离岸快车｜2026年10月27日

供应商发来邮件，称“公司财务调整，请将下一笔货款付给新户名”，这不是简单的收款资料维护。账户号码、银行名称可能都没变，户名从合同卖方改成关联公司；也可能户名仍看似熟悉，只多了一个贸易公司后缀。付款一旦执行，事后再争论邮件真假往往太晚。企业需要把改户名视为新的支付指令，对指令来源、受款权利和银行账户真实性分别核验，任何一项缺口都不应由“合作多年”自动填补。

第一层问题是谁提出了变更。真实供应商邮箱可能被入侵，骗子在原邮件串中插入新指令；仿冒邮件也可能只把域名换掉一个字符。回复同一封邮件并不能证明对方身份，因为回复仍进入相同的可疑渠道。采购或财务应使用合同档案、既有供应商主数据中早已登记的电话、门户或联系人，通过独立渠道回拨，而不是拨打变更邮件或附件里新写的电话号码。回拨时不应只问“是否换账号”，还要让对方说出原账户、拟变更户名、适用订单和生效范围，记录接听人的姓名、职务及确认方式。

第二层是新户名与合同权利人的关系。供应商可能因公司改名、合并、应收账款转让、集团集中收款或使用收款代理而提出变更，原因各不相同。公司改名要看注册登记与原法律主体连续性；合并要看权利义务承继；债权转让应有有效通知或合同依据；集团代收要有原合同双方认可的收款安排。不能因为新户名包含同一品牌或董事姓名就默认可以收款。若更改的是法律主体而非仅格式拼写，采购合同、发票、税务资料和付款指令也应检查是否需要一致更新；必要时由法务审查，财务不能独自解释权利转移。

第三层是账户信息本身。银行开户证明、账户确认函或银行出具的资料可以辅助核对户名、账户号码和开户银行，但PDF也可能被篡改，不能单凭一份附件放行。应通过供应商已验证的渠道确认资料，再在企业付款系统核对输入后的完整收款人名称、账号及银行信息。若银行提供受益人名称匹配或其他校验结果，应按该银行产品的实际含义使用：匹配通过不是商业授权证明，匹配失败也不一定自动代表诈骗，但必须暂停核实。尤其要注意相似字母、简称、翻译名和集团内不同公司名称，不要人为把显著差异解释成“小误差”。

以示意情景说明：一家长期供货的零部件厂商，原发票收款人为制造公司，临近付款时邮件要求改付“采购服务公司”，理由是内部集中结算。邮件附有盖章通知，签名看似是熟悉的客户经理。正确的处理不是先付款再追补文件，而是由采购通过旧电话号码联系供应商已知的财务负责人，核对是否真的采用集中收款、适用哪几张发票、原制造公司是否确认新主体有权收款；法务核对合同与通知的效力，财务核对新账户资料和银行字段。盖章图片和原邮件串只是证据之一，不能代替独立确认。示例为方法说明，不指向真实企业。

时间压力是高风险信号。要求“今天必须付”“不要告知采购”“旧账户冻结，只能先汇个人账户”之类说法，可能利用供应链交期或折扣制造紧迫感。真实业务也可能有紧急更改，但急迫不能使核验步骤消失。企业可以告知供应商付款将等待身份与受款权核验，并由业务团队评估交付影响；必要时按原合同约定处理到期付款争议。不能为了保住折扣，把新账户未经核验便加进常用受益人名单。若对方要求拆分付款或先付小额“测试”，也应按变更指令审查，不能把小额视为无风险通行证。

供应商主数据的修改权应与付款放行权分离。提出变更的采购人员可收集资料，主数据维护人员核对文件并录入，另一名具备授权的人员复核最终付款指令；若公司规模较小，至少保留独立回拨记录和第二人确认。记录要包含旧户名、旧账户、新户名、新账户、变更原因、适用合同及发票、验证渠道、审批结论和首次付款情况。若银行系统自动沿用旧模板，要重新打开受益人详情核对；只在备注栏写“已确认”，却未核对实际汇出字段，无法防止付款打向错误账户。

“户名变化但账号不变”与“账号变化但户名不变”都要核验。前者可能只是银行账户持有人依法更名，也可能是提供的信息互相矛盾；后者可能是供应商换行，也可能是骗子只替换了账号。两项同时变化时，风险更明显。不同司法辖区对户名显示、当地清算代码和银行校验有不同安排，本文不设统一匹配规则。实践中应保留新旧字段对照，逐项标记由谁验证、验证到了什么，避免系统只显示最新资料而覆盖历史。发生争议时，历史版本能帮助企业判断究竟何时、由谁、基于哪份指令进行了更改。

还需区别供应商主动请求与企业内部人员转述。若采购说“供应商电话告诉我换户名”，财务仍应索取可归档的供应商正式指令，再进行独立核验；若高管转发供应商邮件并催付款，也不意味着供应商身份已经验证。内外双方的授权是两件事：公司内部批准支付某张发票，不能证明新受款人确有收款权；供应商确认新账户，也不能替代公司内部预算和付款审批。把两条链同时闭合，才算允许这笔钱离开公司账户。

一旦发现可能被骗，动作应从“止付与保全证据”开始。尚未放行的指令立即暂停，并检查同一供应商的其他待付款；已经汇出的，应立刻通过开户银行官方渠道请求追查、拦截或召回，并按当地适用程序报案或咨询专业人员。召回并不保证成功，越早通知银行越可能保留处理机会。保留原始邮件含完整邮件头、附件、电话记录、系统变更日志和付款凭证，不要只截取一张聊天图。内部复盘重点是指令在哪一步被当作可信，而不应急于责怪某个经办人，导致其他可疑变更无人上报。

新账户首次付款完成后，仍应确认收款结果并观察异常。向供应商既有联系人核对其应收是否到账，核对回单和对账单的实际受款字段；若对方称未收到，不要立即按又一封邮件重付，应先查银行付款状态及此前验证记录。对长期供应商，可定期复核主数据中不再使用的账户，限制旧联系人和离职采购人员继续修改资料。成熟的流程不追求“零变更”，而是让每次变更都保留可信的来源、合法的收款理由和可审计的批准轨迹。

新加坡华侨银行的企业银行安全提示明确把最后一刻的银行账户变化、伪造或近似邮件地址列为商业邮件诈骗的警讯，并建议通过电子邮件以外的渠道核实付款资料。企业可据此建立回拨和暂停机制，但不能误以为“打过电话”就万事大吉；电话必须来自既有可信记录，谈话内容也要覆盖实际将付款的户名与账户。资料参考：华侨银行企业银行安全提示。

回拨也需要防止“被转接”的假确认。若采购档案中的电话近来已被邮件要求更新，不能把新号码当成既有渠道；应查找合同签署时留存的号码、以往发票上的固定联系方式或供应商官方公开总机，由总机转接财务。通话中可先核实此前正常收款信息，再请对方独立说出新户名、开户行和账户尾号，不要先完整朗读可疑邮件内容让对方只回答“是”。通话记录应注明拨出的号码来源、接听人的身份如何确认、其确认的具体字段以及是否要求后续书面确认。若对方不愿提供可验证信息，应保持待核，而非把沉默视作同意。

批量付款里的一次变更可能污染整批指令。财务从企业资源规划系统导出十家供应商的付款文件，其中一家户名刚被改动，若只查看批次总金额，单户错误很难被发现。放行前应将变更清单与本批收款人明细比对，对近期发生过账户或户名更改的供应商逐笔展示新旧字段、验证结果和审批记录。若付款文件经过人工编辑或格式转换，还要确认上传到网银后的受益人字段没有被截断或映射错位。批次文件校验与供应商真实性核验是两层控制，不能由“系统导出”代替后者。

跨语种名称更改需保留原文。供应商在本地注册名、英文贸易名与银行账户持有人名之间可能存在合法差异，但财务不能凭自行翻译推断它们相同。应取得供应商提供的注册资料或银行认可的账户证明，并请对方说明哪些名称是法定名称、哪些只是品牌或缩写；付款行和收款行显示的字符限制也可能造成缩写。记录时同时保存原文与英文或拼音表示，标明谁确认了对应关系。如果新户名出现完全不同的法人后缀，即使中文译名相近，也应按主体变更处理，而不是当成字符格式问题。

若对方提出的原因是应收账款保理或债权转让，付款给新受益人的权利基础尤其要查实。采购和财务应比对原合同是否有限制转让条款、转让通知是否来自有权主体、通知覆盖哪些发票及是否有重复受让或争议。银行账户证明只能证明账户存在，不能证明新户名有权收取这笔应收。对涉及不同法域的安排，企业应请法务按适用法律和合同评估，并让供应商在可信渠道确认付款后原债务如何清偿。未经评估便向“融资合作方”付款，可能导致真实供应商仍主张货款未付。

流程还应容许“拒绝变更”的结论。有时核验发现邮件来自仿冒域名，供应商否认曾提出请求；有时请求确实来自供应商员工，却无权变更收款主体。企业应保存拒绝原因，冻结可疑附件和链接，检查同一邮件链是否触及其他订单，并通知供应商用其自身安全程序排查。对已经录入系统但尚未付款的新受益人，应撤销或标记禁用，并由另一人检查是否有待批准付款引用它。核验没有通过，不应简单把申请删除得无迹可循；留下审计轨迹，才能防止骗子换一个措辞重新提出同一变更。

资料核对：华侨银行企业银行安全提示。