"如何保护我们的流程，避免向用伪造语音或视频冒充我方高管的人付款？"对财务和采购团队而言，这个问题如今已不是理论风险，而是具体的控制需求。Gartner于2026年9月30日发布、建议安全负责人在年底前采取的五项行动中，有一项直接针对这一主题：据Gartner称，深度伪造威胁如今已成为主流。该建议的核心也很明确：应在全组织范围内重新设计流程，使"认出某人"不再成为批准决定或交易的可接受依据。
本文借助官方资料说明威胁的规模，剖析一个有公开记录的案例，并梳理可在付款和审批流程中采用的控制措施。
威胁有多普遍？
在世界经济论坛2026年1月发布的《2026年全球网络安全展望》调查中，73%的受访者报告其本人或身边有人在2025年受到网络欺诈的影响。根据同一报告，首席执行官们将网络欺诈列为其组织的首要关切。
美国联邦调查局（FBI）互联网犯罪投诉中心IC3的2025年度报告，为企业面临的代价最高的风险之一提供了数据。在被归类为商业电子邮件欺诈（BEC）的案件中，2025年共报告24,768起投诉，损失约30.5亿美元；2024年的相应损失约为27.7亿美元。报告的定义同样值得注意：BEC不仅通过电子邮件实施，还利用电话号码和虚拟会议应用等通信渠道。
人工智能层面也被单独跟踪。IC3表示，2025年共收到22,364起包含人工智能相关信息的投诉，这些投诉中的调整后损失超过8.93亿美元。在BEC类别下（报告举例包括借助聊天机器人生成的冒充首席执行官的邮件，以及通过语音克隆提出的付款请求），企业在涉及人工智能的案件中报告的损失似乎超过3000万美元。欧洲的情况类似：Europol的IOCTA 2026报告认为，生成式人工智能提高了BEC和冒充首席执行官欺诈的逼真程度。
一个案例：所有参会者都是假的视频会议
香港特区政府2024年6月26日向立法会提交的书面答复，以官方记录的形式描述了这类攻击如何运作。在2024年1月底向警方报案的事件中，一名员工收到一封冒充总部首席财务官的钓鱼邮件，并被邀请参加一个据称涉及机密交易的多人视频会议。该员工按照指示，授权向五个本地银行账户转账，造成约2亿港元的损失。
根据警方的评估，该会议是利用被冒充高管在互联网上公开的视频和音频资料预先录制的内容；换言之，员工与诈骗者之间并无真实互动。会议以某个借口结束，付款指示随后通过即时通讯继续发出。同一答复还涉及2024年5月的第二起事件：一名员工与一位通过即时通讯应用联系的"高管"进行了约30分钟的视频会议，并被要求转账约400万港元。
从流程设计角度看，该案例的模式很有启发性：强调保密、制造紧迫感、使用意外渠道，以及熟悉的面孔和声音。每项控制措施都需要针对性地化解这四个要素。
为何"认出来"已经不够？
在2024年12月的警告中，FBI报告称，犯罪分子利用人工智能生成视频，与看似公司高管的人进行实时视频聊天。在2026年7月发布的更新警告中，FBI强调，人工智能生成的内容已达到往往难以分辨的程度。
因此，指望员工"用肉眼识破伪造"本身并不是一项控制措施。Gartner也建议采用多层方法，以情境信号、附加身份验证层和内容来源核查来支撑检测技术。换言之，信任不应建立在某人的声音或面孔上，而应建立在流程本身上。
付款和审批流程检查清单
以下步骤是根据资料中的警告和建议归纳的一般框架；各组织需要结合自身授权矩阵、银行基础设施和风险偏好加以调整。
- 建立通过登记号码回拨的规则。 无论付款或敏感信息请求通过何种渠道到达，都应挂断后通过事先登记的号码联系对方。FBI建议通过结束通话并独立查找号码来核实来电者身份。请求中提供的号码或链接绝不能作为核实手段。
- 强制实行双重审批。 对于超过一定金额门槛的付款，下达指示的人和批准的人应为不同人员；审批应记录在付款系统自身的工作流中。仅凭视频通话、语音留言或电子邮件不应算作审批。
- 将付款信息变更作为单独流程管理。 供应商或收款人账户信息的任何变更，未经通过主数据记录中的联系方式确认，不得录入系统；变更后的首笔付款应经过额外核查。
- 将渠道变更视为危险信号。 如果熟悉的人通过新号码或新平台联系，FBI建议通过事先核实过的渠道确认这一新联系方式。如上述案例中从会议转向即时通讯的情况，也应适用同一规则。
- 以流程应对保密和紧迫压力。 "不要告诉任何人"或"今天必须办完"之类的说法，不应成为例外的理由，而应成为触发额外核查的信号。FBI同样建议审慎评估请求及其情境的合理性。高层管理者公开表示自己也会遵守这一规则，能让员工更容易说"不"。
- 设立内部核验口令。 对于关键岗位，预先约定且不通过数字渠道分享的问题或口令可提供额外一层保障。FBI为家庭推荐的暗语方法可以调整用于企业场景；但即便如此，这一方法也不应取代回拨核实。
- 事先写好事件应对计划。 IC3表示，一旦发现欺诈性转账，时间至关重要，并建议立即要求银行追回款项。通过IC3的资金冻结流程，2025年在3,900起事件中冻结了约6.79亿美元；成功率为58%。银行的紧急联系热线、内部通报链和记录保全步骤应事先确定。我们已在关于《网络安全法》（Siber Güvenlik Kanunu）时代事件响应的文章中探讨了网络事件的一般响应和通报问题。
- 通过演练开展培训。 针对最可能成为目标的团队，如财务、采购和高管助理，使用逼真的情景定期演练。目的不是教人识破伪造，而是让人们在产生怀疑时按流程行事成为本能。
结论
官方数据显示，基于冒充高管的欺诈既在日益普遍，也因人工智能而愈发逼真。有据可查的案例则表明，此类攻击利用的往往不是技术漏洞，而是对"熟悉"请求的信任。因此，最有效的防御不是信任对某人的辨认，而是信任流程本身：回拨核实、双重审批和变更控制。
从Orient Global的角度看，起点是逐一找出现有付款和审批流程中"仅凭一个人的声音或面孔就向前推进"的步骤，并为这些步骤增加独立核验。
为何物流经验在此很重要。 在经营实物商品的企业中，紧迫是日常的一部分（卡车停在门口、货物等待放行），因此"今天付款"的请求听起来可能很平常。正因如此，核查必须嵌入流程，而不是依赖任何人对声音或面孔的判断。采购订单和收货记录产生于运营内部，而非来自要求付款的人，这使它们成为上述控制措施的天然依据：付款请求或收款人银行信息的变更，应与实际订购、收货和发运的情况进行核对。我们的一位顾问在运营、物流和供应链领域拥有30多年经验：在一家大型科技分销企业，他端到端负责物流、仓储、技术服务和行政运营，组建并带领100多人的团队，并通过以KPI为导向的项目带来持久改善。他还曾管理全国范围的仓储和运输运营以及大规模分销网络。作为一名工业工程师，他如今通过人工智能与自动化，将这种供应链管理纪律带给中小企业。了解我们的顾问。
#interimmanagement #forwarddeployedengineering