.png)
对于全球化企业而言，跨境支付很少能通过单次点击完成。财务团队通常需要接收支付指令、核实收款人信息、审批交易、进行货币兑换，并通过金融机构完成支付。每一个额外的人员、系统、司法管辖区和沟通渠道，都可能成为错误指令或欺诈行为渗入流程的切入点。
因此，支付安全不仅是 IT 问题，更是运营层面的核心议题。
跨境交易尤为敏感，因为支付指令可能涉及多方主体、多种货币、不同司法管辖区及多家金融机构。欺诈者未必需要直接入侵支付系统，他们往往试图操纵合法的业务流程，诱导授权员工将资金汇往错误的账户。
对于财务团队来说，目标并非规避国际支付，而是建立更严密的管控体系。
本指南将解析常见的跨境支付欺诈形式、企业应警惕的预警信号、能够降低风险的内部控制措施，以及企业在评估受监管金融服务提供商时应考虑的因素。
跨境支付结合了多种特性，使得欺诈行为更难被识别。
国际交易可能涉及不同的货币、收款机构、司法管辖区、支付渠道和内部审批流程。这些环节增加了运营的复杂性，也为支付指令被篡改提供了更多可乘之机。
风险的关键不在于流程步骤的多少，而在于每一个步骤是否都有相应的核实与审批控制。
当合法的业务流程被操纵时，支付欺诈便会发生。底层的商业关系可能是真实的，交易在内部也经过了授权，支付本身看起来也符合常规活动，但关键的支付信息却可能已被篡改。
正因如此，支付安全需要覆盖整个支付工作流，而不能仅关注最终的交易环节。
美国联邦调查局（FBI）将“商务电子邮件诈骗”（BEC）定义为一种针对涉及合法资金转账请求的企业和个人的欺诈形式。它可能涉及企业电子邮件账户被盗、社会工程学攻击或计算机入侵，最终导致未经授权的资金转账。
因此，核心风险并不总是表现为显而易见的异常支付。
它可能是一个基于错误信息运行的合法支付流程。
了解主要的欺诈模式有助于企业设计相应的管控措施。
商务电子邮件诈骗（BEC）
商务电子邮件诈骗涉及操纵合法的商业沟通，以诱导资金转账或获取敏感信息。
BEC 可能涉及冒充他人、电子邮件账户被盗、社会工程学或其他形式的账户入侵。其目的通常是使欺诈指令看起来足够真实，从而混入现有的业务流程中。
FBI 建议，在涉及账户信息变更的请求时，应使用辅助沟通渠道或额外的身份验证方式进行核实。
发票欺诈
发票欺诈是指将伪造或篡改的付款凭证混入合法的应付账款流程中。
风险不仅在于发票本身看起来是否真实。企业还需要考虑收款方信息是否与既定的供应商信息一致，以及该交易是否通过了必要的内部审批流程。
受益人或付款指令篡改
受益人信息的变更需要特别关注，因为这直接影响资金的汇出路径。
付款指令的变更可能是合法的，但在使用新信息之前，必须进行独立核实。
企业应建立明确的程序来验证受益人信息的变更，而不应仅依赖于接收变更通知的单一沟通渠道。
账户接管
账户接管是指未经授权的第三方获取了付款流程中使用的账户、系统或沟通渠道的访问权限。
一旦获取访问权限，欺诈行为可能更难被识别，因为攻击者可以在看似合法的业务流程中进行操作。
因此，企业应将身份验证控制与访问管理、职责分离、交易监控以及适当的用户权限设置相结合。
社会工程学与冒充欺诈
支付欺诈并不总是依赖于技术入侵。
社会工程学试图诱导员工采取他们通常认为合法的行动。这可能涉及利用权威、紧迫感、保密性或其他行为因素进行操纵。
因此，支付控制的设计应确保其能够独立于个人在压力下的判断而发挥作用。
没有任何单一的控制措施可以完全消除支付欺诈。有效的保护需要多种控制措施协同工作。
一个实用的框架是：
验证 → 审批 → 认证 → 监控 → 响应
1. 独立验证付款指令
受益人信息的变更应通过独立的沟通渠道进行核实。
核实过程应依赖企业既有的可信联系方式，而非变更请求中提供的信息。
原则很简单：切勿使用发送付款变更请求的同一沟通渠道来核实该请求。
美国联邦调查局（FBI）和互联网犯罪投诉中心（IC3）均建议对账户信息和付款指令的变更进行独立核实。
2. 将付款准备与审批分离
准备付款信息的人员不应是唯一有权批准付款的人员。
企业可根据交易的风险特征（包括受益人关系、司法管辖区、货币、交易概况及其他相关因素）设定审批要求。
当交易超出既定参数时，可要求进行额外的审查。
3. 加强身份验证
对于敏感的财务操作，仅靠密码保护是不够的。
企业应评估支付系统是否支持适当的身份验证、用户权限和访问管理控制。
多因素身份验证可为参与支付操作的账户和系统提供额外的保护层。
内部访问也应遵循最小权限原则。员工应仅拥有履行其职责所需的支付功能权限，而非对整个支付环境的无限制访问权。
4. 监控交易异常
交易监控有助于识别偏离既定业务模式的活动。
企业应考虑监控涉及以下方面的变更：
* 受益人信息
* 支付目的地
* 交易金额
* 币种
* 交易频率
* 交易时间
* 审批模式
* 用户访问权限
* 支付指令
异常交易并不一定意味着欺诈。企业应根据自身的风险框架，对异常交易进行相应级别的审查。
5. 保持清晰的事件响应流程
一旦企业发现欺诈性转账，必须立即启动响应程序。
美国联邦调查局（FBI）和互联网犯罪投诉中心（IC3）建议，应尽快联系相关金融机构，要求其对欺诈性转账采取行动。企业还应保留相关的交易记录，并遵循适用的报告和升级程序。
企业应在事件发生前建立好事件响应流程。
该流程应明确：
* 谁有权上报可疑的欺诈性支付
* 谁负责联系金融机构
* 谁负责协调内部上报工作
* 谁负责保存相关记录
* 负责在适用情况下进行监管或执法报告的人员
* 负责调查泄露源头的人员
支付欺诈应对措施应成为既定的业务流程，而非临时的应急反应。
内部控制只是支付安全的一部分。支持交易的金融机构或支付服务商同样至关重要。
企业在评估跨境金融服务商时，不应仅关注支付速度或交易费用。
监管许可
受监管的金融机构或支付服务商必须在明确的监管框架内运营。
企业应核实：
* 提供服务的具体法律实体
* 监管该实体的监管机构
* 其持有的牌照或注册资质
* 牌照涵盖的业务范围
* 牌照适用的司法管辖区
在多个市场运营的服务商可能会针对不同司法管辖区使用不同的法律实体。因此，企业应评估实际的签约主体以及所提供服务适用的监管框架。
客户尽职调查
客户尽职调查是更广泛的金融犯罪合规框架中的重要组成部分。
企业应了解服务商如何进行客户身份识别、验证、受益所有权确认、业务活动审查以及持续的风险评估。
FATF（金融行动特别工作组）建议为应对洗钱和恐怖融资风险建立了国际框架，其中包括客户尽职调查要求。
因此，应在服务商更广泛的监管和合规义务背景下，理解其结构化的入驻流程。
反洗钱与交易监控
反洗钱管控与欺诈防范并不完全相同，但它们共同构成了更广泛的金融犯罪管控环境。
企业应了解服务提供商在以下方面的处理方式：
* 客户筛查
* 交易监控
* 可疑活动识别
* 制裁合规
* 基于风险的尽职调查
* 升级与调查
金融行动特别工作组（FATF）也强调了网络欺诈与洗钱风险之间的关联。
支付透明度
当资金进行跨境流动时，清晰的支付信息至关重要。
FATF 在支付透明度方面的工作旨在加强跨境支付的随附信息，并引入旨在防范欺诈和错误的措施。
对于企业而言，更高的支付透明度有助于在出现支付问题时进行核实、对账、交易监控和调查。
多司法管辖区覆盖
全球化企业可能在适用不同监管框架的多个市场开展业务。
因此，相关的问题不仅仅是：
该服务提供商是否受监管？
企业还应明确：
哪家法律实体在哪个司法管辖区、依据何种监管框架提供服务？
了解这些关系有助于企业评估服务商的监管架构是否符合其运营需求。
监管并不能保证欺诈行为绝不发生。它只是更广泛的风险管理框架中的一个组成部分。
企业应综合考虑以下几个因素：
重点不在于监管能否杜绝欺诈。
而在于监管状态为企业评估金融服务商提供了一个参考框架。
企业仍应开展尽职调查，明确合同条款，并保持适当的内部支付控制。
KVB Global 为在国际市场开展业务的企业提供跨境金融基础设施。
其服务包括 全球账户， 全球收款， 全球付款， 外汇解决方案以及其他旨在支持国际业务运营的金融基础设施。
KVB Global 通过受其服务提供地适用监管框架约束的法律实体开展业务。对于评估跨境金融合作伙伴的企业而言，了解相关的法律实体和监管框架是评估服务提供商的重要环节。
KVB Global 的业务模式将跨境金融基础设施与各运营市场适用的合规及监管要求相结合。
然而，支付安全仍是一项共同责任。受监管的提供商无法取代企业自身的审批流程、员工培训、受益人核实、访问控制和事件响应机制。
对于全球化企业而言，更稳妥的方法是将健全的内部控制与可对其法律实体、监管地位及合规框架进行独立评估的金融合作伙伴相结合。
1. 什么是跨境支付欺诈？
跨境支付欺诈是指犯罪分子操纵或破坏国际商业支付，导致资金在未经授权的情况下被转移，或被转入非预期的收款人账户。常见的形式包括商业电子邮件诈骗 (BEC)、发票欺诈、受益人信息篡改、账户接管和社会工程学攻击。
2. 公司应如何核实支付信息的变更？
公司应通过与接收变更请求的渠道不同的可信沟通渠道，对该请求进行独立核实。核实工作应基于此前已建立的联系信息，而非支付变更请求中提供的信息。
3. 使用受监管的支付提供商能否防止支付欺诈？
不能。监管并不能消除欺诈风险。受监管的提供商在适用的监管和监督要求下运营，但企业仍需建立涵盖员工访问权限、支付审批、受益人核实和交易监控的内部控制体系。
4. 企业在选择跨境支付服务商前应核查哪些方面？
企业应核实服务商的法人实体、监管资质、适用司法管辖区、客户尽职调查程序、反洗钱（AML）框架、交易监控、支付控制措施，以及处理可疑或欺诈交易的流程。
参考来源：
1. https://www.ic3.gov/CrimeInfo/BEC
2.https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/business-email-compromise
3.https://www.fatf-gafi.org/en/publications/Methodsandtrends/cyber-enabled-fraud-digitalisation-ml-tf-pf-risks.html
免责声明：
本文仅供一般信息参考，不构成也不应被视为财务、投资、法律、税务、会计或其他专业建议。本文内容不构成购买、出售或订立任何金融产品、支付服务或交易的要约、招揽、推荐或邀请。
有关汇率、费用、支付路径、到账时间、结算安排及产品功能的信息仅供参考。实际汇率、成本、到账时间和支付结果可能会因交易金额、币种、支付通道、市场状况、截止时间、收款银行、中介银行、适用法律法规、合规审查、客户资格及相关服务条款而有所不同。
外汇远期合约具有法律约束力，未必适合所有企业或交易。根据具体协议，此类合约可能涉及信用评估、抵押或保证金要求、结算义务、提前终止费用及其他合同责任。即使基础商业交易发生变更或未能进行，企业仍可能负有履行远期合约的义务。
在进行任何交易前，您应考虑自身的业务目标、财务状况、运营需求及风险承受能力，并在必要时寻求独立的专业建议。过往表现、历史数据及示例仅供参考，不能作为未来结果的可靠指标。
