设想一个常见场景：一位美国新客户发来询价邮件，首单金额是你平时订单的20倍，要求Net 60账期，货款通过ACH转账支付。对方邮件措辞专业，公司网站也像模像样，催发货的节奏不紧不慢。销售觉得是个大单，财务隐约有点不踏实，但这笔订单该由谁来做风控判断，往往没有明确答案。

很多出海团队谈跨境电商的支付安全，默认的对象是信用卡、是C端订单。可只要业务里有批发、经销或企业采购，付款方式和风险形态就都变了。B2B这一半常被当成“熟人生意”，风控投入也明显偏少。这篇文章想把跨境支付B2B风控业务里最常见的三个场景拆开说：ACH、未结发票、大额订单。

B2B不是B2C的放大版，风险只是换了位置

企业买家一般不会像持卡人那样发起拒付，但风险并没有消失，而是转移到了别处：冒充买家或供应商的邮件诈骗、空壳公司下单、账期到了不还款、被盗用的账户信息。

美国财务专业人员协会（AFP）发布的2026年支付欺诈与控制调研显示，2025年有76%的受访美国企业经历过支付欺诈的尝试或实际发生，其中74%受到商务邮件诈骗（BEC）影响。FBI互联网犯罪投诉中心（IC3）在2025年度报告里披露的BEC损失约为30亿美元。需要说明的是，这两份数据针对的是美国企业和美国受害者，但跨境B2B的买家、银行和收款网络很多恰好就在这个体系里，参考价值不言而喻。

这类跨境电商诈骗往往不碰你的技术系统，只靠一封措辞得体的邮件，就能让货款或货物流向别处。

场景一：ACH，被默认为“安全”的付款方式

很多人觉得ACH是银行体系内的转账，比信用卡稳妥。在AFP的同一份调研中，支票是被攻击最多的付款方式（58%），其次是ACH借记（30%）和电汇（25%），ACH并不在“安全区”。

ACH有两个方向，风险完全不同。

借记（你从买方账户扣款）： 风险在于账户信息可能是盗来的，或者扣款授权根本不存在。按Nacha的规则体系，企业账户借记的未授权退回窗口通常只有两个银行日，消费者账户则长达60天。窗口短，意味着异常需要更早被发现。

转账（买方付款给你）： 常见的坑是有人冒充你。骗子伪造或入侵邮箱，给买方发一封“我们的收款账户变更了”的邮件，买方照办，钱打进了骗子的账户，而你这边既没收到款，货可能还发出去了。

监管层面也在收紧。Nacha官方公布的风险管理规则要求非消费者的ACH发起方、第三方服务商等建立基于风险的欺诈监测流程，第一阶段自2026年3月20日起针对大体量参与者，第二阶段自2026年6月19日起取消体量门槛，并新增了“False Pretenses（虚假借口）”这一欺诈类别。业内通常把BEC、供应商冒充这类社会工程手法归入其中。规则的直接对象是美国ACH网络的参与者，对跨境卖家的实际影响取决于你的收款通道，可能会遇到更严格的账户验证和交易审核，建议向收款服务商确认具体要求。

ACH环节比较实用的排查点：

  • 首次扣款前做银行账户所有权验证，并留存授权记录；
  • 任何“变更收款账户”的邮件，都回拨到合同里登记过的电话二次确认；
  • 持续监控退回情况，别等到对账时才发现异常。

场景二：未结发票，风险不在拒付，在“对方是不是真的这家公司”

未结发票就是赊销，先发货、后付款，常见的有Net 30、Net 60。它没有拒付流程，卖家承担的是另一种风险：买方根本不是它声称的那家公司，或者虽然是真公司，但名义被冒用。

常见的手法主要有两类。一类是用空壳公司或冒用真实企业信息下单；另一类是先用几笔小额订单建立良好记录，等额度放开后一次性下大单，然后消失。这两种手法的共同点是，前期一切看起来都很正常。

可以重点核对这几项：

  • 下单邮箱的域名是否与企业官网一致，注册信息、实际经营地址、电话能否互相对上；
  • 收货地址是不是货代或转运仓，而不是企业自己的地址；
  • 首单设限额，按回款记录阶梯式放开额度，而不是一步到位；
  • 买方账户是否出现异常登录或信息变更。如果买方有自己的采购账户，被盗用后再下单是现实风险，账户安全能力在这里同样用得上。

还要分清一点：买方资信不足导致的坏账，属于信用风险，通常要靠企业征信、信用保险和合同条款来管，不是反欺诈系统能替你兜底的。

场景三：大额订单，最需要快，也最不能只靠快

大额订单最考验团队：拒绝可能丢掉一个真客户，放行又可能是一次诈骗。几个常见的异常信号：新客户首单金额远高于该品类的常规水平、催着加急、要求发到第三方地址、临时改收货或收款信息、邮箱域名与官网域名只差一两个字符、不愿意电话或视频核实。

单个信号都不一定说明问题，叠加出现才值得升级处理。比较稳妥的做法是设金额阈值，超过阈值的订单自动进入人工复核，复核时优先走电话回访或视频，而不是只看邮件往来。

如果大额订单是通过店铺结账、用信用卡或电子钱包支付的（比如小企业采购、样品单、批发小单），面对的就是和B2C相同的线上支付欺诈与拒付风险。拒付包赔这类方案可以直接覆盖这部分：机器学习模型实时分析每笔交易的数百个特征，对已批准的订单承担拒付责任，并按产生收入的已批准订单收费。该页面也明确写到，方案能适应各类市场和付款方式，从ACH、未结发票到数字钱包。对于处在“风险”与“安全”边界上的订单，它的营收恢复流程会通过验证来减少错误拒绝，而不是一刀切地拒掉。

一张表：什么风险，由谁来管

场景常见信号优先动作主要承担方
ACH借记新账户首次扣款、账户名与公司名不符账户所有权验证，留存授权，监控退回银行或支付服务商，加内部财务
收款账户变更邮件要求更换账号回拨登记电话确认，设变更冷却期内部流程
未结发票空壳公司、额度骤增企业身份核验，阶梯额度，回款记录征信或信用保险，加销售与财务
大额首单加急、第三方收货、仿冒域名电话视频回访，分批发货，阈值触发复核风控与销售
线上结账（卡、钱包）设备、行为、历史订单异常实时订单风控，转移拒付责任风控平台

这张表的意思是：跨境业务风控不是一个产品解决所有问题，而是把不同风险放进各自该去的位置。

评估境外的支付风控公司，B2B场景下要问清几件事

如果打算引入境外的支付风控公司，建议带着这几个问题去谈：

支持你实际在用的付款方式吗？ 不是所有方案都覆盖ACH和未结发票，要让对方说清楚覆盖范围，而不是只看信用卡的数据。

责任边界写在哪里？ 拒付包赔承接的是已批准订单上的欺诈类拒付，买方资信不足、履约纠纷、质量争议属于另一类风险，具体范围以合同条款为准。

数据和决策是否可解释？ Riskified的决策参考了商家网络中超过十亿笔的历史交易，并为每个决策提供背景信息，团队可以在控制中心里追溯判断依据，而不是面对一个黑盒。

本地沟通是否顺畅？ Riskified是在纽交所上市（NYSE: RSKD）的境外风控公司，在上海设有办公室，中文团队可以直接沟通。

写在最后

跨境B2B的风控，难点不在技术，而在于很多团队根本没把它当成风控问题。ACH、账期、大额订单，每一块都有自己的入口，也都有自己该配合的角色：银行管账户，征信管资信，内部流程管变更，交易反欺诈解决方案管线上订单。把这几块拼起来，才是完整的跨境电商反欺诈策略。如果想聊聊自己的B2B业务适合从哪一环切入，可以联系Riskified的团队，也可以先了解一下我们的电商风控管理平台。

推荐阅读