Nội dung bài viết
Một email từ “nhà cung cấp quen” báo đổi số tài khoản, đúng giọng văn, đúng chữ ký, kèm hoá đơn thật. Kế toán chuyển tiền, và vài tuần sau mới biết tiền đã vào tay kẻ gian. Đó là kịch bản lừa đảo email thanh toán (Business Email Compromise – BEC). Bài viết của ACCA Consulting Vietnam giúp chủ doanh nghiệp và CFO hiểu cách kẻ gian hoạt động và dựng quy trình xác minh đơn giản.
1. Lừa đảo email thanh toán hoạt động thế nào?
Kẻ gian thường không “hack” ngân hàng. Họ chiếm hoặc giả mạo hộp thư của một bên trong giao dịch, đọc lén trao đổi trong nhiều tuần, rồi chen vào đúng lúc sắp thanh toán. Email giả mạo có thể đến từ tên miền gần giống (đổi một chữ cái), hoặc từ chính hộp thư thật đã bị chiếm.
| Kịch bản | Nội dung email | Điểm đáng ngờ |
|---|---|---|
| Nhà cung cấp đổi tài khoản | “Tài khoản cũ đang kiểm toán, vui lòng chuyển vào tài khoản mới” | Tài khoản mới ở ngân hàng khác, tên chủ tài khoản khác pháp nhân |
| Giám đốc ra lệnh gấp | “Anh đang họp, em chuyển ngay khoản đặt cọc này, đừng gọi” | Gấp, bí mật, né kênh xác minh thông thường |
| Đối tác nước ngoài | “Công ty mẹ yêu cầu thanh toán qua tài khoản chi nhánh” | Quốc gia nhận tiền khác nơi đối tác hoạt động |
| Giả mạo luật sư, kiểm toán | “Giao dịch mật liên quan thương vụ, cần chuyển tiền ký quỹ” | Viện dẫn bảo mật để không cho kiểm tra |
Điểm chung của mọi kịch bản: yêu cầu thay đổi thông tin thanh toán kèm áp lực thời gian. Chỉ cần quy trình chặn đúng hai điểm này, phần lớn rủi ro bị loại bỏ.
2. Quy trình xác minh 2 kênh khi đổi thông tin thanh toán
Nguyên tắc cốt lõi: mọi thay đổi thông tin nhận tiền phải được xác nhận qua một kênh thứ hai độc lập với kênh nhận yêu cầu. Nếu yêu cầu đến bằng email, xác minh bằng điện thoại tới số đã lưu trong hồ sơ từ trước, tuyệt đối không dùng số trong email mới.
- 1Tiếp nhận
Ghi nhận yêu cầu đổi tài khoản, chưa cập nhật vào hệ thống.
- 2Gọi kênh thứ hai
Gọi người liên hệ quen qua số điện thoại có trong hợp đồng hoặc hồ sơ cũ.
- 3Đối chiếu văn bản
Yêu cầu công văn có dấu, chữ ký người có thẩm quyền; tài khoản đứng tên đúng pháp nhân.
- 4Phê duyệt độc lập
Người thứ hai (kế toán trưởng) duyệt thay đổi trong danh mục nhà cung cấp.
- 5Chuyển thử
Với khoản lớn, có thể chuyển một khoản nhỏ và xác nhận trước khi chuyển toàn bộ.
3. Chi phí xác minh nhỏ hơn nhiều so với rủi ro
Nhiều kế toán ngại gọi điện vì sợ làm phiền đối tác hoặc chậm thanh toán. Hãy nhìn vào tương quan dưới đây.
Ví dụ minh hoạ: thêm khoảng 15 phút cho mỗi lần đổi tài khoản, trong khi một khoản chuyển nhầm cho kẻ gian rất khó thu hồi.
Xem dạng bảng
| Không xác minh | Xác minh 2 kênh | |
|---|---|---|
| Đọc email, cập nhật | 5 phút | 5 phút |
| Gọi điện xác nhận | 0 phút | 10 phút |
| Duyệt thay đổi | 0 phút | 5 phút |
Ngoài ra, báo trước với nhà cung cấp rằng doanh nghiệp bạn luôn gọi xác minh khi đổi tài khoản. Đối tác nghiêm túc sẽ đánh giá cao điều này.
4. Checklist chống lừa đảo cho phòng kế toán
- Kiểm tra kỹ địa chỉ email người gửi, không chỉ tên hiển thị
- Tài khoản nhận có khớp danh mục nhà cung cấp đã duyệt
- Tên chủ tài khoản trùng tên pháp nhân trên hoá đơn
- Mọi yêu cầu gấp, bí mật, né quy trình đều phải báo cấp trên
- Không mở tệp đính kèm, đường link lạ trong email yêu cầu thanh toán
- Hộp thư doanh nghiệp đã bật xác thực hai lớp
- Ngân hàng điện tử phân quyền người lập và người duyệt lệnh tách biệt
5. Nếu đã lỡ chuyển tiền cho kẻ gian
- Liên hệ ngay ngân hàng chuyển và đề nghị phối hợp với ngân hàng nhận để phong toả nếu còn kịp.
- Trình báo cơ quan công an, giữ nguyên email, nhật ký đăng nhập, chứng từ.
- Đổi mật khẩu, rà soát hộp thư có bị cài chuyển tiếp thư tự động hay không.
- Thông báo cho đối tác thật để tránh bị lừa tiếp và thống nhất cách xử lý công nợ.
Về hạch toán khoản tổn thất, nên trao đổi với kế toán để xử lý theo quy định hiện hành. Đây cũng là lý do nên áp dụng phân chia trách nhiệm trong khâu thanh toán.
Câu hỏi thường gặp
Ngân hàng có hoàn lại tiền khi bị lừa qua email không?
Tuỳ từng trường hợp và thời điểm phát hiện. Lệnh chuyển do chính doanh nghiệp tạo nên việc thu hồi thường khó; báo ngân hàng càng sớm càng có cơ hội.
Doanh nghiệp nhỏ có bị nhắm tới không?
Có. Doanh nghiệp nhỏ thường ít quy trình xác minh nên càng dễ bị lợi dụng. Quy trình 2 kênh không tốn chi phí mà áp dụng được ngay.
Có nên dùng email miễn phí cho giao dịch với nhà cung cấp không?
Nên dùng email tên miền doanh nghiệp, bật xác thực hai lớp và cấu hình bảo mật tên miền. Email cá nhân miễn phí khó kiểm soát khi nhân sự nghỉ việc.
ACCA Consulting Vietnam có hỗ trợ kiểm soát thanh toán cho doanh nghiệp không?
ACCA hỗ trợ trong phạm vi kế toán: đối chiếu danh mục nhà cung cấp, công nợ phải trả, chứng từ thanh toán và đề xuất quy trình duyệt. Bảo mật hệ thống email, ngân hàng do doanh nghiệp và đơn vị công nghệ phụ trách.
Mỗi lệnh chuyển tiền cần một lớp kiểm tra
ACCA Consulting Vietnam (ACCA Consulting VN) cung cấp dịch vụ kế toán với đối chiếu công nợ, chứng từ thanh toán hằng tháng. Nhận tư vấn.
Nhận tư vấn miễn phíZaloWhatsApp
