本週，美國司法部宣布將控告從谷歌和Facebook處騙取1.23億美元的立陶宛男子。這名男子使用的是最常見的一種網絡攻擊行為：商業電子郵件攻擊（business email compromise），即所謂的發票詐騙。通常，犯罪分子會假裝以商家或商業合作夥伴的名義，說服一家公司支付服務款項並將大額資金轉至境外賬戶。但實際上，犯罪分子根本不會為其提供任何服務。

谷歌和Facebook的代表均表示公司已經追回被騙取的款項。資金追回的概率往往是很低的。被騙取預付定金的小企業會誤將數百萬美元的資金轉至境外，有時候甚至是由於疏忽將對沖基金轉至境外。這些小企業往往因商業電子郵件詐騙遭受重大打擊——有時可能會迎來破產的命運。

為什麼Facebook以及谷歌輕信的這種騙局會成為網絡安全領域最大的隱患呢？如下便是原因以及應對方式。

資金打水飄

大多數網絡攻擊只是帶來名譽或競爭方面的損害。一家公司的客戶信息、顧客社會安全號碼以及機密的商業計劃都可能會在網絡上被曝光。這將給企業帶來很大負面影響，但並不會對公司財務直接造成影響。

發票詐騙則會讓公司即刻蒙受財務損失，且此類案件發生的頻率在日益增加。

根據FBI提供的信息，在2016年12月至2018年5月期間，詐騙犯試圖通過商務郵件騙取的資金增長了136%。總的來說，電子郵件詐騙犯在2013年10月至2018年5月期間，在全球範圍內帶來的損失及潛在損失超過120億美元。

在發票詐騙中，黑客會採用IP欺詐，模仿已知商業合作夥伴的電子郵件，例如代理人或商家。之後，犯罪分子會仔細監控雙方的日常聯繫內容以及支付流程，再向其發送一份令人信以為真的發票並要求其為服務進行電匯付款。通常，企業的會計辦公室無法意識到這是詐騙，然後選擇直接轉款。

紐約一家小型會計公司便碰到了此事件。在2016年和2017年，一位行政助理收到了數封郵件，電子郵件的地址看上去歸屬於公司法律服務的商業合作夥伴，郵件要求公司付款，並提供了合法銀行的電匯地址。這名助手負責日常發票的轉賬，並按照郵件所給賬戶進行轉款。這一騙局讓公司一年內損失近70萬美元——差不多是公司年營收的一半。

這名公司老闆表示自己無法追回資金，因為他是主動轉賬的，而銀行通常也不會為此類詐騙事件幫客戶收回資金。他曾想過宣布破產，但最後選擇省吃儉用，繼續維持公司的運營。

“我只能選擇接受現狀。”他說道，“但基本上不再通過電子郵件開展任何業務。”

這位會計公司的遭遇非常典型。

發票詐騙如今已經很普遍。本月早些時候，一家牛仔褲公司Diesel Jeans申請破產的理由便是發票詐騙。在此之前，詐騙犯冒充自己是公司的首席執行官，並成功通過郵件進行詐騙，公司為此損失近300萬美元。

2017年，一家商品交易公司Tillage Commodities在21天時間裡，因電子郵件詐騙損失了近64%的資金。公司之後因未能監管好資金，被商品期貨交易委員會罰款15萬美元。

而在谷歌和Facebook的案件中，這位名叫埃瓦爾達斯·里馬索斯卡斯（Evaldas Rimasauskas）的立陶宛男子花了兩年時間，冒充與兩家公司有業務往來的第三方騙取到了資金。兩家科技巨頭支付的款項在“周遊全球”之後完成洗錢步驟，最終落到里馬索斯卡斯的口袋裡。

谷歌和Facebook將款項匯入里馬索斯卡斯在拉脫維亞和塞浦路斯開設的銀行賬號，之後里馬索斯卡斯迅速將資金轉移至全球不同位置的銀行賬戶，包括拉脫維亞、塞浦路斯、斯洛文尼亞、立陶宛、匈牙利以及香港。

里馬索斯卡斯會偽造發票、合同以及信件。谷歌在此騙局中損失近2300萬美元，而Facebook的損失高達1億美元。

“在此事件發生之後，Facebook很快追回了大部分資金，並在調查中一直積極與執法部門合作。”Facebook發言人說道。

而谷歌發言人表示，“我們發現騙局之後，立即通知了當局部門。我們追回了資金，很高興事情得到解決”。

兩家公司均拒絕回應它們是如何追回資金的。多數情況下，這些資金是無法追回的。

保護自己

FBI以及國土安全部表示，不論是何種規模的企業抑或是要進行大額轉賬的個人，人們都需要採取一些實際措施來防範此類型的欺詐。

• 將此類詐騙事件通知員工，並告知其應如何處理髮票。當支付條款突然發生變動或是商家要求資金匯入和之前不同的銀行賬戶時，員工應當保持警惕。
• 不妨要求雙方都在轉賬交易上簽字，而不要將決定權只留在一方手裡。
• 與銀行商議設置轉賬的特殊流程，比如發票核實等。
• 認為自己可能碰到詐騙案件的公司應當立即打電話至銀行，要求召回，與此同時留有和此事件相關的所有信息及證據。