Case Thực Tế: Mất Tiền Vì Email Giả Mạo Đối Tác Yêu Cầu Đổi Số Tài Khoản

Giới thiệu

Một buổi chiều thứ Sáu, kế toán trưởng của một công ty thương mại nhận được email từ địa chỉ quen thuộc của nhà cung cấp nước ngoài, thông báo "do đang trong quá trình kiểm toán, tài khoản ngân hàng cũ tạm thời bị khóa, đề nghị chuyển khoản thanh toán lô hàng sắp tới sang tài khoản mới". Email đúng font chữ, đúng chữ ký, đúng cả logo công ty đối tác. Khoản thanh toán 62.000 USD được chuyển đi trong ngày. Ba ngày sau, nhà cung cấp thật gọi điện hỏi vì sao chưa nhận được tiền hàng - lúc đó công ty mới biết mình vừa chuyển tiền cho một tài khoản lừa đảo.

Đây là kịch bản lừa đảo qua email doanh nghiệp (Business Email Compromise - BEC) đang gia tăng tại Việt Nam, đặc biệt nhắm vào các doanh nghiệp có giao dịch thanh toán quốc tế hoặc thanh toán giá trị lớn định kỳ với đối tác quen thuộc. Bài viết này phân tích lại cơ chế lừa đảo, dấu hiệu nhận biết, và quy trình kiểm soát nội bộ mà bộ phận kế toán - tài chính cần thiết lập để phòng ngừa (case được khái quát hóa từ các tình huống điển hình được cơ quan công an và ngân hàng cảnh báo, không phải một doanh nghiệp cụ thể).

Lừa đảo BEC vận hành như thế nào

Khác với các hình thức lừa đảo trực tiếp nhắm vào cá nhân, lừa đảo BEC nhắm thẳng vào quy trình thanh toán của doanh nghiệp và thường diễn ra theo ba bước.

Bước một, kẻ gian xâm nhập hộp thư của một trong hai bên (có thể là email nội bộ công ty, hoặc email của đối tác/nhà cung cấp) thông qua các hình thức phishing, mã độc, hoặc mật khẩu bị lộ. Sau khi có quyền truy cập, chúng âm thầm theo dõi luồng trao đổi email trong nhiều tuần, nắm được lịch sử giao dịch, số tiền, thời điểm thanh toán dự kiến, văn phong và cách xưng hô của các bên.

Bước hai, khi đến gần thời điểm thanh toán, kẻ gian tạo một địa chỉ email giả mạo gần giống hệt địa chỉ thật (chỉ khác một, hai ký tự khó nhận ra, ví dụ đổi chữ "m" thành hai chữ "rn", hoặc đổi đuôi tên miền .com thành .co), hoặc gửi trực tiếp từ chính hộp thư đã chiếm được. Nội dung email yêu cầu đổi tài khoản nhận tiền, thường viện lý do hợp lý như tài khoản cũ đang kiểm toán, đổi ngân hàng, hoặc đổi kế toán phụ trách.

Bước ba, kẻ gian tạo áp lực thời gian (deadline gấp, phạt hợp đồng nếu chậm thanh toán) để bên nhận email không có thời gian xác minh lại qua kênh khác, khiến kế toán vội vàng chuyển khoản theo thông tin mới. Tin nhắn cảnh báo từ công an và các ngân hàng tại Việt Nam đều nêu rõ: hầu hết nạn nhân chỉ phát hiện ra khi đối tác thật liên hệ hỏi về khoản thanh toán chưa nhận được - lúc đó tiền đã được kẻ gian rút ra gần như ngay lập tức.

Vì sao kế toán dễ mắc bẫy

Rủi ro không nằm ở việc thiếu cẩn trọng cá nhân, mà ở lỗ hổng quy trình. Ba nguyên nhân phổ biến nhất:

Thứ nhất, doanh nghiệp coi email là kênh xác thực đủ tin cậy cho yêu cầu thay đổi thông tin thanh toán, trong khi email vốn không phải kênh có cơ chế xác thực hai chiều mạnh.

Thứ hai, không có quy trình xác minh độc lập (qua điện thoại đến số đã lưu từ trước, không phải số ghi trong email mới) trước khi thực hiện bất kỳ thay đổi nào về tài khoản thụ hưởng, đặc biệt với giao dịch giá trị lớn hoặc thanh toán quốc tế.

Thứ ba, áp lực deadline và thói quen xử lý nhanh khiến người phụ trách thanh toán bỏ qua bước đối chiếu, nhất là khi công ty đang trong giai đoạn cuối tháng, cuối quý bận rộn.

Dấu hiệu cảnh báo cần lưu ý

Một số dấu hiệu giúp nhận diện sớm yêu cầu thanh toán đáng ngờ: thông tin tài khoản thụ hưởng thay đổi đột ngột so với các lần giao dịch trước; tên chủ tài khoản mới không trùng khớp với tên pháp nhân đối tác đã ký hợp đồng; địa chỉ email gửi yêu cầu có sai khác nhỏ so với địa chỉ email vẫn giao dịch (cần phóng to kiểm tra từng ký tự, không chỉ nhìn tên hiển thị); email nhấn mạnh tính khẩn cấp, yêu cầu giữ bí mật hoặc không trao đổi qua điện thoại; và văn phong, cách xưng hô có phần khác thường so với các email trước đó của cùng người gửi.

Ứng dụng thực tế: quy trình kiểm soát nội bộ cần thiết lập

Với bất kỳ doanh nghiệp nào có thanh toán định kỳ cho nhà cung cấp, đặc biệt là đối tác nước ngoài, bộ phận kế toán - tài chính nên thiết lập các bước kiểm soát sau, và đưa vào quy chế thanh toán bằng văn bản thay vì chỉ nhắc miệng.

Xác minh độc lập bắt buộc đối với mọi yêu cầu thay đổi tài khoản thụ hưởng: gọi điện thoại đến số điện thoại đã lưu từ hồ sơ đối tác gốc (không dùng số điện thoại ghi trong email yêu cầu đổi), yêu cầu xác nhận bằng văn bản có chữ ký, con dấu qua kênh đã thiết lập từ đầu hợp tác.

Áp dụng nguyên tắc bốn mắt (four-eyes principle) cho các khoản thanh toán vượt một ngưỡng giá trị nhất định: người lập lệnh chuyển tiền và người phê duyệt phải là hai người khác nhau, và người phê duyệt phải trực tiếp kiểm tra lại thông tin tài khoản thụ hưởng so với hợp đồng gốc.

Kích hoạt xác thực đa yếu tố (MFA) cho toàn bộ hộp thư công ty, đặc biệt là các tài khoản email của kế toán, thủ quỹ, ban giám đốc - đây là lớp phòng vệ cơ bản nhưng hiệu quả nhất để ngăn kẻ gian chiếm quyền truy cập email.

Định kỳ đối chiếu số dư công nợ phải trả với sổ chi tiết đối tác, phát hiện sớm nếu có bất thường giữa số tiền công ty đã chuyển và số tiền đối tác xác nhận đã nhận.

Xây dựng danh sách thông tin tài khoản ngân hàng của các đối tác thường xuyên giao dịch, lưu trữ tập trung và chỉ cập nhật khi có xác minh đầy đủ theo quy trình trên - không cập nhật chỉ dựa trên một email đơn lẻ.

Khi phát hiện đã chuyển nhầm tiền cho tài khoản lừa đảo, cần lập tức liên hệ ngân hàng chuyển tiền để yêu cầu tra soát, phong tỏa khẩn cấp (thời gian phản ứng trong vài giờ đầu quyết định khả năng thu hồi được tiền hay không), đồng thời trình báo cơ quan công an và lưu giữ toàn bộ email, chứng từ liên quan làm bằng chứng.

Kết luận

Lừa đảo email giả mạo đối tác không đòi hỏi kẻ gian phải có kỹ thuật cao siêu, mà khai thác đúng vào điểm yếu quy trình: sự tin tưởng vào một kênh liên lạc quen thuộc và áp lực xử lý nhanh của bộ phận kế toán. Giải pháp không nằm ở việc yêu cầu nhân viên "cẩn thận hơn", mà ở việc thiết lập quy trình xác minh độc lập bắt buộc cho mọi thay đổi thông tin thanh toán, kết hợp với các biện pháp kỹ thuật cơ bản như MFA và nguyên tắc bốn mắt. Với giá trị các khoản thanh toán doanh nghiệp ngày càng lớn, chi phí xây dựng quy trình kiểm soát này gần như không đáng kể so với rủi ro mất trắng một khoản tiền chỉ vì thiếu một cuộc gọi xác minh.