一家 12 人建筑设计事务所的记账员收到一封看起来完全像是管理合伙人发来的邮件：今天就把 $47,000 电汇到一个新的供应商账户，情况紧急，我们要结清许可费用了。她照做了。二十分钟后，真正的合伙人从她桌边走过，问她许可费用为什么还没付。钱已经不见了，被电汇到了另一个州的账户，一小时之内就换成了加密货币。她给银行打电话，以为自己能得到和个人借记卡在加油站被盗刷时同样的保护。可这种保护对商业电汇根本不存在——而其中的法律原因，几乎没有哪个小企业主听说过。
消费者有 Regulation E——这是落实《电子资金转账法》（Electronic Fund Transfer Act）的联邦规则，它为消费者因未经授权的转账所承担的责任设定了上限，并要求银行在调查争议金额期间先行暂记入账。企业享受不到这种待遇。商业电汇受另一套不同的、更古老、也远没那么宽容的法律管辖：《统一商法典》（UCC）第 4A 章。理解这两者之间的差距——以及究竟要满足什么条件才能把责任转回银行身上——就是能否追回一笔欺诈电汇、还是只能自己承担损失之间的分水岭。
为什么 Regulation E 在这里不适用
Regulation E 的保护完全建立在一个词上："消费者"。该规则涵盖涉及消费者资产账户的电子资金转账——个人支票账户、个人储蓄账户，以及其他主要用于个人、家庭生活目的的类似账户。一旦账户是商业账户，且资金转账方式是电汇，EFTA 和 Regulation E 就完全让位，转而由 UCC 第 4A 章接管。
第 4A 章是专门为商业资金转账体系而制定的——包括 Fedwire、CHIPS，以及每天在企业之间转移数万亿美元的代理行网络。它只适用于商业付款指令，其起草时刻意做出了一项政策权衡：因为电汇转账的金额巨大、几乎瞬间完成，而终局性（finality）对银行体系又极为重要，所以这套法律把更多的防欺诈责任压在了企业客户身上，远超消费者法律加在个人身上的负担。没有拒付权（chargeback right）。争议调查期间也没有强制性的暂记入账。对于企业为一笔未经授权的转账要承担多少责任，也没有任何监管上限。
决定谁承担损失的规则
第 4A 章的核心责任条款——常被引用为 UCC § 4A-202——纸面上看起来很中立，实际执行起来却相当残酷。如果银行和其商业客户事先就授权电汇指令的安全程序达成一致，且该程序"商业上合理"，同时银行在处理这笔欺诈电汇时确实善意地遵循了该程序，那么损失就要由客户承担——即便这笔电汇从未真正获得公司内任何人的授权。
有一条出路：客户可以通过证明这起欺诈是由与其企业毫无关联的人实施的来免除责任——没有员工凭证被盗用，没有内部人员参与，没有任何环节源自公司自身的系统或人员内部。而在商业邮件诈骗（business email compromise）中，这一点通常根本无法证明，因为这类欺诈的运作方式恰恰就是入侵或伪造公司内部的某个环节（员工的收件箱、某个供应商关系、某位高管一贯的沟通风格）。这套法律实质上假定：只要银行尽到了自己的职责，而漏洞恰好出现在客户的势力范围之内，那么损失就该由客户承担。
"商业上合理"到底意味着什么
这个短语是每一位在为电汇欺诈损失据理力争的企业主都必须弄懂的，因为整场官司打的就是它。法院不会去问银行的安全程序是不是用上了最先进的技术——而是问，考虑到这位特定客户的交易模式、银行实际提供过的安全选项，以及处境相似的银行和客户通常采用什么做法，这套程序是否合理。
标志性判例 Patco Construction Co. v. People's United Bank（美国联邦第一巡回上诉法院，2012 年）即便只了解个大概，也很值得一读。一家建筑公司的网银凭证被盗用，而银行系统——尽管拥有本可以将这些交易标记为异常的工具——却批准了一系列欺诈电汇，原因是它对所有客户一律套用同一套通用、低摩擦的安全程序，完全不考虑该客户平时的交易规模或模式。第一巡回上诉法院裁定，银行的程序并不商业上合理，理由正是这种"一刀切"的做法不符合第 4A 章的要求——安全性必须结合特定客户的具体情况来评估，问题不只是"是否使用了某种身份验证方式"，而是"这种验证的摩擦程度，是否与该客户平时的交易习惯相匹配"。
这条实践教训是双向的。如果你的银行曾向你提供过更强的身份验证方式——双重授权、回拨确认、交易限额提醒、针对新收款人的带外确认——而你出于图方便拒绝了，那么日后一旦被骗、并想主张银行的程序不够充分，这个决定就会削弱你的立场。凡是接受银行提供的每一项可选安全措施的企业，都是在为将来万一要打一场 4A-202 纠纷提前积累所需的证据。
在索赔提出之前就能让大多数索赔失效的期限
即便是一起有据可查、完全站得住脚的欺诈索赔，也可能因为一个技术性问题而失败：第 4A 章给客户最长一年的时间，从收到通知起可对一笔电汇提出异议，但这只是一个默认期限，双方可以通过协议缩短——而大多数银行电汇协议确实这么做了，通常缩短到 30 天或 60 天。一旦错过这个窗口期，无论这笔交易未经授权的事实有多么明显，它都会变成最终定局。
这既是一个法律问题，同样也是一个记账和内部流程问题。如果一家企业按月而不是按周或按日对账，那么在任何人从银行对账单上注意到那笔欺诈电汇之前，30 天的合同通知窗口很可能就已经耗尽了。对账频率本身就是一项防欺诈责任控制措施，而不只是一项核对准确性的例行工作——差异发现得越早，能用来追回损失的法律手段就越多。
大多数 BEC 损失背后的账号陷阱
第 4A 章中的一项条款，解释了为什么商业邮件诈骗手法如此有效、又如此难以逆转。当一条电汇指令同时列出了收款人名称和账号，而这两者在接收端实际上并不匹配时，接收银行在法律上有权只依据账号来处理——它没有义务去核实名称是否与账号相符。诈骗者不断利用这一点：一封伪造的邮件给出真实供应商的名称，却配上一个欺诈账号，电汇在看似合法的名称下汇出，最终却落入攻击者控制的账户。由于接收银行在法律上并无过错，几乎没有什么办法可以向它追责，于是这场纠纷又回到了最初的问题：发送方银行的安全程序在当时是否商业上合理。
FBI 互联网犯罪投诉中心（IC3）在 2025 年记录了 24,768 起商业邮件诈骗投诉，报告的损失总额达 $3.05 billion——高于前一年的 $2.77 billion——其中 86% 的欺诈性付款是通过电汇或 ACH 转移的，也就是说它们通过了上游的每一道银行控制措施，却没有触发任何警报。之所以会有这样的规模，正是因为这套法律框架让资金一旦转出，追回电汇欺诈损失就变得极为困难。
这对你如何记录和管控电汇付款意味着什么
正因为这套法律如此看重流程，围绕"谁能发起电汇、如何核实电汇"的内部控制措施，就不仅仅是一项运营上的最佳实践——它们正是你在一场 4A-202 纠纷中所需要的证据。以下几项做法，其重要性远超大多数企业主的想象：
- 使用银行提供的每一层身份验证措施，即使它们用起来不太方便。为了图快而拒绝更强的安全措施，是日后最容易削弱欺诈索赔立场的一种情形。
- 对任何新收款人，或对现有收款人银行信息的任何变更，都要求双重授权，并通过邮件以外的渠道核实——拨打一个已知号码进行电话确认，而不是拨打那条可疑消息里提供的号码。
- 对于经常发送电汇的企业，至少每周对账一次。30 天的合同通知期限不是一个"月末结账"层面的问题；如果欺诈发生在周期早期，它就是一个"月中"就必须解决的问题。
- 为每一次电汇授权决定保留清晰、带日期的记录——谁批准的、通过什么渠道、依据什么验证方式。如果一场纠纷最终归结为"银行的程序是否商业上合理，你是否遵循了双方约定的流程"，一家记录清晰的企业还有胜诉的机会；一家什么记录都没有的企业则没有。
整洁、标记清晰的交易记录，还有一个更朴素的意义：准确知道一笔电汇是什么时候发出的、从哪个账户发出、又对应着哪张发票核对，正是让记账员能在几天内、而不是几周后就发现异常的关键。Beancount.io 的纯文本、有版本控制的账本，让每一笔交易——包括每一笔汇出的电汇——都成为一条带日期、可审计的记录，而不是淹没在每月银行对账单 PDF 里的一行数字，而这正是缩短"欺诈发生"和"我们发现了"之间那段时间差所需要的可见性。免费开始使用，让你的财务记录足够精确，能在合同通知期限关闭修复大门之前，及时发现问题。