“老板”在群里让你转48万：冒充老板的转账诈骗，财务该怎么防

上个月，江浙一家做汽配的厂子财务小周差点出事。下午三点多，她被拉进一个微信群，群里有“董事长”、有“采购总监”，头像、名字都对得上。聊了半小时产品的事，“董事长”突然说：有个供应商急等着一笔48万的尾款，为了赶船期，你先垫付走公司账，明天补审批单。群里“采购总监”马上附和，还发来一份盖章的付款申请书，红章清清楚楚。小周手都放上鼠标了，想起来公司有条规矩——单笔超过20万的付款，必须当面或者打老板手机确认。一个电话过去，老板在车间里一头雾水：什么款？

这就是这两年在国内制造业圈里翻车的“冒充老板诈骗”，行话叫BEC诈骗。骗子先把公司结构摸透：谁是财务、谁管付款、老板姓什么说话什么腔调，然后伪造一个一模一样的群。有人被窃取的聊天记录喂出来的话术，比真老板还像真老板。2025年公安机关通报的类似案件里，单笔损失从几十万到上千万都有，而且有个共同点：钱转出去基本追不回来。你以为这是诈骗案件，跟数据安全关系不大？恰恰相反——骗子能演得这么像，前提是公司的信息早就漏出去了。

骗子手里那张“底牌”，是从哪来的

拆开这些案子，骗子手里的信息基本来自三个口子。第一是邮件：黑进一个高管或者财务的邮箱，翻历史往来，把项目名、供应商名、付款习惯全摸清，然后守株待兔，甚至直接注册一个只差一个字母的“高仿域名”发指令。第二是终端和聊天工具：员工电脑中了木马，聊天记录、通讯录被扒走，骗子照着真聊天记录伪造场景，连“上次那批货”这种细节都能接上。第三是公开信息拼图：招聘网站上挂着组织架构，领英和企查查上有高管名字，员工朋友圈晒的报销单、日程表，全是拼图碎片。信息漏得越多，剧本越真。

光靠“提高警惕”防不住，得把流程焊死

很多公司出事之后第一反应是给财务做培训、发防骗通知。有用，但不够。人的判断会被精心设计的话术带着走，真正兜底的必须是流程和技术，三层往下压：

第一层，付款流程上做硬约束。大额付款必须“双通道确认”：系统里的审批是一道，另一道必须用可信渠道核实——当面、或者拨打卡片上留存的手机号，绝不是回拨微信、邮件里那个号码。收款账户信息变更，一律电话核实原账户联系人，这是BEC诈骗最经典的切入动作，必须写成死规矩。

第二层，把骗子的话筒拆掉。企业邮箱开启反钓鱼和仿冒域名告警，邮件网关对外部冒充内部高管的信件做拦截标记；财务和老板的终端装上终端防护，防止聊天记录被扒。内部聊天工具上，财务群、决策群要有拉人审批，陌生人入群即时告警。

第三层，收紧信息出口。组织架构、付款流程、供应商信息这些是骗子的剧本素材，该归档的归档、该加密的加密，员工对外的朋友圈、动态别晒内部单据。做数据防泄漏，核心就是把“骗子能看到的素材量”压到最小——素材少了，剧本自然演不圆。

把这事当成一次“数据体检”

上邦在跟制造企业聊的时候，常建议财务负责人换个角度想这个问题：假如明天有人冒充你老板，他能拿到多少真实信息去演这场戏？能把这个问题答清楚的公司，防泄密体系基本是及格的。反过来说，骗子的水平就是企业数据管理水平的“照妖镜”——他演不下去，说明你的信息守住了；他一演就成，那账上的钱只是排在图纸、客户名单后面，下一个出问题的资产而已。防BEC诈骗花不了几个钱，但它逼着你把付款流程、邮箱安全、终端防护、信息出口一次性捋顺，这笔账，怎么算都划算。