航运支付欺诈已然升级，而多数风控手段仍步履维艰。

作者：Errikos Andreakos，Marcura 旗下 MarTrust 首席商业官

日益严峻的威胁

根据 CYTUR《2026年海事网络威胁白皮书》，2025年海事网络攻击翻了一番。对于财务和合规团队而言，在这一大趋势中，支付欺诈——尤其是商业电子邮件入侵（BEC）——是最直接且可量化的资金风险。

按交易量折算，针对航运机构的 BEC 和支付欺诈发生率比传统银行业高出三到五倍。究其原因，在于该行业的运营模式。

为何航运业在结构上易受支付欺诈威胁

航运业将高价值交易、去中心化决策以及有限的核验基础设施交织在了一起。即使与供应商建立了长期稳定的关系，大多数运营商也缺乏手段来确认今天进行沟通的交易对手是否就是最初入驻的那家公司。

熟稔度降低了警惕性。BEC 攻击正是利用了这一漏洞。

欺诈风险 = 风险敞口 × 核验漏洞 × 时间压力

大多数运营商在入驻阶段会对供应商进行筛选。然而，漏洞产生于此后——当银行账户信息在注册与付款之间发生变更时。零售银行对于几百美元的小额交易通常也需要二次审批，相比之下，海事机构在首笔审批中就例行授权五位数的付款。

法律和商业压力使风险进一步加剧。代理商可以因未付款而扣留船舶，从而引发滞期费和连锁延误，其损失很快就会超过发票本身的金额。为避免运营中断，航运公司通常会选择预付资金。欺诈分子深谙这一动态。资金一旦清算，便极难追回。

例如，某船舶运营商收到一份 85,000 美元的预付申请。对方声称由于合规问题，银行信息已更新。为避免延误，运营商在数小时内完成了付款。两天后，真正的代理商确认未收到资金。船舶被扣留。总损失超过 250,000 美元。

剖析攻击手法

港口代理通常规模较小且使用普通的电子邮件系统，极易成为攻击目标。获取其账户权限的技术门槛并不高。利用生成式工具，几分钟内即可创建克隆网站；从该域名发送一封真假难辨的钓鱼邮件，通常就足以窃取凭据。

一旦潜入系统，欺诈分子便会静候时机。

当预付请求发出时，他们会通过创建一个几乎完全相同的电子邮件地址潜入沟通链中。其理由往往听起来顺理成章：临时的银行故障、合规检查、或者是要求更改资金路由。

攻击者早已掌握了该公司的付款限额，并据此调整申请。银行是根据账号而非账户名称来处理付款的。因此，细微的人名差异很容易被忽略。

等到真正的代理商跟进时，资金通常已经流经多个账户和司法管辖区。追回损失的成功率极低。

虽然港口代理是最显而易见的攻击渠道，但同样的漏洞也延伸至整个供应商生态系统：零配件供应商、技术服务商及承包商。其攻击模式如出一辙，后果也同样严重。