昨天下午，公司公告财务刘姐差点把八万块转给一个“老板”。提醒

骗子在钉钉上建了个群，员工拉了她和另外两个同事，防范头像、诈骗昵称全仿冒高层。公司公告群里“老板”说有一笔紧急项目款要付，提醒让刘姐绕过审批流程先转账，员工事后补手续。防范她当时手都放到确认键上了，诈骗直到“老板”在群里催了一句“怎么还没转？公司公告”，她突然觉得不对劲——真老板从不用这种口气说话。提醒电话一打，员工果然是防范个骗局。

这不是诈骗段子，是上周刚发生在隔壁公司的事。

最近半年，针对咱们这类中小企业的骗术明显升级了。以前是群发钓鱼邮件，现在都玩“精准定制”——骗子会先扒公司官网、招聘信息、甚至你朋友圈晒的工牌，摸清组织架构后，再冒充领导或客户下手。技术门槛低到离谱，一套社工库信息加几个仿冒账号，成本不到两百块。

所以这条公告不是例行公事，是保命用的。

第一类要警惕的，是“老板突然加你微信”。真老板平时有事直接吼你，不会客客气气先寒暄。如果对方用新号加你，开口就问“在吗”，然后安排转账、要通讯录、打听公司账户余额——基本可以判定是骗子。哪怕头像确实是老板本人，也请多嘴问一句办公桌上摆着什么摆件，或者上周五开会时谁坐在他左边。答不上来的，直接拉黑。

第二类，是“冒充客户退款”。有个销售同事上个月差点中招。客户发来一封邮件，说合同金额算错了，要求把多付的几万块退回另一个账户。他核对了一下，发现确实“多付”了，正打算操作，结果对方邮件里的签名档少了公司注册地的区号——一个极小的细节。后来查实，那封邮件是从仿冒域名发出的，后缀是con而不是com。

第三类，是“内部通知类”钓鱼链接。比如“本月工资条已更新，点击查看”“社保基数调整，请扫码确认”。这些链接点进去，页面做得跟公司OA一模一样，但只要你输入了账号密码，后台立刻被接管。别问我是怎么知道的——去年有家公司因此被转走了整个季度的备用金。

防骗的核心就一条：凡是涉及钱、账号、验证码的请求，必须通过电话或当面二次确认。别嫌麻烦，骗子赌的就是你不好意思问。你可以直接回复：“稍等，我打个电话跟您确认下。”真领导不会因此生气，假领导会立刻施压、催促、甚至用“后果自负”吓唬你——这时候你就该笑了。

另外，公司IT部这周会为每个同事开通“外部邮件风险提示”功能，凡是来自陌生域名的附件，系统都会自动标红。别嫌弹窗烦，那是在替你挡刀。

最后说句实在话：咱们公司没那么多“紧急机密项目”，大多数业务都是按流程走的。凡是绕过流程、私下拉群、催你“别声张”的，十有八九是坑。真出了事，公司可以走法律程序追责，但钱追不追得回来，谁也保证不了。所以，动手转账前，多花三十秒打个电话。这三十秒，可能比年终奖还值钱。