嵌入式超連結、引導顧客去銀行網站做交易的 SMS 或電郵；唔會經電話、電郵或 SMS 索取登入密碼或一次性密碼。所以任何叫你㩒連結登入銀行戶口、或者經連結「驗證戶口」的訊息，本身就係危險信號，切勿照做。
七、法律後果：講「最高可判」，唔係「一定判」
《盜竊罪條例》（Cap 210）第 16A 條「欺詐」：任何人以任何欺騙手段（不論是否唯一或主要誘因），並意圖詐騙而誘使另一人作出作為或不作為，而結果（a）令被誘使者以外的任何人獲益，或（b）令任何人蒙受不利或蒙受重大不利風險，即干犯欺詐罪；經公訴程序定罪，最高監禁 14 年。
同條例第 17 條「以欺騙手段取得財產」：最高監禁 10 年。「欺詐」同「以欺騙手段取得財產」係兩條唔同罪行，最高刑罰唔同（14 年 vs 10 年），切勿混淆。《有組織及嚴重罪行條例》（Cap 455）第 25 條「處理已知或相信為可公訴罪行得益的財產」（清洗黑錢）：最高監禁 14 年及罰款 HK$5,000,000。寫作口徑係「最高可判」——判刑視乎案情，唔係每個個案都會判到最高刑期。「拘捕」唔等於「定罪」。
報案渠道：999（緊急）／警署／電子報案中心；反詐騙熱線 18222；防騙視伏器（Scameter）可查可疑電話、電郵、網址、付款戶口。報案嗰陣，準備好涉事電郵、付款紀錄、收款戶口資料同聯絡紀錄，警方同銀行跟進會快啲。
八、商戶付款制度：將防騙寫入流程
供應商主檔變更審批：寫明邊個可以改、邊個覆核、改完點留痕。付款批核分工：開立收款人同批核付款分開；限制可編輯供應商主檔的人數；新收款人／已變更戶口的首筆付款加額外檢查。付款提示：開啟銀行付款提示；定期覆核新收款人活動。
員工演練：用假「緊急付款」電郵做短演練，練習質疑同回撥流程。員工可疑時敢停：高層要明確講，合法緊急要求等得起核實時間；員工跟足付款政策唔會被責備。記帳對數：付款後同供應商對數時，戶口變更紀錄要同發票／送貨單三方對照（呼應 post-95），發現真供應商追數而錢已付去另一戶口，即時按第五節應對。
POS 角度：POS 只做付款方式記錄／分類對數，收款經八達通機／KPay／YedPay 等獨立渠道處理，付款批核流程本身先係防線。如需協助，POSKing 聯絡資料：電話／WhatsApp +852 2186 8010；新界沙田石門安麗街18號達利廣場1209室；每日 12:00–19:00。
戶口變更就係最高風險信號。付款前停一停、經獨立渠道回撥、叫對方講出新戶口資料、第二人覆核、留痕——五步做齊，先至好付款。
