海外伙伴要求更换收款账户：汇款前怎样独立核验

直接回答：收到账户变更请求后，汇款前的三步独立核验

当海外CRO/CDMO、供应商、经销商或合作伙伴发来邮件，声称“原收款行正在审计”“系统升级”或“集团账户重组”，要求把下一笔货款、研发预付款或里程碑款项汇入一个新的银行账户时，财务与业务团队要做的决定不是“这封邮件看起来像不像钓鱼”，而是在完成邮件之外的独立核验之前，先把这笔付款停下来。反过来，如果你是收款方，攻击者也可能冒充你去通知海外买方或被许可方改账户——后文的案例与合同条款部分同样处理这种情形。

美国联邦调查局（FBI）关于商业邮件入侵（BEC）的防骗指南、新加坡警察部队（SPF）2026年5月关于供应商收款账户变更诈骗的通告和中国驻爱沙尼亚大使馆的提醒给出的方向一致：“更换收款账户”这个请求本身就是红旗信号。英国银行业防诈平台Take Five（UK Finance）的说法更直白——企业很少变更银行账户。而一旦邮箱被攻陷，邮件里的“二次确认”和盖章扫描件同样可能出自攻击者之手。汇款前应完成以下三步：

1. 第一步：用自持档案中的号码主动回拨已知联系人（渠道独立）。先挂起付款申请，再从你方ERP供应商主数据或已签合同档案中调取对方既有对接人（财务负责人、项目负责人或合同签字人）的电话，主动拨打，必要时发起实时视频。FBI的防骗提示要求自行查找对方公司的电话号码、不要使用可疑邮件里提供的号码；Take Five也建议用档案中已有的联系方式直接向供应商确认；新加坡警方则要求在执行任何付款指令变更前，通过电话、短信或企业通信工具等其他渠道向发件人核实。道理很简单：攻击者既然能改账号，也能在同一封邮件里换上自己的电话。

2. 第二步：对照合同锁定的账户和约定的变更程序（基准比对）。核查原合同与商业发票是否已载明收款账户，以及是否约定了“不可更改”或“只能以线下方式变更”。中信保浙江分公司的风险提示建议在合同中明确约定收款账户并注明不可更改；中信保广东分公司中山业务处的案例分析进一步建议约定：账户修改必须有书面盖章的纸质文件指示，并通过电话、传真及视频等多重方式确认，其他方式的变更无效。中信保同一页面还提到，黑客会要求把货款付到境外离岸公司账户。因此我们的建议是：如果新账户的开户地、户名与交易对手的注册地、签约主体都对不上（例如一家欧洲CRO要求改汇到第三国贸易公司账户），原则上不向该账户放款，并按欺诈嫌疑启动核查。

3. 第三步：双人复核并完成《账户变更审批记录》（审批闭环）。单人电话核实仍可能被话术或交接疏漏击穿。达到企业设定金额门槛的跨境付款，以及任何涉及主数据收款账号修改的操作，应由经办核验人与独立复核人（财务经理、风控合规或CFO）双人会签，把请求邮件原件及邮件头、回拨号码的档案来源、通话时间、对方确认人姓名与职务写入《账户变更审批记录》，之后才能在网银或ERP中放行。

这不是小概率事件：BEC的规模与“更换收款账户”变体

不少生命科学企业的BD、临床运营或外贸财务人员以为，只有点了勒索病毒链接或遭遇高深的黑客攻击才会损失资金。实际上，在FBI互联网犯罪投诉中心（IC3）的统计里，商业邮件入侵（Business Email Compromise，BEC）近年一直是报告损失最高的犯罪类型之一。IC3《2025年度互联网犯罪报告》对BEC的定义是：针对与供应商有业务往来、或经常执行电汇付款的企业与个人的诈骗，手段不仅包括攻陷电子邮箱，还包括电话号码、虚拟会议平台等其他通信方式。

按IC3《2025年度互联网犯罪报告》的数据，2025年向IC3报告的网络犯罪总损失超过208亿美元；其中BEC报案24,768件，报告损失3,046,598,558美元（约30.5亿美元），在所有犯罪类型中仅次于投资欺诈，位列损失金额第二。2024年和2023年分别为21,442件（2,770,151,146美元）和21,489件（2,946,830,270美元）。三年来，BEC每年报案都在2.1万件以上，报告损失在约27.7亿至30.5亿美元之间。

这一手法在2026年仍在造成损失。新加坡警察部队2026年5月20日的通告显示，自2026年1月1日起，新加坡警方已接到至少66起以“更新供应商收款账户”为手段的BEC报案，总损失至少1,900万新元。这同样是当地警方的接报口径，不宜外推到其他市场。

通告描述的作案链路是：不法分子使用仿冒的邮箱地址，或直接攻陷供应商的邮箱，冒充受害者的同事或供应商，通知对方“供应商的银行账户信息已经变更”，并指示把即将支付的款项汇入“新”账户。受害者往往是在直接向同事或供应商求证、或供应商告知没收到款时，才发现被骗。通告建议企业重点培训新员工、实习生，以及采购、薪酬等负责更新付款资料或执行转账的岗位。

为什么邮件本身不能当证据：三种劫持手法与三个真实案例

事后回看，付款方手里的“证据”常常是这几样：对方邮箱发来的正式通知、自己回邮件求证后收到的确认，以及附件里盖了公章的变更函。中信保广东分公司中山业务处披露的两个案例里，买方出示的正是这类证据——盖章的账户变更声明，以及“出口商邮箱”回复的确认邮件。锦天城律师事务所2020年的实务文章也观察到，很多付款方未经电话再次确认就付了款。只要核验动作还停留在邮件系统内部，所谓“二次确认”就证明不了什么。

攻击者劫持收款路径的三种核心手法

结合中信保浙江分公司的风险提示（约2022年）、FBI的BEC说明以及锦天城律师事务所归纳的四类手法，针对跨境收付款账户的劫持主要有以下三种方式：

• 手法一：单字母仿冒域名与双向冒充（Lookalike Domain & Man-in-the-Middle）。诈骗分子注册与真实交易对手高度近似的邮箱——只差一个字母，或两个字母顺序颠倒（驻爱沙尼亚使馆提醒），例如FBI列举的john.kelly与john.kelley、驻塞浦路斯使馆经商处通报的nttank.com与nttanks.com；锦天城还提到使用相同用户名搭配不同后缀的做法。更进一步，攻击者会注册与买卖双方都相近的邮箱、同时冒充两边：一面冒充出口商通知买方改账户，一面冒充买方告诉出口商“需要延期付款”，直到出口商因长期收不到货款与买方对账，双方才发现货款已被骗走（中信保浙江分公司）。

• 手法二：攻陷真实邮箱后潜伏，在付款前用原邮箱发出指令（Compromised Real Account）。这是最难识别、事后也最难自证的一类。攻击者通过鱼叉式钓鱼或恶意软件（FBI）窃取业务人员的邮箱密码，进入后先跟踪一段时间，了解业务进度；等到对方需要付款时，更改邮箱设置，让对方来信自动转发到攻击者邮箱，再用外贸企业的原邮箱通知变更银行资料（中信保广东分公司中山业务处）。锦天城还记录了另一种变体：直接修改邮箱里保存的客户联系人信息，把客户地址换成攻击者自己的地址，截收邮件后再发出篡改过的版本。

• 手法三：伪装显示发件地址，劫持回复路径（Display Spoofing & Reply-To Hijacking）。中信保浙江分公司归纳的第三种手法是：通过技术处理，把显示的发件人地址伪装成与出口商完全一致，但只要点击“回复”，收件地址就会变成另一个邮箱。技术上，这通常是利用邮件头中的回复地址（Reply-To）字段。此时如果财务人员直接点“回复”询问“新账户是否属实”，这封求证邮件根本到不了真实合作方，而是落进攻击者的收件箱，对方当然会回复“确认无误，请尽快汇款”。

三个真实案例：为什么“盖章PDF”和“邮件确认”救不了付款方

以下三个案例分别来自驻塞浦路斯使馆经商处（2020年通报）和中信保广东分公司中山业务处（页面未标注日期）。它们在这里用来说明作案机制和举证困境，不代表最新的案件统计：

1. 塞浦路斯案（2020年通报）：先换联系人，再换账户。据驻塞浦路斯使馆经济商务处2020年8月18日的通报，塞方进口商与一家中国出口商有数年贸易往来。新订单签约并支付30%预付款后，进口商收到冒充者的邮件，先称原业务负责人休假、需要更换联系人，随后又展示“货品已完工、急需汇款以备发货”，并告知变更汇款账号。进口商照做后迟迟不见发货，直到中方原业务员来信催款，双方才发现被骗。经商处查明，冒充者使用的是与出口商仅一字母之差的邮箱（如nttank.com与nttanks.com）；进口商汇款后，对方还发来盖有伪造出口商印章的假冒“形式发票”，企图继续行骗。通报未披露该笔被骗金额，只说明此类案件涉案金额从数千到数万美元不等。

2. 埃及案（中信保案例，30万美元）：盖章的变更声明也可能是假的。据中信保广东分公司中山业务处的案例，一家取暖器出口企业与埃及买家成交，到期未收到30万美元货款。中信保介入后发现，买家已经付款，并出示了付款水单，以及一份盖有该出口企业公章的“更改收款账户信息”声明和发票。出口企业表示，发出这些邮件的邮箱和水单上的收款账户都不属于自己，盖章声明也并非其出具，怀疑黑客利用相似的邮箱地址行骗——中信保把此案归为“注册相似邮箱”的初级手段。

3. 意大利案（中信保案例，近10万美元）：“邮件里的确认”被邮箱运营商记录推翻。同样据中信保广东分公司中山业务处，一家服装出口企业与意大利买家签订近10万美元合同，到期未收款。买家已经付款，并提供了往来邮件：邮件显示出口企业曾用自己的邮箱回复，确认声明中的账户就是更改后的新账户。但经向该企业的邮箱运营商核实，它当天只给买家发过一封邮件，内容与买家提供的不同，因而怀疑邮件内容被黑客篡改。中信保把此案归为“盗取邮箱、设置自动转发、再用原邮箱通知变更”的升级手段，并总结说：这类案件中买方已经付款，出口企业难以自证清白，因而难以向买方追偿。付款方在邮件往来里拿到的“确认”，可能根本不是对方发出的。

回拨核验SOP：号码从哪来、打给谁、问什么

既然邮件地址、邮件历史上下文和PDF印章都可能被伪造或劫持，企业的核验标准就必须从“审查邮件真伪”转向“建立独立于邮件之外的带外核验（Out-of-Band Verification）通道”。综合FBI官方核验准则、新加坡警方2026年通告、中国驻爱沙尼亚使馆、驻塞浦路斯使馆经商处及英国Take Five防诈指南，任何跨境收款账户变更请求必须依次通过以下四道操作关卡：

第一关：号码从哪来——严格锁定“主数据与原合同”唯一来源

回拨核验成败的分水岭是电话号码从哪里来。FBI的防骗提示要求，对账号或付款流程的任何变更，都要与提出请求的本人核实，并自行查找对方公司的电话号码，而不是使用可疑邮件里提供的号码；英国Take Five同样建议使用档案中已有的联系方式。落到企业实操，我们建议把可接受的号码来源限定为以下三类：

• 已签署的纸质或电子锁定版主合同/订单原件：调取法务归档的初始合作协议（如经销协议、MSA、临床试验协议或License协议）首页或通知条款（Notice Clause）中列明的固定座机与授权代表手机号。

• 供应商/客户准入时锁定的ERP主数据档案：使用首次建档并完成历史成功收付款验证的联系人电话（须确保该主数据字段自最近一次正常交易以来未被邮件指令修改）。

• 通过官方独立渠道交叉检索的总机：若历史档案号码因对方办公地点搬迁确已停用，应通过交易对手在监管机构备案的公开注册信息、上市公司年报或官方网站公布的集团总机拨入，再转接财务或法务部门，绝不拨打变更邮件签名栏里的“新直线电话”。

第二关：打给谁、用什么渠道——指定对接人语音加视频/传真多方交叉

拨通电话后，不能仅与未核实身份的前台或自称“财务助理”的人员通话。按照FBI“与提出请求的本人核验”的要求以及中国驻爱沙尼亚使馆“通过电话、传真、视频等其他方式多方确认”、中信保浙江分公司“同时通过传真、电话、短信、视频等多种通讯方式核对”的指引：

• 直接与熟悉业务细节的已知联系人通话：由我方日常对接的BD经理、采购负责人或临床项目经理参与通话，直接联系对方长期对接的项目负责人或合同签字人，必要时开视频。熟悉的声音本身并不能证明身份：IC3 2025年度报告提到，语音克隆也可能被用于BEC中要求电汇付款，2025年企业报告的涉AI的BEC损失超过3,000万美元。这也是号码必须来自自持档案的原因——你拨出的号码可信，接电话的人才可信。

• 邮件说“换了联系人”，仍打给原联系人：如果变更邮件同时声称原对接人休假或离职、请改与“新联系人”沟通，回拨对象仍应是档案中的原对接人或其上级。塞浦路斯案中，冒充者正是先以原业务负责人休假为由换掉联系人，再要求改汇；驻塞浦路斯使馆经商处也提醒，遇到联系人、汇款账号变更都要保持警惕并确认。

• 线下书面文件只是补充，不能替代回拨：中信保建议在合同中约定，账户修改须有书面盖章的纸质文件指示，并通过电话、传真及视频等多重方式确认。对于大额预付款或里程碑付款，可以要求对方寄送授权签字人签署并盖章的纸质变更函，并在视频通话中核对文件编号与变更原因。但埃及案说明，印章本身也能伪造，所以书面文件必须与带外回拨同时成立，缺一不可。

第三关：电话里问什么——结构化四问排除诱导性附和

回拨时应避免使用“你们是不是刚发邮件要求把原收款账户改成了新收款账户？”这类是非诱导问法，而应采用开放式核验清单：

1. 核实是否发起过变更动作：“我方财务今天收到一封关于贵司收款银行调整的邮件，请问贵司近期是否正式签发过收款账户变更通知？具体签发日期和经办人是谁？”

2. 核实原合同锁定账户为何停用：“我方合同第X条约定的原收款账户目前是什么状态？为什么不能继续按原账户收款？”新加坡警方把变更供应商银行账户的请求视为通常少见的红旗信号，Take Five也指出企业很少变更银行账户；对方给不出具体、可核对的理由，就不要放款。

3. 核实收款行所在地与账户主体：如果对方确认变更了账户，要追问新开户行所在国家或地区，以及收款账户的法定户名是否与合同签约主体完全一致。一家德国CDMO或美国Biotech要求把款项汇往与其注册地、开票主体都无关的第三国第三方公司账户，应按高风险处理（中信保也提到黑客会要求把货款付到境外离岸公司账户），同时交由合规部门评估反洗钱、制裁与外汇方面的问题。

4. 核实近期邮箱安全异常：若对方明确表示“从未发过变更收款账户的邮件”，应立即提醒对方：其企业邮箱或员工账号可能已被攻陷，或被人用相似域名仿冒，要求对方IT部门立即排查邮箱转发规则、重置密码并启用双重认证（2FA）。

第四关：对“紧急催促”话术强制降速

FBI提醒对催促立即行动的请求要格外警惕，锦天城也提示要提防“账户状态将影响到正常使用”这类制造紧迫感的邮件。紧迫感往往卡在付款节点上：塞浦路斯案中，冒充者用的理由是“货品已完工、急需汇款以备发货”；放到生命科学业务里，同样的压力可能借“临床中心即将启动”“货物到港等待放单”出现。企业内控应确立一条硬规则：凡是同时包含“更换收款账户”与“催促立即放款或越级特批”两个要素的请求，一律冻结，等双人带外回拨核验完成后再处理。也要坦白说明：回拨核验是本文引用的执法机构、使领馆与信保机构共同推荐的控制，但它消除不了所有风险（例如内外串通），因此必须与下文的《账户变更审批记录》和合同锁定条款一起构成防线。

flowchart TD
    A["收到海外伙伴“更换收款账户”请求"] --> B["立即挂起付款指令（默认视为未核实高危变更）"]
    B --> C{"新账户是否违反合同锁定的<br/>收款主体或跨境法域红线？"}
    C -- "户名不一致 / 异常第三国账户" --> D["直接拒绝放款并启动欺诈协查"]
    C -- "主体一致且声称正当变更" --> E["从ERP锁定主数据或原纸质合同调取已知联系人电话<br/>（严禁使用可疑邮件内号码）"]
    E --> F["经办人主动拨打语音电话 + 视频/传真多渠道交叉核实"]
    F --> G{"对方已知联系人是否确认<br/>并寄送线下盖章书面变更函？"}
    G -- "否认发起 / 无法接通 / 仅邮件回复" --> H["判定为BEC诈骗或未完成核验：冻结付款并通报双方IT与法务"]
    G -- "带外确认属实 + 书面原件齐备" --> I["独立复核人二次核对并共同签署《账户变更审批记录》"]
    I --> J["解除付款冻结，更新受控主数据并执行汇款"]

账户变更审批记录：字段设计与留痕价值（可嵌入付款SOP）

口头要求财务“打个电话问一下”，到了事后争议里往往很难证明。在中信保披露的埃及案与意大利案中，争议焦点都落在“买方是否已经有效付款、出口方是否真的发过变更指令”上，而中信保的结论是出口企业难以自证清白。中信保同时建议业务人员对涉及账户的邮件尽到谨慎审查义务，以减少事后追责中的不利因素。如果企业手里只有口头汇报或零散的聊天截图，一旦进入仲裁、保险沟通或内部审计，就很难还原当时的核验过程。

为此，企业应当将“已知联系人回拨核验”固化为一张标准化的《跨境收款账户变更审批记录表》（Account Change Verification & Approval Record），作为ERP修改供应商银行主数据及网银放行大额跨境汇款的前置必传附件。下表给出了可直接嵌入企业付款SOP的完整字段设计（注：本表仅提供合规内控字段结构与核验逻辑，不含任何真实或仿真的银行账号、IBAN或SWIFT代码数据）：

这张审批记录表在实务中有三重用途：

• 第一，把“口头经验”变成新员工也能执行的硬规则。新加坡警方2026年5月的通告把新员工、实习生以及负责更新付款资料或执行转账的员工列为需要重点培训的对象。当系统强制要求填写“回拨号码出自原合同第几页”并上传通话记录编号时，任何人都无法跳过回拨、直接按邮件改账号。

• 第二，在付款争议中提供书面依据。中信保广东分公司中山业务处的案例显示，邮箱被冒用或攻陷后，双方会围绕“付款是否有效、变更指令是否真实”产生争议，出口企业难以自证清白。完整的《账户变更审批记录》能还原核验全过程，是证明企业已按制度核验的书面依据。它不能保证争议结果，但没有它，双方就只剩各执一词的邮件。

• 第三，一旦发生未遂或既遂诈骗，为银行止付和警方侦办节省黄金时间。记录表中预先归档的原始邮件头（EML）、时间戳与核验日志，可在发现异常后的数分钟内直接打包提交给汇出银行合规部门与属地警方，无需临时翻找零散记录（参见驻塞浦路斯使馆经商处关于第一时间报警并保存证据的提醒）。

把防线写进合同、主数据与邮箱网关

如果说汇款前的回拨核验与审批记录是最后一道闸门，那么合同条款设计、供应商主数据权限隔离以及企业邮箱安全配置，则是从源头压缩攻击面的前置工程。

1. 合同层预防：锁定唯一收款账户并约定变更的特定形式

中信保浙江分公司的风险提示与中信保广东分公司中山业务处的案例分析给出了同一方向的建议：签合同、开发票时，以书面形式明确载明收款账户、账号和开户行，并注明不可更改，或约定账户修改只能通过线下方式进行——即必须有书面盖章的纸质文件指示，并通过电话、传真及视频等多重方式确认，其他方式的变更无效。中信保指出，有了这样的约定，一方面可以保护出口企业的应收账款安全、出事后有利于主张债权，另一方面也能尽量避免海外买家上当。

对于长期合作协议（如多年期独家经销协议、跨年度的多中心临床CRO协议或License-Out里程碑协议），确有可能因银行并购等客观原因需要调整账户。上海市锦天城律师事务所2020年7月的实务文章给出的合同条款示例是两句话：“双方变更账户或者联系方式应当以特定的书面形式或多次确认”，“汇款前，应当通过电话或视频进行确认”。下面是本文据此并结合中信保建议扩写的参考文本（注：并非律所原文，也不是法定条文，不构成针对特定交易的法律意见；签约时应结合准据法由律师审定）：

条款设计参考示例：“双方在本合同中载明的银行收款账户及指定联系人信息为唯一有效路径，原则上不得变更。任何一方确需变更收款银行账户或者联系方式的，应当以双方约定的特定书面形式（包括但不限于加盖公章及授权代表亲笔签字的纸质补充协议原件寄送）提出，并经电话、视频及传真等多种非电子邮件方式多次交叉确认后方才生效。付款方在每次执行跨境汇款前，均应当通过合同预留电话或实时视频与对方指定联系人进行确认；未经上述完整确认程序而仅凭电子邮件通知向其他账户付款的，不视为履行本合同项下的有效付款义务。”

此外，当中国药械企业作为收款方（如向海外经销商收取货款，或向海外被许可方收取首付款与里程碑款）时，应采纳中信保浙江分公司的建议：在合同签署及开具每笔形式发票时，主动向所有海外买方或付款伙伴发送防诈骗书面提示，明确告知对方我方绝不会仅通过邮件临时要求更换收款银行，并要求对方财务对任何涉及付款路径变更的邮件必须先通过多渠道核实后再付款。

2. 主数据权限隔离与企业邮箱安全加固

在企业内部运营与IT治理层面，应当同步落实以下技术与制度控制（综合新加坡警方2026年5月通告、FBI BEC防护建议、中国驻爱沙尼亚使馆提醒及中信保风险提示）：

• 供应商/合作伙伴主数据变更控制：就像药械企业在质量体系中严格执行全球供应商质量协议与变更通知SOP一样，财务ERP系统中的供应商/客户银行账号字段必须设为高敏受控字段。采购或BD人员无权直接修改银行账号，财务主数据维护岗必须凭已双人签批的《账户变更审批记录表》方可在系统后台解锁修改。

• 强制启用双因素认证（2FA/MFA）与高强度口令：FBI与新加坡警方都建议启用双因素认证。凡涉及国际贸易、海外注册、BD及跨境财务的员工邮箱，应强制启用基于硬件密钥或动态令牌App的双因素认证，并使用高强度口令，防止攻击者仅凭钓鱼或撞库得到的一个密码就登录真实邮箱潜伏。

• 在企业邮件域名上部署DMARC（配合SPF与DKIM）：新加坡警方2026年通告建议在组织的邮件域名上实施DMARC，以防诈骗者冒用你的域名欺骗他人。需要注意，DMARC防的是对你自有域名的直接冒用，挡不住注册相似域名的手法，因此仍需人工核对发件域名；可同时在邮件网关上，对显示名称与内部高管相同或域名高度相似的外部来信加注醒目的“外部邮件”提示。

• 定期检查邮箱转发规则与联系人信息：中信保广东分公司中山业务处建议经常检查邮箱设置，尤其是转发、过滤、自动删除等规则，并通过绑定手机、绑定IP等方式监控异常登录；锦天城记录的篡改联系人地址手法，也要求定期核对邮箱中保存的客户联系方式。终端杀毒软件与系统补丁要及时更新（驻爱沙尼亚使馆、新加坡警方）。

已经汇出怎么办：召回、止付与跨境报案路线图

如果核对账目或与海外伙伴通话时发现款项已汇入诈骗账户，IC3《2025年度互联网犯罪报告》的第一条原则是：时间至关重要（time is of the essence）。锦天城指出，诈骗团伙使用对公乃至离岸账户转移资金，有的还将骗得款项用于偿还第三方欠款或协助洗钱，给追赃挽损增加难度。应按以下顺序同步启动应急：

第一步（立即）：联系汇出行发起取消或召回

第一时间联系本企业的汇出行国际业务部门，说明该笔跨境汇款疑似遭遇商业邮件诈骗，要求立即发起取消汇款或召回（recall）。IC3建议，发现欺诈转账后立即联系金融机构申请召回资金，并准备好必要的赔偿担保文件（indemnification documents）；各金融机构政策不同，要清楚本行在追回资金时能提供哪些协助。驻爱沙尼亚使馆的提醒也要求尽快联系汇款银行，发出取消汇款指令或冻结有关款项，但同时提示：通过汇款银行发出的取消或冻结指令，只在款项尚未到达不法分子账户时有效。

第二步（同步）：报警，并向收款账户所在地警方报案

驻爱沙尼亚使馆的提醒点出了最容易被忽视的一步：如果款项已经划转至不法分子账户，要第一时间向该账户所在地的警方报警，要求警方向当地收款银行发出冻结款项的要求。也就是说，钱一旦入账，靠汇出行的取消指令已经不够，冻结要靠收款地执法。境内同样要及时报警，并保存好邮件、水单和审批记录等证据（驻塞浦路斯使馆经商处、中信保）。如果买方误付的收款账户位于中国境内，中信保建议申请冻结该账户，方便后续追偿，并可向中国信保咨询。

第三步：按资金流向对接各法域报案渠道（含美国FFKC的适用边界）

各法域的报案渠道和资金拦截机制差别很大，中国企业需要先弄清每种机制的适用边界，再决定依靠哪一条：

中国药械与生命科学企业的三个高危付款场景

与普通商品外贸相比，中国创新药、医疗器械与IVD企业的跨境付款往往单笔金额高、协作链条长，临床与注册节点又有很强的时间压力。下面三个场景的共同点是：付款节点可以预见、金额集中、常伴随赶进度的压力——正是前文案例中攻击者利用的条件。

场景一：海外CRO / CDMO预付款与多中心临床试验中心（Site）打款

推进FDA或EMA相关临床试验及海外GMP委托生产时，中国Biotech与器械企业需要向海外CRO、CDMO、中心实验室和临床研究中心支付项目启动预付款、批次生产定金或受试者相关费用。这些款项往往与首例受试者入组（FPI）或关键批次放行等节点绑定，项目经理承受的进度压力很大。一旦某家海外中小型CRO或临床中心的邮箱被攻陷，一封“因年度审计，请将本期启动费改汇至新账户”的邮件，就可能借团队赶进度的心理突破防线——塞浦路斯案中，冒充者用的正是“货品已完工、急需汇款以备发货”这类理由（驻塞浦路斯使馆经商处）。建议把《账户变更审批记录》嵌入全球供应商质量协议与变更通知SOP的财务联动环节，让收款主数据变更与质量变更同级管控。

场景二：海外医疗器械与IVD经销商保证金、预付款及尾款结算

在欧洲、拉美、中东和非洲拓展渠道时，中国医疗设备与IVD厂商与当地经销商之间常有预付款（T/T in advance）、赊销尾款（O/A）和投标保证金往来。这里中国企业更多是收款方：中信保披露的埃及案与意大利案都属于这种结构——黑客冒用出口商名义（相似邮箱或被盗邮箱）通知海外买方改账户，买方付了款，出口商却没收到，双方随后围绕“买方是否已有效付款”陷入纠纷。在非洲等新兴市场，驻塞拉利昂大使馆2026年4月23日的提醒（福建省商务厅转载）还列举了仿冒正规企业邮箱、公章和文件签假合同骗货，借空壳公司专骗预付款，以及伪造采购招标索要投标费、保证金后失联等手法。因此，在做海外医疗器械经销商筛选与渠道尽调时，应在经销合同中双向锁定收款与退款账户，并按中信保浙江分公司的建议，主动提示所有海外买方：凡收到更改付款路径的邮件，务必通过多种方式与你方核对。再把汇款前的账户核验，与出口托收D/P与D/A的放单控制、信用证单据不符的处置记录以及出口信用险与货运险的分工衔接起来，形成完整的跨境收付款风控闭环。

场景三：License-Out / NewCo首付款、里程碑付款与跨境版税结算

创新药与高值器械的License-Out或NewCo交易里，首付款、研发/监管里程碑和销售分成金额往往较大，还可能涉及境内外多层主体、共管账户（Escrow Account）、税务代扣代缴和多币种结算。这里的风险是双向的。作为许可方收款时，攻击者可能冒充你通知被许可方改账户，结构与中信保案例中买方被骗付款相同——应在许可协议的通知条款中锁定收款账户和变更程序，并主动提示对方。作为付款方时（例如共同开发费用分摊或license-in里程碑），则完整适用本文的回拨核验与审批记录。合作进入多年的开发与商业化阶段后，当初签约的BD负责人可能已离职或转岗，档案联系人未必还有效；财务团队在做海外版税汇率核算与到账对账时，如果收到“财务共享中心或托管行账户更新”之类的邮件，应调取原始许可协议的通知条款，按其中的联系人和地址核实，必要时经官方渠道查到的总机转接，由法务与财务共同完成带外回拨和双人书面审批，不能因为日常对账邮件往来顺畅就省掉这一步。

此外，建议法务与海外风控团队把商务部“境外风险”预警栏目纳入月度监测。该栏目汇总驻外使领馆经商处发布的各类境外风险提示（安全、政策变化等），其中也包括贸易和商业欺诈预警——2026年就有驻塞拉利昂使馆关于警惕商业欺诈的提醒（2026-04-23）、塞舌尔政府提醒警惕诈骗邮件的通告（2026-04-22）和阿根廷农产品贸易诈骗提醒（2026-01-21）。进入新市场或处理高风险国别的收付款前，先看一眼这里，有助于提前识别区域性作案手法。