SOURCE READING
原文与译文
原文与译文基于下列主来源；其余资料用于 SHIO 分析。
以下是主来源的原文节选与SHIO译文，非整份原作。译文由SHIO独立提供；后面的SHIO分析不属于原作，也不代表来源机构认可。
使用依据：公有领域政府文字（第三方材料及标识除外） / U.S. government text; third-party material and marks excluded
Business email compromise (BEC) is one of the most financially damaging online crimes. It exploits the fact that most of us rely on email to conduct both our personal and professional business.商业电子邮件诈骗（BEC）是造成经济损失最严重的网络犯罪之一。它利用了这样一个事实：我们大多数人都依赖电子邮件处理个人和工作事务。
Verify payment and purchase requests in person if possible or by calling the person to make sure it is legitimate. You should verify any change in account number or payment procedures with the person making the request.如有可能，应当面或致电相关人员，核实付款和采购请求是否真实。账户号码或付款程序的任何变更，都应向提出要求的人核实。
SHIO 分析
付款核验，应当成为正常的合作步骤
以下为 SHIO 独立判断与方法讨论，并非来源原文或其翻译。
SHIO 阅读提示
收到熟悉供应商的账户变更邮件，执行人员需要一个明确的处理流程。本文结合美国联邦调查局与联邦贸易委员会未标发布日期的官方指引，讨论小团队如何把核验纳入日常协作。
核心判断
SHIO判断：将核验要求写进合作习惯，让员工能够按流程暂停，而不必独自判断是否值得得罪对方。
确认请求，而非只认发件人
美国联邦调查局提醒，商业邮件诈骗可能利用相似地址或真实邮件往来进行伪装，并建议对付款请求和银行账户变更进行当面或电话核实。紧迫语气也是需要警惕的信号，不能代替确认。
SHIO的编辑建议是，在首次合作时建立双方认可的核验联系人与既有联系方式。随后发生账户变更，就从已经保存的渠道重新确认，而不是只沿着变更邮件继续沟通。这样可以把核验定义成共同约定的工作步骤，减少执行人员临时判断的压力。
技术控制与流程控制同时安排
美国联邦贸易委员会介绍了SPF、DKIM与DMARC等邮件认证技术，并建议企业建立对邮件汇款请求的电话确认制度。官方指引同时涉及技术配置和人员操作，说明两类措施需要分别落实。
据此，SHIO建议将任务分给两个负责人：一人确认邮件服务的配置与维护范围，另一人负责收款资料的变更审批和留痕。小团队可以一人承担多项职责，但要把不同判断步骤写清楚。购买某项工具，不能被内部视为付款审批已经自动完成。
让暂停和升级都有负责人
SHIO提出一个可演练的情境：负责人正在出差，供应商要求今天更换收款账户，并声称延迟会影响交付。团队应事先约定谁能暂停、谁联系原有联系人、何种证据足以恢复执行，以及联系不上时向谁升级。情境是编辑设计，不对应真实案件。
演练应检查流程能否运行，而不是只检查员工是否记住口号。核验记录也不应包含不必要的敏感资料。任何措施都不能保证杜绝欺诈，实际事件还需要及时专业处理。对SHIO而言，可信合作体现在双方都能接受清楚的确认程序，并允许一线人员提出合理停顿。
留给实践的问题
下一步：为下一次收款账户变更，写出联系人、确认渠道、暂停权限与升级路径，并做一次内部演练。
REFERENCES & EDITORIAL NOTE
资料来源
主来源的原题、作者与使用依据保留在原文区。节选、SHIO 译文和独立分析明确分列；下列链接用于核对主来源、辅助资料及其上下文。
Federal Bureau of Investigation · 主来源
Business Email Compromise
原始来源日期：来源未标明发布日期查阅日期：FBI policy says unattributed Bureau-provided information is public information and may be distributed/copied, subject to restrictions on seals and implied endorsement. These selected passages are official unattributed explanatory/protective text; no seal, photo or third-party contribution is reproduced. Selected excerpt with independently provided SHIO translations, clearly separated from SHIO analysis; not full-work reproduction or translation. Source and institution credited; no institutional endorsement or authorization asserted. Rights information: https://www.fbi.gov/privacy-policy
Federal Trade Commission
Cybersecurity for Small Business — Email Authentication and Business Email Imposters
原始来源日期：来源未标明发布日期查阅日期：FTC official Business Blog explains that nearly all FTC site materials are public domain: https://www.ftc.gov/business-guidance/blog/2018/03/1000-posts-whos-counting-we-are-actually. Only agency-authored guidance is summarized; no images or third-party material reproduced. Original editorial analysis, no full translation.