财务部收到一封看似来自惯常供应商的邮件：发件人姓名、标识和签名都和平时一样。邮件说他们换了银行，这次货款请汇入新账户，并附上了修改后的发票。公司照办汇款。几周后，真正的供应商打电话催款，公司才发现那封邮件并不是供应商发的。
本指南为已经汇款、遭受损失的公司而写。内容包括立即要做的事、应保全的证据、对真正供应商是否仍要付款，以及今后应建立的付款控制程序。如果受害者是在网上被骗而汇款的个人，请改读遭遇网络诈骗后怎么办。
核心答案
请按顺序做三件事。第一，通知汇出银行并尽快报案：资金停留得越久，被转走的可能性越大，但没有人能保证资金可以追回。第二，在有人删除或重置之前，保全原始证据，尤其是带有完整邮件头的邮件和系统日志。第三，通过你们原本就知道的联系渠道与真正的供应商沟通，确定剩余债务如何处理。
法律依据 《民商法典》第315条规定，应向债权人或有权代债权人受领的人清偿；向无权之人清偿，须经债权人追认才有效。第316条规定，善意地向表面上的权利人清偿，该清偿有效。因此，即使汇入了骗子的账户，原则上对真正供应商的债务并不消灭。至于损失由谁承担、承担多少，则取决于关于收款账户的合同条款、哪一方的邮件系统被入侵，以及各方是否做了合理的核实。
1. 发现被骗后的第一个小时，公司应当做什么？
请按下列顺序处理，并由一个人记录每一步的时间。
- 致电汇出银行。 同时联系对公账户经理和银行的诈骗举报渠道。告知收款账号、户名、收款银行、时间、金额和交易参考号，并请其联系收款银行冻结资金。若是跨境汇款，请要求通过银行间汇款网络发起资金召回（recall）。每次通话都要记下接听人的姓名和受理编号。
- 暂停该供应商所有未付款项，并禁止在系统中修改该供应商的账户信息。同时检查同一时期是否还有其他供应商发来过变更账户的通知。
- 用合同或原有供应商档案中的电话号码联系真正的供应商。 绝不要使用变更账户通知中的号码或邮箱地址。
- 不要回复骗子的邮件，也不要删除任何东西。 回复会让骗子察觉，从而更快转走资金。
- 向侦查人员报案。 公司是法人受害人，应由有代表权的董事亲自前往，或书面委托他人办理。请准备公司证明书（公司登记证明）、授权委托书、有权董事和受托人的身份证件，以及第2部分的证据。也可以先在线报案，尽快取得受理编号，之后携带全套材料到场作笔录。
- 通知保险公司，前提是公司投保了可能涵盖诈骗或网络事件损失的保险。保险往往规定了通知期限和证据保全条件。
- 让IT部门先保全系统日志，再堵塞漏洞，例如更改密码、启用双重验证、检查骗子可能设置的自动转发规则。
请提防那些要你先付费、并保证“替你追踪资金”的人，没有人能做出这样的保证。
2. 应当保全哪些证据，怎样保存才能使用？
好的证据是可以按时间顺序整理的原始材料。仅有截图往往不够。
| 证据 | 证明什么 | 保存方法 |
|---|---|---|
| 通知变更账户的邮件及同一邮件往来中的所有邮件 | 真实发送域名、回复地址、服务器路径 | 导出带有完整邮件头的原始邮件文件，不要使用转发功能 |
| 供应商过去发来的真实邮件 | 对比域名只差一个字母、显示名相同但地址不同的情形 | 以同样方式至少导出两三封 |
| 修改后的发票和原始发票 | 被改动的部分（账号、户名、文件版式等） | 保留收到的原始文件，不要覆盖 |
| 订单、合同、付款条件 | 约定的收款账户和变更通知的方式 | 签署版副本 |
| 汇款凭证 | 时间、金额、收款账户 | 转账回单、银行出具的汇款确认书、交易明细；若为跨境汇款，向银行索取汇款报文全文 |
| 供应商档案的修改记录 | 谁、何时、依据什么文件修改了账户信息 | 从会计系统或ERP导出修改历史 |
| 付款审批记录 | 谁批准的，是否看到账户已变更 | 从系统导出或复印审批文件 |
| 邮箱登录记录 | 是否有异地登录或转发规则 | 尽快向邮件服务商申请，部分记录会按周期删除 |
| 内部聊天和通话记录 | 公司内部判断的先后顺序 | 导出整个对话，不要只摘取一部分 |
然后制作一页纸的时间线：最近一张真实发票、变更账户邮件、供应商档案修改、审批、汇款、发现之日、通知银行、报案，依此排列。指定一个人负责保管证据；原件保存好，给律师、警方和保险公司的副本另行制作。
3. 谁通知了变更账户，公司内部又由谁批准的？
这两个问题决定了整体走向，包括与供应商的协商和内部体系的改进。
通知方 变更账户的邮件通常属于下面三种情形之一。
- 仿冒域名 例如只差一个字母，或域名后缀不同。这时供应商的系统可能根本没有被入侵，骗子是从别处获得了交易信息。
- 供应商的真实邮箱被入侵 邮件来自供应商的真实地址，骗子在阅读交易内容，并选在大额付款之前下手。
- 我方公司的邮箱被入侵 骗子在中途替换发票，或设置规则，使供应商的邮件不进入员工的收件箱。
属于哪种情形，会影响哪一方更有机会避免损失，所以在下结论之前，应让IT专家阅读双方的邮件头和系统日志。同时还要看合同对供应商一方通知变更收款账户的权限是如何约定的。
公司内部的批准方 应当能够回答：
- 谁在系统中修改了供应商的账户信息，依据的是什么文件
- 公司是否有核实账户变更的书面程序，该程序是否被跳过
- 批准付款的人是否看到收款账户已经变了
- 修改信息的人、批准的人和实际汇款的人，是不是同一个人
这类案件中的大多数员工是善意被骗的。直接把责任推给财务人员，对处理事件没有帮助，往往还会让内部信息不再浮出水面。若出现内部人员参与的迹象，例如无故反复跳过程序，请按员工侵占与内部调查作为单独的内部调查处理。关于如何划定谁可以批准什么，请见审批权限表。
4. 对真正的供应商，我们还要继续付款吗？
出发点是第315条。 清偿应当向债权人或有权代债权人受领的人作出。骗子提供的账户，其户主既不是债权人，也不是受领权人。因此，对真正供应商的货款债务原则上并不消灭。供应商追认的情形属于例外，实务中很少发生。
第316条的适用范围很窄。 该条保护向“债权准占有人”善意清偿的人。冒充供应商发邮件的骗子是否属于这一类，存在争议，取决于事实。不要以能依该条免除债务为前提来做安排。
会改变协商分量的因素
- 合同条款 合同或订单是否写明收款账户，变更账户的通知方式如何约定（例如须由有权人签署书面文件），是否有约定风险由哪一方承担的条款。
- 谁的系统被入侵 若邮件来自供应商的真实地址，或供应商知道系统被入侵却没有提醒客户，其分量与我方公司被入侵的情形不同。
- 本应察觉的警示信号 新账户的户主是个人或另一家公司，供应商是泰国公司而账户在境外，催促或要求保密，在大额付款之前通知变更。
- 公司是否遵守了自己的程序 有程序而不遵守，会削弱公司在协商中的地位。
实务中可以看到的解决方式有多种：先全额付款，再向骗子和保险公司追偿；按协议分担损失；就剩余款项分期支付。无论采用哪一种，都应订立书面协议，写明约定支付的金额、日后追回的款项归谁、对刑事案件的配合，以及放弃其余请求权。
不应该做的是既不书面答复供应商，又沉默不付款。这可能被视为迟延履行，产生利息、中止供货甚至解除合同，也会使协商更加困难。
反过来，如果我方是卖方，而客户把款项汇给了骗子，同样的原则下，通常仍可向客户主张货款。但应先核查我方自己的邮箱是否被入侵，因为这是客户首先会提出的问题。
5. 如何与银行、警方和供应商配合，同时不抱过高期望？
银行 汇出银行只能把请求转给收款银行。能否冻结资金，取决于款项是否仍在账户内以及收款银行的法律程序；若为跨境汇款，还取决于该国的法律。银行的每次答复，都请要求以书面形式作出。
刑事程序 报案为追踪资金流向、扣押或冻结财产打开了通道，但资金要回到公司，还须经过相应程序作出命令或判决。公司方面请指定一名联系人，并把案件编号和承办侦查人员的姓名与证据放在同一份文件中。
政府机关的例子 特别调查局（DSI）于2025年10月10日公布，逮捕了一名参与设立30家用于收取货款的假公司的嫌疑人。据公布内容，受害者收到通知变更收款账户的伪造邮件，把货款汇入泰国和爱尔兰的假公司账户。报道的损失约为360万泰铢。这个例子只说明此类案件的模式，并不表明这类案件现在是增多还是减少。
真正的供应商 请通过你们原本就知道的渠道沟通。建议双方各自检查邮件系统、交换相关邮件头，并共同记录事实。这一阶段的合作，往往使金钱问题的协商容易得多。
资金能否回来，银行、警方、律师都不能保证。 能做的是用迅速的反应和完整的证据提高可能性，并用清晰的协议限制其余损失。
6. 如果是我们自己的邮箱被入侵，还应当做什么？
- 评估个人数据方面的问题。 邮箱里通常有客户、员工和供应商的个人数据。《个人数据保护法》第37条规定，数据控制者应自知悉侵害事件之时起72小时内通知个人数据保护委员会办公室，但该事件不太可能对个人权利造成风险的除外。流程见数据泄露事件：第一步。
- 告知客户和供应商。 告知他们我们的收款账户没有变更，因为在邮箱里的骗子可能继续向客户发送假发票。
- 先保全日志，再修复。 若不保全日志就重置整个系统，将无法证明骗子何时进入、看到了什么。
7. 应当建立什么样的变更账户核实程序？
好的程序不必复杂，但每一次都要执行，即使是“急单”也不例外。
- 回电核实。 只拨打合同或原有供应商档案中的号码，不拨打要求变更的邮件或函件上的号码。记录谁和谁在何时通了话。
- 供应商的确认文件 取得有权人签署的变更账户通知书，以及显示户名与供应商法人名称一致的银行文件。个人名下的账户，或境内供应商却用境外账户，视为警示信号。
- 职责分离 修改供应商信息的人、批准付款的人、在银行系统中实际汇款的人，不应是同一个人，网上银行也应设置为需要两人批准。
- 付款前的等待期 新变更的账户，须在首次付款前完成全部核实。小额试汇对核实没有帮助，因为回复“已到账”的可能就是骗子。
- 变更报告 让管理层每月查看被修改过的供应商账户清单。
- 合同条款 在合同和订单中写明收款账户，规定变更账户须由有权人签署书面文件并经回电核实，并约定仅凭邮件通知不改变收款账户。
- 员工应知道的警示信号 催促、要求保密、新的联系人、拼写稍有不同的域名、在大额付款之前通知变更。
- 邮件系统 由IT部门启用双重验证，新增邮件转发规则时发出提醒，并对外部来信加上标识。
8. 清单
发现被骗时
- 致电汇出银行，并记下接听人姓名和受理编号
- 暂停未付款项和供应商档案的修改
- 用原合同中的号码联系真正的供应商
- 由有权董事或受托人报案
- 按保险条款通知保险公司
证据
- 导出带有完整邮件头的原始邮件（伪造的和过去真实的都要）
- 发票、订单、合同、汇款凭证
- 供应商档案的修改历史和审批记录
- 重置密码之前的邮箱登录记录
- 一页纸的时间线和一名证据保管人
与真正供应商的关系
- 阅读关于收款账户和变更通知方式的合同条款
- 共同检查哪一方的邮件系统被入侵
- 书面答复供应商，不保持沉默
- 订立书面协议，包括日后追回资金的处理
防止再次发生
- 每次有变更账户请求都回电核实
- 把修改信息、批准和汇款的人分开
- 在合同和订单中写入变更账户条款
- 就警示信号对员工进行培训
延伸阅读
- 遭遇网络诈骗后怎么办 — 受害者是个人时
- 员工侵占与内部调查 — 怀疑有内部人员参与时
- 审批权限表 — 谁可以批准付款和信息变更
- 数据泄露事件：第一步 — 公司邮箱被入侵时
- 企业PDPA合规清单 — 事件发生之前应有的体系
- 债务追收、财产调查与强制执行 — 取得判决之后
- 服务：合同与商务文件 · 常年法律顾问 · PDPA
即使款项汇入了骗子的账户，原则上对真正供应商的债务也并不消灭。公司能够掌控的，是报案的速度、证据的完整、与供应商的书面协议，以及每一次都执行的回电核实程序。
如需首次咨询，请致电 +66 92 254 2045 或把详情发给我们。我们协助整理证据和时间线，起草致银行的函件和报案所需文件，与真正的供应商协商并起草协议，并把变更账户的核实程序纳入合同和付款手册。另请参阅常年法律顾问。
本指南由苏婉瓦拉律师事务所发布 —— 该律师事务所位于孔敬府，成立于 1986 年。本文仅为一般性信息，不构成针对任何特定事项的法律建议。
