Kẻ gian có thể giả giọng nói, giả văn phong, thậm chí giả hình ảnh của giám đốc hay của đối tác quen để ra lệnh chuyển tiền gấp. Doanh nghiệp không phòng bằng cách luyện tai cho kế toán, mà bằng quy trình: mọi lệnh chuyển tiền bất thường phải được xác minh qua một kênh khác với kênh nhận lệnh, khoản lớn phải có hai người duyệt, và không ai bị trách vì làm chậm một lệnh để kiểm tra.
Kiểu lừa giả danh lãnh đạo đã có từ trước khi có AI, chủ yếu qua thư điện tử. AI làm nó thuyết phục hơn ở hai chỗ: thư viết đúng giọng người thật, và cuộc gọi kèm theo nghe giống giọng người thật. Phần lõi của kịch bản thì vẫn vậy, nên quy trình đúng vẫn chặn được.
Một vụ lệnh chuyển tiền giả thường diễn ra thế nào?
Kịch bản quen thuộc bắt đầu bằng một tin nhắn hay thư nhân danh giám đốc gửi cho kế toán: công ty đang có thương vụ quan trọng, cần chuyển một khoản đặt cọc ngay trong chiều nay, chuyện còn bí mật nên đừng trao đổi với ai. Thư viết đúng cách xưng hô thường ngày, nhắc tên một dự án có thật.
Nếu kế toán còn chần chừ, một cuộc gọi tới, giọng nghe giống giám đốc, nói ngắn, giục gấp, viện cớ đang trong cuộc họp hoặc đang ở sân bay. Có khi là cuộc gọi video vài giây, hình ảnh mờ, rồi "mất sóng" chuyển sang nhắn tin.
Một biến thể khác nhắm vào khâu thanh toán cho đối tác. Kẻ gian chiếm được hoặc giả được hộp thư của nhà cung cấp, gửi thư báo đổi số tài khoản nhận tiền cho các hoá đơn sắp tới. Thư có đủ logo, chữ ký, văn phong quen, đôi khi trả lời đúng vào chuỗi thư cũ.
Thời điểm thường được chọn kỹ: chiều thứ sáu, sát kỳ nghỉ lễ, lúc lãnh đạo đi công tác thật. Mục tiêu là người có quyền thao tác chuyển tiền nhưng không có thói quen hoặc không dám gọi lại hỏi sếp.
Dấu hiệu đáng ngờ trong một lệnh chuyển tiền
Gấp bất thường. Khoản tiền phải chuyển ngay trong vài giờ, không kịp làm theo quy trình thường lệ.
Đòi giữ bí mật. Dặn không trao đổi với trưởng phòng, với người cùng duyệt, với ai khác trong công ty.
Đi vòng quy trình. Yêu cầu bỏ qua bước duyệt, bỏ qua chứng từ, "hồ sơ bổ sung sau".
Tài khoản nhận mới. Người nhận chưa từng giao dịch, hoặc đối tác cũ báo đổi tài khoản.
Kênh liên lạc lạ. Lệnh tới từ số điện thoại mới, tài khoản nhắn tin mới, địa chỉ thư gần giống địa chỉ thật.
Người ra lệnh "không gọi được". Viện cớ đang họp, đang bay, chỉ nhắn tin được; né mọi cuộc gọi lại.
Cuộc gọi ngắn, chất lượng kém. Giọng giống nhưng nói rất ít, ồn, ngắt quãng, rồi chuyển sang nhắn tin.
Khác thói quen của người thật. Sếp thường gọi bằng tên thì nay gọi "chị", thường dặn qua trợ lý thì nay nhắn thẳng.
Lý do khó kiểm. Thương vụ bí mật, phí pháp lý ở nước ngoài, khoản đặt cọc cho đối tác mới.
Số tiền vừa dưới ngưỡng duyệt. Kẻ gian có hiểu biết nội bộ đôi khi chọn số tiền vừa đủ để chỉ cần một người duyệt.
Áp lực cảm xúc. Khen ngợi, tin tưởng, hoặc doạ mất hợp đồng nếu chậm trễ.
Vì sao quy trình thắng mọi công cụ phát hiện
Có những phần mềm hứa nhận ra giọng giả, hình giả. Chúng có ích như một lớp bổ sung, nhưng không nên là lớp chính. Công cụ phát hiện và công cụ giả mạo chạy đua với nhau, và qua đường điện thoại chất lượng thấp thì việc phân biệt càng khó.
Quy trình xác minh không cần biết giọng thật hay giả. Nguyên tắc rất đơn giản: lệnh tới qua kênh nào thì xác minh qua kênh khác, bằng thông tin liên lạc đã lưu từ trước. Nhận tin nhắn thì gọi vào số đã lưu trong danh bạ công ty; nhận thư đối tác báo đổi tài khoản thì gọi cho người phụ trách bên đó bằng số trong hợp đồng, không dùng số ghi trong thư.
Điểm khó nhất không nằm ở kỹ thuật mà ở văn hoá. Ở nhiều công ty, nhân viên ngại gọi lại hỏi giám đốc, sợ bị cho là chậm hay không tin sếp. Kẻ gian dựa đúng vào nỗi ngại đó. Vì vậy chính giám đốc phải nói rõ, nói nhiều lần, có văn bản: "Gọi lại để kiểm tra lệnh chuyển tiền của giám đốc là làm đúng, không ai bị trách vì việc đó". Nhân viên cần nghe câu đó từ chính sếp.
Ở một công ty vừa và nhỏ tại Biên Hoà, nơi kế toán kiêm luôn thủ quỹ và giám đốc hay đi công tác, quy trình này có thể chỉ là một tờ giấy dán cạnh máy tính: ba câu hỏi phải trả lời trước mọi khoản chuyển bất thường. Đơn giản, nhưng đủ để vỡ kịch bản.
Bộ quy tắc chống lệnh chuyển tiền giả cho doanh nghiệp
Xác minh qua kênh thứ hai. Mọi lệnh bất thường đều gọi lại vào số đã lưu từ trước, không dùng số hay địa chỉ trong chính tin nhắn ra lệnh.
Hai người duyệt cho khoản lớn. Đặt ngưỡng số tiền mà trên đó luôn cần hai người, và không có ngoại lệ "vì gấp".
Đổi tài khoản nhận tiền phải xác nhận riêng. Đối tác báo đổi tài khoản thì gọi xác nhận bằng số trong hợp đồng, có người thứ hai ký duyệt thay đổi.
Câu hỏi xác minh nội bộ. Lãnh đạo và kế toán thống nhất một câu hỏi hoặc mã riêng cho các lệnh khẩn qua điện thoại.
Không có lệnh chuyển tiền "bí mật". Quy định rõ: mọi khoản chi đều có ít nhất một người khác biết, kể cả thương vụ nhạy cảm.
Thời gian chờ cho tài khoản mới. Khoản đầu tiên chuyển tới người nhận mới phải qua thêm một bước kiểm, dù làm chậm vài giờ.
Lãnh đạo cam kết bằng văn bản. Không trách nhân viên làm chậm lệnh để xác minh; khen người phát hiện lệnh giả.
Đào tạo theo kịch bản thật. Diễn tập vài lần một năm với kịch bản giả lập, không phải bài giảng lý thuyết.
Kiểm soát tên miền thư giả. Bộ phận kỹ thuật cấu hình xác thực thư điện tử và cảnh báo thư từ địa chỉ bên ngoài gần giống địa chỉ công ty.
Hạn chế thông tin công khai về quy trình. Ai duyệt chi, lịch công tác của lãnh đạo không nên đăng lên mạng xã hội.
Ghi nhật ký mọi lệnh khẩn. Ai yêu cầu, qua kênh nào, ai xác minh, lúc mấy giờ; giúp truy vết khi có sự cố.
Làm việc với ngân hàng. Tìm hiểu các tính năng giới hạn giao dịch, xác nhận hai lớp cho tài khoản doanh nghiệp mà ngân hàng có cung cấp.
Khi đang nghi ngờ hoặc đã lỡ chuyển tiền
Dừng lại, không chuyển thêm. Kẻ gian thường đòi chuyển khoản thứ hai ngay sau khoản đầu.
Gọi ngay ngân hàng chuyển tiền. Báo giao dịch nghi lừa đảo qua tổng đài chính thức, càng sớm càng có cơ hội xử lý.
Báo lãnh đạo thật qua kênh đã biết. Xác nhận lãnh đạo không hề ra lệnh, để cả công ty cùng xử lý.
Báo cơ quan công an. Kèm đầy đủ thông tin giao dịch, tin nhắn, thư, lịch sử cuộc gọi.
Giữ nguyên bằng chứng. Không xoá thư, tin nhắn; xuất toàn bộ chuỗi thư gốc, chụp màn hình có thời gian.
Báo cho đối tác bị giả danh. Nếu kẻ gian giả đối tác, bên đó có thể đang bị chiếm hộp thư và cần xử lý ngay.
Đổi mật khẩu và kiểm tra hộp thư. Xem có quy tắc chuyển tiếp thư lạ, đăng nhập lạ không.
Rà các khoản đang chờ. Kiểm lại các lệnh chuyển tiền khác đang trong hàng đợi trong cùng thời gian.
Không đổ lỗi cho người bị lừa. Đổ lỗi khiến lần sau người khác giấu sự cố, làm mất những giờ đầu quý giá.
Rút kinh nghiệm thành quy trình. Tìm khâu nào bị vượt qua và sửa khâu đó, thay vì chỉ nhắc nhở chung chung.
Cảnh giác lời hứa lấy lại tiền. Người lạ liên hệ nhận "thu hồi tiền bị lừa" kèm phí thường là một vụ lừa tiếp theo.
Câu hỏi thường gặp
Doanh nghiệp nhỏ vài chục người có cần quy trình này không?
Rất cần, vì ở công ty nhỏ một người thường vừa nhận lệnh vừa chuyển tiền, không có ai kiểm lại. Chỉ cần ba quy tắc: gọi lại số đã lưu, khoản lớn hai người duyệt, đổi tài khoản đối tác phải xác nhận riêng.
Giọng giám đốc có trên video công khai thì có nguy hiểm hơn không?
Có làm việc giả giọng dễ hơn, nhưng lãnh đạo khó tránh xuất hiện trước công chúng. Vì vậy đừng trông vào việc giấu giọng; trông vào quy trình xác minh, vốn không phụ thuộc giọng thật hay giả.
Ngân hàng có chịu trách nhiệm khi doanh nghiệp tự chuyển tiền cho kẻ lừa đảo không?
Việc này tuỳ từng trường hợp và quy định cụ thể, bài này không đưa ra kết luận pháp lý. Điều chắc chắn là báo ngân hàng càng sớm thì cơ hội xử lý càng cao.
Có nên dùng mã bí mật giữa giám đốc và kế toán không?
Có thể, như một lớp bổ sung cho lệnh khẩn qua điện thoại. Mã phải được thống nhất trực tiếp, không gửi qua tin nhắn hay thư, và thay định kỳ hoặc khi có người nghỉ việc.
Kẻ gian biết thông tin nội bộ từ đâu?
Từ trang web công ty, mạng xã hội của nhân viên, thư bị đọc trộm khi một hộp thư bị chiếm, hoặc từ những cuộc gọi dò hỏi trước đó. Hạn chế công khai lịch trình và cơ cấu duyệt chi giúp giảm rủi ro.
