2024年1月，伦敦工程公司奥雅纳的一名财务员工参加了一个视频会议，与会者都是他认识的人：他的首席财务官和几位同事。他们讨论了一项机密交易，并请他处理。他照做了——在接下来的几天里，分15次电汇，总额达2560万美元。那次通话中的每一张脸都是假的。每一个声音都是克隆的。那些“同事”完全是由奥雅纳真实高管公开可用的视频和音频生成的深度伪造AI产物。
这一事件彻底改变了财务团队对欺诈的看法。几十年来，应付账款和应收账款欺诈意味着要发现拼写错误的域名或措辞奇怪的电子邮件。现在，欺诈者可以听起来像你的CEO，在视频通话中看起来像你的CFO，并且了解你公司足够多的真实细节，以通过随意的直觉检验。如果你经营一家小型企业，你没有奥雅纳那样的财务部门或事件响应团队——这反而使你成为一个更具吸引力的目标，而不是一个更不可能的目标。
为什么小型企业现在成为首选目标
过去，攻击者将深度伪造技术保留给高价值的企业目标，因为工具昂贵且耗时。这种情况已不复存在。语音克隆服务现在可以从短短三秒的音频中生成令人信服的声音复制品——这些片段很容易从播客采访、会议演讲或公司自己的YouTube频道中获取。文档编辑工具可以获取真实的发票或收据，并篡改银行信息，使纸质记录“看起来带有岁月痕迹且逼真”，同时不留下明显的数字痕迹。
在经济学上，这种手段倾向于用数量换取精确度。骗子不再需要花费数周时间研究一个《财富》500强目标。他们可以在一个下午生成数百封定制的钓鱼邮件、虚假的供应商入职资料包和合成的语音信息，然后向员工较少、审查较少、时间较少去仔细核对“例行”付款请求的小型企业发起猛攻。商业电子邮件诈骗——深度伪造欺诈所属的更大范畴——在最近一年内，据报告在超过21,000起事件中造成了估计27.7亿美元的损失。安全研究人员追踪到，仅在过去几年中，利用深度伪造技术的欺诈企图增加了超过1000%。小型企业因虚假供应商损失8000美元时很少登上新闻头条，但总体而言，他们正承担着越来越大的损害份额。
欺诈者实际使用的战术手册
了解其运作机制，防御手段便显而易见。以下是当前真实案例中正在发生的情况。
1. 合成供应商
欺诈者构建整个虚假供应商身份——一个看起来很专业的网站、一份伪造的W-9表格，甚至虚假的税务文件，所有这些都可以在几分钟内由AI生成。他们向你的应付账款收件箱发送电子邮件，冒充新供应商或“更新”了银行信息的长期供应商。如果你的主供应商文件控制不严，这个虚假条目就会紧挨着你合法的供应商，等待下一次发票处理。
2. 语音克隆的高管
一名簿记员或应付账款文员会接到一个电话——不是电子邮件——对方的声音听起来完全像老板或高级管理人员，紧急要求进行电汇以在一天结束前完成交易。语音克隆已经让“我认得那个声音”作为一种安全控制手段变得毫无价值。一些骗子甚至走得更远，设立整个虚假呼叫中心，电话那头的“人”是一个按脚本操作的语音机器人，在短暂通话中与真人无异。
3. 被篡改的收据或发票
在应收账款方面，员工提交带有AI编辑过收据的费用报告——篡改的总额、捏造的供应商名称，或者完全虚构的购买项目，这些项目看起来非常逼真，并带有由图像模型生成的逼真折痕、污渍和收据纸纹理。
4. 深度伪造视频通话
奥雅纳的案例是极端版本，但同样的策略可以缩小规模。骗子不需要一整间董事会的深度伪造头像——只需发送一段伪造的商业伙伴或客户的短视频片段，用来确认支付信息变更，就足以打消员工的犹豫。
能够阻止几乎所有此类欺诈的回拨习惯
好消息是：几乎所有这些攻击都依赖于同一个弱点——使用要求付款方提供的联系信息来做出付款决定。打破这种依赖关系，无论视频或声音多么令人信服，大多数欺诈行为都会崩塌。
解决方法是一个习惯，而非软件：在根据新指令更改付款信息或汇款之前，通过一个你已经信任的渠道进行验证——绝不使用请求本身包含的联系信息。
在实践中，这意味着：
- 永远不要回拨电子邮件或短信中的号码。 如果某个“供应商”通过电子邮件发送了新的银行信息，请从你自己的记录中查找该供应商的电话号码——比如一张旧发票、你的会计系统、重新输入其官方网站地址——而不是从你刚收到的消息中任何信息里查找。
- 将“紧急”视为一个危险信号，而非跳过验证的理由。 欺诈企图几乎总是有意制造时间压力，因为紧迫感会绕过硬要再次核实的本能。
- 与常规供应商和合作伙伴使用共享的、带外验证方法。 一些企业与关键供应商约定一个简单的口令或一个次要的确认邮箱地址，专门用于付款指令的变更。
- 对于任何银行信息变更或超过设定阈值的任何新电汇，要求双人审批。 另一个人在没有欺诈者所施加的“紧急”情境下进行审视，是可用且成本最低的有效控制措施之一。
- 提出只有真人才能脱稿回答的问题。 按脚本操作的语音机器人和甚至实时深度伪造来电者，在被问及特定的、未公开的事情时往往会露馅——比如最近的内部会议、内部笑话、公司网站或领英上没有的细节。
这些都不需要新软件。它需要的是让回拨成为默认操作，而非例外——即使电话那头的声音听起来和你合作了十年的商业伙伴一模一样。
清理供应商文件比你想象的成本更低
相当多的欺诈风险暴露归根结底在于供应商文件的维护。许多小型企业为一次性采购、只使用过一次的承包商或多年未下单的供应商积累了供应商记录——而每一个过时的条目都是欺诈性“更新”可以隐藏的另一个地方。定期审查值得花上一小时：
- 扫描共享银行账号或路由号码的供应商——这是合成身份或内部欺诈团伙的常见迹象。
- 标记使用邮政信箱而非街道地址的供应商，尤其是较新的条目。
- 移除或归档过去12-18个月内没有交易的供应商。
- 确认每个活跃供应商的银行信息与你最初的入职文件中的记录相符，而不是与后来的“更新”邮件相符。
这也是良好的簿记习惯能物超所值的地方。定期对账并保留每个供应商变更清晰、可审计轨迹的企业，能在几天内（而不是几个月）发现欺诈性转账——远在资金无法追回之前。纯文本会计，其中每笔交易和每个供应商变更都存在于一个版本控制的分类账中，你可以进行差异比较和审查，它使得“谁更改了这家供应商的银行信息，以及何时更改的”这个问题，从一次法证调查变成了一个只需五秒钟就能回答的问题。
培训仍然胜过技术
安全供应商会很乐意卖给你AI驱动的深度伪造检测器，其中一些技术对于处理大量付款的大型组织确实有用。但对于大多数小型企业来说，最高杠杆的投资仍然是培训那两三个经手你资金的人。
这种培训不需要很复杂。它需要涵盖两件事：这些骗局在当今实际看起来和听起来是什么样的（而不是十年前粗劣的“尼日利亚王子”邮件），以及你的企业承诺每一次都无条件使用的具体验证习惯——回拨、双人审批、带外检查——无论某个请求看起来多么合法，或者提出请求的人看起来级别多高。授权奥雅纳蒙受2500万美元损失的那位员工并非粗心大意。他只是在遵循一个感觉完全正常的内部视频通话流程。差距不在于了解深度伪造的存在——而在于验证步骤未能经受住一个令人信服的赝品的考验。
从一开始就保持财务井然有序
欺诈防范和良好的簿记是同一纪律的不同体现——两者都归结为了解你的资金究竟发生了什么、何时发生以及为何发生。Beancount.io 提供纯文本会计，让你对财务数据拥有完全的透明度和控制权，其版本控制的分类账使每次供应商变更和每笔交易都易于审查和审计。免费开始使用，了解为什么开发者和财务专业人士正在转向纯文本会计。