供应商付款被骗后，如何协调处理

协调工作与银行追回同时开展

不要等内部调查结束才联系银行，应使用银行官方联系方式。追回及报案建议见供应商转账诈骗处理指南。本指南补充协调工作：指定事件负责人、财务联系人、供应商联络人及技术联系人，并建立可疑邮件线程之外的安全沟通渠道。

向银行提供付款凭证、收款账户资料、交易参考信息及诈骗请求。询问需要哪些补充证据、谁负责案件，以及如何向你更新进展。将追回申请与已确认追回的款项分别记录。发现其他受影响转账时，及时通知银行。

绕开可疑邮件核实供应商

使用可疑请求出现前已保存的联系方式，致电熟悉的供应商联系人。不要使用该请求提供的新号码、链接或联系人。政府商业指南建议致电可信联系人，而不是回复原消息来核实。后续付款前的检查见供应商邮箱被入侵处理指南。

询问供应商是否发出该请求、是否收到款项，以及是否发现邮箱被擅自访问。约定经过核实的事件沟通渠道，并请其技术团队保留相关证据。记录谁确认了什么，以及如何核实其身份。看起来可信的邮件，本身不能证明哪一方的系统被入侵。

技术团队限制访问时保留原始证据

以邮件原生格式保留原始邮件、完整邮件头、附件及上下文。保留发票、已批准的银行资料、付款审批及银行凭证。截图有助于说明经过，但应与原件一起保存。建立受保护的证据副本，记录收集人及收集时间，另用工作副本进行分析。

请技术团队保留现有登录日志、邮箱审计记录、自动转发规则、委托访问权限及付款系统修改记录。收集证据的同时，及时限制可疑访问、终止会话并确保身份验证机制安全。不要为了完善证据包而延误控制措施。记录控制过程中作出的修改及已经缺失的证据。

让技术团队同时排查身份冒充和账户入侵，包括相似地址、被修改的回复地址及异常转发。请其确定受影响时段，以及其他暴露的联系人或发票。政府技术材料支持保留日志和入侵证据；上述收集步骤是实务检查清单，不是法定程序。

暂停受影响待付款项，控制恢复付款

请财务找出与可疑账户、邮箱或供应商相关的排队转账、预约付款及近期收款账户修改。在付款系统中标记暂停，不要只靠邮件通知。询问银行已提交但尚未结算的转账能否停止，并记录答复。

检查通过同一遭入侵账户或访问渠道涉及的其他供应商。区分未受影响的付款和可疑项目，明确暂停范围。不要因为有人提供另一组账户资料就重新支付损失款项。通过已核实联系人确认未结发票状态，再取得财务批准及技术团队对付款流程安全性的确认，方可放行。参见供应商安全付款措施。

维护事件行动台账

将台账保存在受控位置，通过可信账户访问。记录每项行动、责任人、目标完成时间、状态、证据位置及后续跟进。纳入银行及报案参考信息、已核实的供应商沟通、付款暂停及技术控制措施。把已观察事实与推测分开。

由事件负责人复核未完成事项，通过约定的安全渠道，仅向各方提供其所需证据。记录实际结果：报告已提交、银行已确认受理、付款已阻止或资金已确认追回。完成付款核对、恢复审批，并为未解决风险指定责任人后，再结束事件处理。