Lừa đảo giả mạo email doanh nghiệp (Business Email Compromise, BEC) là khi kẻ gian giả danh một đối tác, nhà cung cấp hoặc lãnh đạo công ty qua email để yêu cầu chuyển tiền vào tài khoản của chúng. Kịch bản phổ biến nhất là "nhà cung cấp thông báo đổi số tài khoản nhận tiền". Biện pháp phòng ngừa hiệu quả nhất không phải phần mềm, mà là một quy tắc đơn giản: mọi thay đổi thông tin thanh toán đều phải được xác minh bằng cuộc gọi tới số điện thoại đã biết từ trước, không dùng số trong email.
Cơ quan điều tra liên bang Hoa Kỳ (FBI), qua trung tâm tiếp nhận khiếu nại tội phạm Internet IC3, nhiều năm liền xếp BEC vào nhóm hình thức gây thiệt hại tài chính lớn nhất trong các loại tội phạm mạng được báo cáo. Doanh nghiệp Việt Nam làm xuất nhập khẩu là mục tiêu thường gặp, vì giao dịch qua email với đối tác ở xa, giá trị lớn và khó xác minh trực tiếp.
Khác với các bài về an toàn tài khoản cá nhân, bài này tập trung vào góc độ thông tin doanh nghiệp: kẻ gian dựa vào thông tin công khai về đối tác để dựng kịch bản như thế nào, các dấu hiệu nhận biết, quy trình xác minh thanh toán, kiểm soát nội bộ cần có, và việc phải làm trong những giờ đầu nếu đã chuyển nhầm.
Cơ chế: vì sao BEC thành công dù không cần mã độc tinh vi
BEC hiếm khi dựa vào kỹ thuật phức tạp. Sức mạnh của nó đến từ bối cảnh đúng. Kẻ gian biết bạn đang giao dịch với ai, đang chờ lô hàng nào, hoá đơn nào sắp đến hạn, người phụ trách bên kia tên gì và viết email theo giọng ra sao. Một email đúng bối cảnh, đúng thời điểm, đúng giọng văn sẽ vượt qua sự cảnh giác của người làm kế toán dày dạn, vì nó trông y hệt hàng trăm email thật trước đó.
Thông tin bối cảnh đến từ hai nguồn. Nguồn thứ nhất là xâm nhập hộp thư: kẻ gian chiếm được mật khẩu email của một bên, thường qua trang đăng nhập giả, rồi âm thầm đọc thư nhiều tuần, chờ đúng lúc có hoá đơn lớn. Nguồn thứ hai là thông tin công khai: website liệt kê đối tác, bài đăng mạng xã hội về chuyến công tác của giám đốc, thông tin đăng ký doanh nghiệp cho biết tên người đại diện, tin tuyển dụng nêu tên phần mềm kế toán. Chính những thông tin mà bài về tra cứu doanh nghiệp hướng dẫn bạn tìm cũng là nguyên liệu cho kẻ gian.
Khi đã có bối cảnh, kẻ gian gửi email từ một trong ba vị trí: từ chính hộp thư bị chiếm (khó phát hiện nhất), từ một tên miền gần giống tên miền thật, hoặc từ một địa chỉ có tên hiển thị trùng tên người thật nhưng địa chỉ thực khác. Nội dung thường kèm áp lực thời gian và lý do hợp lý cho việc đổi tài khoản: ngân hàng cũ đang kiểm toán, công ty chuyển sang tài khoản ở chi nhánh nước ngoài, hoặc tài khoản cũ bị phong toả tạm thời vì thủ tục.
Các kịch bản thường gặp
Bảng dưới gom năm kịch bản theo người bị giả danh. Mỗi kịch bản có một điểm yếu mà quy trình xác minh nhắm vào.
| Kịch bản | Kẻ gian giả danh | Yêu cầu điển hình | Điểm kiểm then chốt |
|---|---|---|---|
| Hoá đơn giả, đổi tài khoản | Nhà cung cấp thật | Thanh toán hoá đơn sắp đến hạn vào tài khoản mới | Gọi lại nhà cung cấp theo số đã lưu |
| Giả danh giám đốc | Giám đốc hoặc chủ doanh nghiệp | Chuyển gấp một khoản bí mật cho thương vụ đang đàm phán | Quy định không có ngoại lệ "bí mật" cho thanh toán |
| Giả danh luật sư, tư vấn | Luật sư, kiểm toán viên trong thương vụ | Chuyển tiền đặt cọc, phí vào tài khoản uỷ thác | Xác minh với lãnh đạo nội bộ phụ trách thương vụ |
| Chiếm hộp thư nhân viên bán hàng | Nhân viên của chính bạn | Gửi khách hàng thông báo đổi tài khoản nhận tiền của công ty bạn | Thông báo trước cho khách: công ty không bao giờ đổi tài khoản qua email |
| Thu thập dữ liệu | Bộ phận nhân sự hoặc giám đốc | Gửi danh sách lương, thông tin nhân viên | Dữ liệu cá nhân chỉ gửi qua kênh đã quy định |
Kịch bản thứ tư thường bị bỏ quên: doanh nghiệp không mất tiền trực tiếp, nhưng khách hàng chuyển tiền cho kẻ gian và sau đó tranh chấp xem ai chịu thiệt. Bảo vệ khách hàng bằng thông báo trước và bằng việc bảo vệ hộp thư của chính mình là một phần của quản trị rủi ro bán hàng.
Dấu hiệu nhận biết trong một email yêu cầu chuyển tiền
Không dấu hiệu nào đủ để kết luận, và email từ hộp thư bị chiếm có thể không có dấu hiệu kỹ thuật nào. Danh sách dưới vì vậy chỉ là lý do để bật quy trình xác minh, không phải phép thử thay thế cho nó.
- Bất kỳ thay đổi nào về thông tin thanh toán: số tài khoản, ngân hàng, tên chủ tài khoản, nước nhận tiền. Đây là dấu hiệu duy nhất đủ để luôn luôn xác minh.
- Tên miền gần giống: thêm, bớt, đảo một ký tự, thay chữ "l" bằng số "1", thay tên miền quốc gia, thêm gạch nối. Mở chi tiết người gửi để xem địa chỉ thực thay vì chỉ nhìn tên hiển thị.
- Địa chỉ trả lời khác địa chỉ gửi: khi bấm trả lời, thư đi tới một địa chỉ khác. Nhiều phần mềm email cho xem trường này trong phần chi tiết.
- Áp lực thời gian và yêu cầu giữ bí mật: "cần chuyển trong hôm nay", "chưa báo cho ai trong công ty", "đang họp, không nghe máy được".
- Tài khoản nhận không trùng tên đối tác hoặc ở nước không liên quan tới nơi đối tác hoạt động.
- Giọng văn hơi lệch: cách xưng hô, chữ ký, định dạng hoá đơn khác với thường lệ, dù chỉ một chút.
- Chuỗi email bị cắt hoặc được chuyển tiếp từ một chuỗi cũ, khiến bạn không thấy lịch sử trao đổi thật.
Về kỹ thuật, doanh nghiệp nên cấu hình SPF, DKIM và DMARC cho tên miền của mình để giảm khả năng bị giả mạo trực tiếp tên miền, và bật cảnh báo thư từ bên ngoài trong hệ thống email. Các biện pháp này hữu ích nhưng không chặn được tên miền gần giống hay hộp thư thật bị chiếm.
Quy trình gọi lại xác minh trước khi chuyển tiền
Quy trình dưới đây nên được viết thành quy định thanh toán, áp dụng không ngoại lệ, kể cả khi yêu cầu đến từ cấp cao nhất. Quy định không có ngoại lệ chính là thứ bảo vệ nhân viên kế toán khi bị gây áp lực.
- Duy trì danh bạ xác minh độc lập cho mỗi nhà cung cấp: số điện thoại và người liên hệ được ghi nhận lúc bắt đầu quan hệ, qua hợp đồng hoặc gặp trực tiếp, không cập nhật qua email.
- Khi nhận yêu cầu thay đổi thông tin thanh toán, không trả lời email đó, không gọi số trong email. Gọi số trong danh bạ xác minh, hỏi người liên hệ đã biết.
- Xác minh nội dung cụ thể: đọc lại số tài khoản mới và tên chủ tài khoản từng ký tự, hỏi lý do thay đổi, hỏi xác nhận bằng văn bản có chữ ký và dấu gửi qua đường bưu chính hoặc giao tận tay nếu giá trị lớn.
- Thử chuyển một khoản nhỏ vào tài khoản mới và đề nghị đối tác xác nhận đã nhận qua kênh độc lập, trước khi chuyển khoản lớn.
- Phê duyệt hai người: người nhập lệnh và người duyệt lệnh khác nhau; thay đổi dữ liệu nhà cung cấp trong hệ thống cần người thứ ba xác nhận.
- Ghi nhật ký xác minh: ai gọi, gọi số nào, nói chuyện với ai, lúc nào, kết quả. Nhật ký này cũng là bằng chứng quan trọng nếu xảy ra tranh chấp với đối tác về việc ai chịu thiệt.
- Theo dõi sau thay đổi: trong vài tuần đầu sau khi đổi tài khoản, kiểm tra với đối tác rằng các khoản thanh toán đã đến nơi.
Kiểm soát nội bộ và đào tạo: biến quy trình thành thói quen
Quy trình chỉ có tác dụng khi người làm thật sự áp dụng nó vào lúc bận rộn nhất, khi một email "từ giám đốc" yêu cầu chuyển gấp trước giờ ngân hàng đóng cửa. Nghiên cứu về hành vi trong an ninh thông tin cho thấy con người dễ tuân theo yêu cầu từ người có thẩm quyền và dưới áp lực thời gian, đúng những gì kẻ gian khai thác. Vì vậy, lãnh đạo cần tuyên bố rõ bằng văn bản: không ai trong công ty, kể cả giám đốc, được yêu cầu bỏ qua bước xác minh, và nhân viên làm đúng quy trình sẽ không bị khiển trách vì làm chậm.
Đào tạo hiệu quả dùng tình huống thật thay vì bài giảng chung. Cho nhân viên kế toán, mua hàng, bán hàng xem các email giả mạo mẫu, kể cả loại từ hộp thư thật bị chiếm, và luyện tập phản xạ "thay đổi thanh toán thì gọi lại". Một số doanh nghiệp tổ chức diễn tập gửi email giả định để đo phản ứng; nếu làm, nên dùng kết quả để cải thiện quy trình chứ không để bêu tên cá nhân.
Về hệ thống, khoá quyền sửa thông tin tài khoản nhà cung cấp trong phần mềm kế toán cho một nhóm nhỏ, ghi lại mọi lần sửa, và thiết lập cảnh báo khi một nhà cung cấp quen thuộc có tài khoản nhận tiền mới. Bật xác thực nhiều lớp cho mọi hộp thư công ty, nhất là hộp thư của kế toán, lãnh đạo và nhân viên bán hàng, vì hộp thư bị chiếm là nguồn gốc của các vụ khó phát hiện nhất.
Nếu đã chuyển nhầm: việc cần làm trong những giờ đầu
Thời gian là yếu tố quyết định. Tiền lừa đảo thường được chuyển tiếp hoặc rút ra rất nhanh, nên mỗi giờ chậm trễ làm giảm cơ hội thu hồi.
- Gọi ngay cho ngân hàng của bạn, theo số tổng đài chính thức, đề nghị tra soát và phối hợp với ngân hàng nhận để tạm giữ hoặc thu hồi khoản tiền theo quy định. Với chuyển tiền quốc tế, đề nghị ngân hàng gửi yêu cầu thu hồi qua kênh liên ngân hàng.
- Trình báo cơ quan công an nơi doanh nghiệp đặt trụ sở, mang theo email, chứng từ chuyển tiền, thông tin tài khoản nhận.
- Thông báo cho đối tác thật qua kênh đã xác minh, vì hộp thư của họ hoặc của bạn có thể đang bị chiếm và các khách hàng khác cũng có nguy cơ.
- Đổi mật khẩu, kiểm tra quy tắc chuyển tiếp thư tự động và phiên đăng nhập lạ trên các hộp thư liên quan; kẻ gian thường cài quy tắc ẩn thư trả lời của đối tác thật.
- Lưu giữ nguyên trạng bằng chứng: không xoá email, xuất kèm phần đầu thư đầy đủ để phục vụ điều tra.
- Liên hệ luật sư và công ty bảo hiểm nếu có hợp đồng bảo hiểm rủi ro mạng hoặc gian lận, vì nhiều hợp đồng yêu cầu thông báo trong thời hạn ngắn.
Sau sự cố, rà lại xem lớp nào của quy trình đã thất bại: danh bạ xác minh không có, bước gọi lại bị bỏ qua vì áp lực, hay hộp thư nội bộ bị chiếm. Sửa đúng lớp đó quan trọng hơn mua thêm công cụ.
Câu hỏi thường gặp
Khi bị lừa đảo BEC, ai chịu thiệt: bên trả tiền hay bên nhận tiền?
Phụ thuộc vào hợp đồng, bằng chứng và việc bên nào để lộ hộp thư hoặc bỏ qua bước xác minh hợp lý. Nhiều tranh chấp xoay quanh câu hỏi bên mua đã làm đủ thận trọng chưa và hộp thư của ai bị chiếm. Vì vậy nên đưa điều khoản về thông tin thanh toán và cách thay đổi vào hợp đồng ngay từ đầu.
Có nên ghi số tài khoản nhận tiền vào hợp đồng không?
Có, và kèm điều khoản rằng mọi thay đổi chỉ có hiệu lực khi được xác nhận bằng văn bản có chữ ký của người có thẩm quyền và được bên kia xác minh qua kênh đã thoả thuận. Điều khoản này vừa ngăn lừa đảo vừa phân định trách nhiệm rõ ràng nếu sự cố xảy ra.
Ngân hàng có kiểm tra tên chủ tài khoản khớp với tên người nhận không?
Với chuyển khoản trong nước, nhiều hệ thống hiện hiển thị tên chủ tài khoản khi nhập số tài khoản, là một lớp kiểm tra hữu ích. Với chuyển tiền quốc tế, việc đối chiếu tên không phải lúc nào cũng được thực hiện chặt chẽ ở mọi ngân hàng. Không nên dựa vào ngân hàng như lớp bảo vệ duy nhất.
Doanh nghiệp nhỏ không có bộ phận công nghệ thông tin thì nên làm gì trước?
Ba việc tốn ít chi phí nhất: bật xác thực nhiều lớp cho mọi hộp thư, lập danh bạ xác minh độc lập cho các đối tác chính, và ban hành quy định gọi lại xác minh mọi thay đổi thanh toán. Ba việc này chặn được phần lớn kịch bản phổ biến mà không cần đầu tư hệ thống.
Email có chữ ký số thì có tin được hoàn toàn không?
Chữ ký số xác nhận thư đến từ người nắm khoá ký và nội dung không bị sửa, nếu bạn kiểm tra đúng chứng thư của người gửi. Nhưng nếu máy của người gửi bị chiếm, kẻ gian vẫn có thể gửi thư hợp lệ về kỹ thuật. Thay đổi thông tin thanh toán vẫn cần xác minh ngoài kênh email.
