一家纺织品进口商收到一封紧急邮件,发件人看起来完全就是他们在越南的常规供应商。邮件说,工厂的银行账户已被当局"临时冻结",付款需要改汇到香港的一个备用账户——而且必须今天完成,以免错过发货截止日期。这家公司汇出了$280,000。几周后,真正的供应商打来电话,询问为什么发票还未收到付款。此时,这笔钱早已不知去向,资金经由一个账户转出——和大多数此类欺诈转账一样,一旦离境几乎无法追踪。
这封邮件没有任何破绽。没有拼写错误,没有变形的商标,也没有笼统的"尊敬的先生/女士"。据称,诈骗者在下手前已经监控了这家公司的邮件往来长达数周,精心选择时机,让请求与一笔真实、预期中的发票相吻合。这种耐心和精细过去很罕见。而到了2026年,它正变得司空见惯——因为生成式AI已经让这一切变得成本低廉。
为什么这种欺诈突然无处不在
发票欺诈和供应商冒充并不是什么新鲜事。真正发生变化的,是谁能够实施这种骗局,以及结果看起来有多逼真。根据2026年AFP支付欺诈与控制调查,2025年76%的企业遭遇了支付欺诈的尝试或实际发生,而供应商冒充是商业邮件诈骗(BEC)攻击背后最常见的单一手法——63%的受访者将BEC本身列为头号欺诈载体。追踪这类攻击的安全研究人员发现,2025年商业邮件诈骗的尝试次数比前一年又增长了15%,一些企业每月拦截的BEC邮件多达数千封。
这类骗局的运作方式很简单,而这恰恰正是它奏效的原因:
- 犯罪分子攻破或伪造供应商的邮件账户,或者干脆注册一个高度相似的仿冒域名。
- 他们潜入一段真实、正在进行中的对话("只是重新发一下发票"、"简单更新一下我们的银行信息"),或者编造一个听起来合情合理的新对话。
- 他们要求你更新付款信息——新的银行账户、新的电汇路由号码——赶在下一张发票到期之前。
- 你的团队完全按照指示向这个"供应商"付款。而钱最终流向了诈骗者。
真正新出现的是支撑第2步和第3步的工具。大语言模型如今可以生成一整套虚假的供应商身份:伪造的W-9表格、看起来专业的网站、以假乱真的税务文件,甚至一个语音助手——如果有人试图拨打发票上的电话号码进行核实,它就会接听。反欺诈调查人员形容,犯罪分子正在"构建完整的供应商身份",而不只是伪造单一文件。这些邮件读起来就像是母语为英语的专业人士所写——从某种意义上说,确实如此:AI正是在数百万封这样的邮件上训练出来的。
这种欺诈也不仅限于外部供应商的发票。根据2026年一项行业分析,AI生成的虚假收据如今约占费用报销欺诈的70.8%,在美国和英国接受调查的员工中,近十分之四承认曾使用AI伪造过至少一张费用收据。另外,审查了$500 million客户发票的应付账款自动化研究人员发现,其中8.5%是重复提交——这提醒我们,并非所有发票欺诈都那么"高科技";很多其实只是老式的重复提交,只是没有人发现罢了。
为什么这类欺诈比老式钓鱼邮件更难识破
过去的建议——"留意拼写错误和奇怪的措辞"——如今已经不再适用。具体来说,有几件事发生了变化:
- 语法完美无瑕。 AI撰写的诈骗邮件能够匹配真实商业往来人士的语气、用词和正式程度,并且针对每个受害者量身定制。
- 文件看起来天衣无缝。 商标、信头、发票格式,甚至税号,都可能与真品高度接近,快速的目视检查根本发现不了任何问题。
- 技术门槛几乎降为零。 一个没有任何技术背景、只有一台笔记本电脑的人,现在就能实施过去需要社会工程学专业知识或一整个团队才能完成的骗局。
- 分散化的采购渠道成倍增加了可乘之机。 越来越多的企业通过更多渠道接收发票——电子邮件、供应商门户、聊天工具——每一个渠道都可能成为虚假信息渗入的入口。
真正有效的防控措施
这一切并不意味着应付账款自动化已经走到尽头——而是意味着核实工作必须跳出文件本身,因为文件已经无法单凭自身证明任何事情。
每一次银行信息变更都要通过带外方式核实。 如果供应商要求更改付款信息,请使用你档案中原有的电话号码回拨确认——绝不要使用邮件或发票中提供的、要求变更的那个号码。仅凭这一个习惯,就能阻止绝大多数的付款转移欺诈,因为诈骗者无法控制你原有的联系记录。
将审批供应商的人和向供应商付款的人分开。 建立一份干净、精简的供应商主档案,并配备真正的准入流程(在把供应商加入档案之前,先确认对方确实是其自称的身份),这样就能堵住欺诈最容易乘虚而入的漏洞:一个没有人核实过的"新供应商"。
任何涉及资金流动的操作都要求两人经手。 对新增供应商以及对现有付款指令的任何变更实行双重授权,意味着单一被攻破的邮箱,或一名匆忙行事的员工,都无法独自完成一笔欺诈性转账。
培训员工识别AI欺诈如今真正的样子。 当已经不存在明显的危险信号时,过去那种"留意危险信号"的培训方式就失效了。员工需要明白,一封完美无瑕、时机拿捏精准的邮件并不能证明其合法性——他们也需要被明确授权,可以放慢速度进行核实,尤其是在"紧急"压力之下,而这种紧迫感本身恰恰就是最大的破绽。
在可行的情况下,使用正付核验和银行端的管控措施。 许多商业银行提供正付核验(positive pay)或ACH拦截服务,能够在款项清算前标记出汇往陌生账户的付款——为人工核查失效时提供一道后备防线。
账务管理在其中扮演的角色
上述大多数防控措施属于流程范畴,而非会计范畴——但你的账本正是欺诈被及早发现,或是被明目张胆地掩藏起来的地方。一个付款账户频繁变动的供应商、一张与采购订单对不上的发票、一笔以略有不同的供应商名称重复入账两次的付款——只要你的账本清晰、及时且便于审计,这些问题都能被看见。而如果交易是批量导入、数周后才对账,或者被埋在一个隐藏底层细节的黑箱分类引擎里,这些问题就会难以察觉得多。
让账本可审计,而不只是自动化
防范发票欺诈最好的办法,不是更智能的过滤器,而是一个足够透明的财务系统——让不匹配的供应商、重复的付款、或变动的银行账户立刻显现出来,而不是淹没在噪音之中。Beancount.io 提供纯文本记账方式,让你对每一笔交易都拥有完全的透明度和版本控制历史——没有黑箱,没有供应商锁定。免费开始使用,看看为什么越来越多的开发者和财务专业人士正在转向纯文本记账。
