“87万美金！钱刚汇出，供应商却说根本没收到！”深圳某电子公司的采购经理张薇，盯着屏幕上冰冷的转账记录，双手止不住地颤抖，就在十分钟前，她收到“供应商”的紧急邮件，要求将货款汇入一个“新账户”，她照做了，却不知这封邮件早已被黑客篡改,87万美元瞬间消失在虚拟世界的黑洞里。
网友@外贸老炮儿在评论区疾呼：“血的教训！速贸网那篇《识别钓鱼邮件的七个死亡信号》真该早点看，这类骗局早不是新鲜事了！”
这不是孤例，黑客们如同潜伏在数字暗流中的幽灵，精准锁定外贸交易链条中最脆弱的环节——付款指令的传递，他们通过精心设计的“商务邮件入侵”（BEC）骗局，长期潜伏监控买卖双方邮件往来，在交易临门一脚时突然出手，伪造、篡改关键邮件，将巨额资金引流至其控制的幽灵账户。数据显示，仅2023年，全球企业因BEC诈骗损失就超过26亿美元，外贸领域更是重灾区。
当货款消失在数字深渊，一场围绕“谁该埋单”的激烈博弈瞬间引爆，采购方手握付款凭证，坚称自己严格按收到的“供应商指令”操作，损失纯属供应商邮箱防护不力所致，岂能由己方承担？而供应商同样满腹冤屈：黑客仿冒的是采购方邮箱发出的付款指令，我们也是受害者，采购方未经二次确认就贸然打款,责任岂能推卸？
法律的天平在技术迷雾中摇摆不定。 国际贸易中普遍遵循的《跟单信用证统一惯例》（UCP600）或《国际商会见索即付保函统一规则》（URDG758），其核心在于单据表面的严格相符，当黑客伪造的单据足以乱真，银行按流程操作并无过错，损失最终必然落回买卖双方头上,而各国国内法对电子欺诈的责任划分更是千差万别：
- 过错责任原则： 主流观点认为，谁的“过失”为黑客打开了方便之门，谁就应承担主要责任，是采购方轻信了未经验证的账户变更请求？还是供应商的邮箱系统存在明显安全漏洞,如同敞开大门邀请黑客？
- 风险分配原则： 部分判例开始引入“风险最易控制方”概念，若供应商邮箱被长期渗透而浑然不觉，其承担的风险责任显然更大；反之，若采购方财务流程存在重大疏漏（如仅凭邮件就变更大额收款账户）,则难辞其咎。
- 合同约定优先： 买卖合同中若明确约定了网络安全责任及损失分担条款（可惜实践中极少如此详尽）,将成为最直接的裁判依据。
采购方的愤怒与抗辩：风险应止于键盘！
“我们按收到的邮件指令付款，流程完全合规！供应商的邮箱被黑，如同自家金库钥匙被偷，难道要邻居承担失窃损失？”一位在类似纠纷中拒绝赔偿的采购总监李峰言辞激烈，采购方阵营的核心逻辑在于：付款行为的正确性，依赖于所获指令的真实性。 指令源头（供应商邮箱）被污染，后续操作再规范也是徒劳，供应商作为邮箱的所有者和使用者，负有不可推卸的保障信息安全、及时识别异常并通知交易伙伴的基础义务，黑客能长期潜伏并精准篡改邮件,本身就暴露出供应商在网络安全投入和员工培训上的巨大缺失。
供应商的委屈与反击：最终确认权在买方！
“黑客同时冒充双方！他们用几乎和我们一模一样的邮箱地址，给采购方发去账户变更申请，采购方财务只要一个电话，甚至核对一下历史邮件，就能识破骗局！如此巨款，仅凭一封邮件就转走，流程岂能儿戏？”某纺织出口企业老板陈明无奈道，供应商认为：采购方掌握着付款的最终决策权和资金控制权。 变更收款账户是极高风险的重大操作，采购方有绝对责任和义务，通过电话、视频、线下见面等独立于邮件系统之外的可靠渠道，进行二次、三次确认，UCP600的精神也强调银行的“表面审核”责任，这同样适用于商业交易中的审慎义务，采购方未履行“合理注意义务”,是损失发生的直接推手。
司法实践中的刀光剑影：
- 案例A（采购方胜诉）： 某美国进口商向中国供应商支付货款，黑客入侵供应商邮箱后发出账户变更指令。法院调查发现供应商邮箱长期使用弱密码且无任何安全防护措施， 认定其过失是欺诈得逞的主因,判决供应商承担全部损失。
- 案例B（供应商胜诉）： 某欧洲买家将货款汇入黑客账户。证据显示黑客伪造的变更账户邮件存在明显拼写错误和格式差异，且买家财务人员未进行任何形式的确认。 法院认为买家未尽到基本审查义务,损失自负。
- 案例C（责任分摊）： 香港一宗案件中，双方均有过失——供应商邮箱安全薄弱，采购方变更流程存在重大缺陷。 法官最终根据各自过失程度，判决损失由双方按比例（如60%/40%）分担。
在黑客的阴影下，外贸人如何构筑“数字护城河”？
- 双因子认证（2FA）是邮箱的“铁门栓”： 仅靠密码如同纸糊的窗户，强制启用2FA（如手机验证码、硬件密钥），为邮箱登录设置双重关卡，黑客即便窃取密码也难越雷池。这是当前公认最有效的账户防护基础。
- 建立付款变更的“熔断机制”： 将“收款账户变更”列为重大风险操作，强制规定：任何账户变更请求，必须通过邮件系统之外的独立渠道（如事先约定的加密通讯软件、直接致电指定负责人）进行多重、双向确认。 确认过程需留有可追溯记录。
- 引入区块链验证技术： 探索使用基于区块链的智能合约或数字身份验证平台，关键信息（如收款账户）上链存证并加密，任何篡改都将留下无法抹去的痕迹， 从源头上确保指令真实性。
- 定期进行“网络攻防演习”： 聘请专业安全公司模拟黑客攻击手段（如钓鱼邮件、话术诈骗），对财务、采购等关键岗位员工进行实战化培训。让员工在“被骗”中提升免疫力， 远比枯燥的制度宣导有效。
- 合同条款的“安全补丁”： 在贸易合同中增补详尽的网络安全条款，明确：
- 双方在信息安全防护上的基本责任等级。
- 信息泄露或欺诈事件发生后的通知时限与协作义务。
- 损失责任的划分原则或购买相关保险的约定。
- 指定唯一、安全的备用通讯方式。
当87万美元消失在数字洪流中，张薇与供应商的拉锯战仍在继续，这场博弈没有绝对的赢家，只有深刻的教训在行业中震荡回响——在无国界的数字贸易疆域，黑客的阴影始终潜伏，而责任的边界却依然模糊。
每一次付款指令的发送，每一次账户信息的变更，都是风险与信任的无声较量，采购方高举“指令真实性”之盾，供应商紧握“审慎确认”之矛，法律的天平在技术迷雾中艰难校准，当传统的贸易规则遭遇数字化的犯罪升级,单方面的防御或指责都显得苍白无力。
安全是外贸的隐形货币，责任是数字时代的契约。 在黑客的恶意成为国际贸易的隐形关税时，唯有买卖双方共同构筑信任的护城河，才能在数字洪流中守住每一分货款的重量，这场博弈的终局，不是追究谁该坠入深渊,而是如何让所有航行者看清暗礁的方向。
还没有评论，来说两句吧...