这是单笔损失最大的一类企业诈骗：金额大、话术合理、时间点卡在你正要付款的时候。而大多数公司以为「打了个电话」就已经核实了。
先说清楚场景
流程通常是这样的：你正在等供应商的开票信息，邮件来了，署名前缀一样，说公司账户升级，附了新账户和新盖章的说明函。你打了个电话过去，对方说「对，是我们发的」。
问题出在这个电话上：你拨的是邮件里给的新号码，而不是合同或历史档案里的原号码。改号软件能把来电显示改成任何号码，诈骗方甚至在电话那头安排了人扮演对接人。
该看的几项
- 号码来源必须是历史存档，不能是本次邮件里提供的号码。这是整条核验逻辑的根。
- 两条独立通道：电话 + 视频见到本人（或当面）。只有一条通道，就可能被同一个攻击者同时伪造。
- 书面双确认：变更确认函由对方公司邮箱（历史在用域名）发出，并有双方签字回执。
- 核对域名：发件人完整地址是否与历史一致，注意只有一个字符差异的仿冒域名。
- 小额验证：首笔按新账户付款时先付一小笔并确认到账，再付大额。
常见的两个误区
- 误区一：看到盖章的 PDF 就信了。印章图可以抠图复用，PDF 不等于真实。
- 误区二：对方「确认过」就放心。确认的通道如果来自诈骗方，确认本身就是诈骗的一部分。
按这个顺序做
- 把「收款账户变更」单独列为高风险操作，写进付款制度，明确必须双通道核验 + 书面双确认。
- 建立供应商账户档案，第一次合作时就把账户信息和对接号码存进台账，之后一切以台账为准。
- 任何变更都走「旧档案号码回拨 + 视频 + 书面」三步，缺一步不付款，并把这条告诉所有对接人。
- 首笔小额试付，确认到账后再付剩余。
什么时候需要工具
财务盾把「收款账户变更核验」定为唯一铁规级判定，一旦缺少双通道核验证据，直接判极高风险，不给「大概是误会」的余地。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。