Nội dung bài viết
Một email từ “nhà cung cấp quen” báo đã đổi ngân hàng, đề nghị chuyển tiền vào tài khoản mới. Chữ ký, logo, số hoá đơn đều đúng. Đây là kịch bản lừa đảo email doanh nghiệp (BEC – Business Email Compromise) mà phòng kế toán nào cũng có thể gặp. Bài viết này chia sẻ quy trình chặn 4 lớp mà đội ngũ ACCA Consulting Vietnam khuyến nghị cho khách hàng, kèm mẫu biểu, checklist và câu lệnh AI dùng an toàn.
1. Kịch bản lừa đảo email doanh nghiệp đổi số tài khoản
Kẻ gian thường không “hack” ngân hàng. Chúng nhắm vào khâu yếu nhất: con người và quy trình thanh toán. Một kịch bản điển hình diễn ra như sau:
- Kẻ gian chiếm được hộp thư của nhà cung cấp, hoặc đăng ký tên miền gần giống (ví dụ thay chữ l bằng số 1, thêm dấu gạch ngang).
- Chúng đọc lén thư trao đổi vài tuần để biết lịch thanh toán, số hoá đơn, tên người phụ trách.
- Đúng lúc sắp đến hạn trả tiền, chúng gửi thư “thông báo thay đổi tài khoản nhận tiền”, kèm công văn có dấu đỏ được scan.
- Thư thường tạo áp lực: “cần chuyển trong hôm nay để kịp giao hàng”, “tài khoản cũ đang bị phong toả”.
- Kế toán cập nhật số tài khoản mới vào danh mục, lập lệnh chi, giám đốc duyệt vì thấy đúng hoá đơn, đúng số tiền.
| Dấu hiệu | Ví dụ cụ thể | Mức cảnh báo |
|---|---|---|
| Địa chỉ gửi khác một ký tự | ketoan@abc-steel.vn thay vì ketoan@abcsteel.vn | Cao |
| Trả lời (Reply-To) về địa chỉ khác | Thư từ tên miền đúng nhưng trả lời về hộp thư miễn phí | Cao |
| Tên chủ tài khoản khác tên công ty | Tài khoản đứng tên cá nhân hoặc công ty khác | Rất cao |
| Ngân hàng, chi nhánh ở tỉnh xa hoặc nước ngoài | Nhà cung cấp ở TP.HCM nhưng tài khoản mở ở nơi khác | Trung bình |
| Tạo áp lực thời gian, yêu cầu giữ bí mật | “Đừng gọi điện, sếp đang họp, chuyển gấp” | Cao |
2. Quy trình chặn 4 lớp
Không có lớp nào hoàn hảo. Mục tiêu là xếp chồng các lớp để một sơ suất không biến thành tổn thất. Bốn lớp dưới đây không cần phần mềm đắt tiền, chủ yếu là kỷ luật quy trình.
- 1Lớp 1 – Xác minh độc lập
Gọi lại nhà cung cấp theo số điện thoại đã lưu trong hợp đồng/danh mục, tuyệt đối không dùng số trong email yêu cầu.
- 2Lớp 2 – Khoá danh mục tài khoản
Chỉ một người được sửa thông tin ngân hàng của nhà cung cấp, mọi thay đổi phải có phiếu đề nghị và bằng chứng xác minh.
- 3Lớp 3 – Duyệt 2 người
Lệnh chi tới tài khoản mới thay đổi trong 30 ngày phải có người thứ hai kiểm tra phiếu xác minh trước khi duyệt.
- 4Lớp 4 – Cảnh báo ngân hàng
Bật duyệt 2 cấp trên ngân hàng số, đặt hạn mức, và gọi ngay hotline ngân hàng khi nghi ngờ để yêu cầu phong toả.
Lớp 1: xác minh qua kênh độc lập
Nguyên tắc vàng: kênh xác minh không được nằm trong chính yêu cầu. Số điện thoại, đường link, tên người liên hệ trong email đều có thể là của kẻ gian. Hãy dùng số điện thoại đã lưu từ lúc ký hợp đồng, hỏi những câu chỉ người thật biết (số hợp đồng, lần giao hàng gần nhất), và ghi lại ai xác nhận, lúc mấy giờ.
Lớp 2: khoá danh mục tài khoản nhà cung cấp
Trong phần mềm kế toán và ngân hàng số, danh mục người thụ hưởng là “cửa chính”. Hãy giới hạn quyền sửa cho một vai trò, các người khác chỉ được xem. Xem thêm cách thiết lập ở bài phân quyền phần mềm kế toán.
3. Mẫu phiếu xác minh thay đổi tài khoản
Một phiếu đơn giản trên Excel hoặc biểu mẫu nội bộ là đủ. Điều quan trọng là phiếu bắt buộc phải có trước khi danh mục được sửa.
- Tên nhà cung cấp, mã nhà cung cấp trong phần mềm
- Tài khoản cũ và tài khoản mới (số, tên chủ tài khoản, ngân hàng)
- Kênh nhận yêu cầu (email, công văn, điện thoại) và ngày nhận
- Số điện thoại dùng để gọi xác minh, lấy từ hồ sơ hợp đồng
- Tên người bên nhà cung cấp xác nhận, thời điểm gọi
- Tên chủ tài khoản mới có trùng tên pháp nhân nhà cung cấp không
- Chữ ký người xác minh và người duyệt thứ hai
4. Dùng trợ lý AI hỗ trợ nhận diện email nghi vấn – an toàn
Trợ lý AI có thể giúp kế toán soát văn phong, liệt kê dấu hiệu đáng ngờ, soạn thư hỏi lại. Nhưng không dán nguyên email có số tài khoản, tên đối tác, số tiền thật lên công cụ AI công cộng. Hãy thay bằng ký hiệu trước khi hỏi.
| Mục đích | Câu lệnh gợi ý |
|---|---|
| Soát dấu hiệu lừa đảo | “Dưới đây là nội dung một email (đã thay tên công ty bằng [NCC-A], số tài khoản bằng [TK-MOI]). Hãy liệt kê các dấu hiệu có thể là email giả mạo yêu cầu đổi tài khoản, xếp theo mức độ.” |
| Soạn thư phản hồi | “Soạn email lịch sự trả lời [NCC-A] rằng công ty chỉ cập nhật tài khoản sau khi gọi xác minh qua số điện thoại trong hợp đồng.” |
| Rà quy trình | “Đây là quy trình thanh toán hiện tại [mô tả, không có dữ liệu thật]. Chỉ ra những điểm một email giả mạo có thể lọt qua.” |
5. Chi phí vận hành và tổn thất tránh được
Ví dụ minh hoạ: số phút giả định để so sánh; thời gian xử lý sự cố thực tế có thể kéo dài hơn nhiều.
Xem dạng bảng
| Không có quy trình | Có quy trình 4 lớp | |
|---|---|---|
| Đọc email, cập nhật danh mục | 5 phút | 5 phút |
| Gọi xác minh độc lập | 0 phút | 10 phút |
| Lập phiếu, duyệt 2 người | 0 phút | 10 phút |
| Xử lý khi bị lừa (truy vết, làm việc ngân hàng) | 600 phút | 0 phút |
Với doanh nghiệp nhận khoảng 2–3 yêu cầu đổi tài khoản mỗi năm (ví dụ minh hoạ), quy trình 4 lớp chỉ tốn thêm khoảng 1 giờ làm việc mỗi năm. Trong khi một khoản chi nhầm có thể bằng tiền hàng của cả tháng.
Theo kinh nghiệm của ACCA Consulting Vietnam, phần khó nhất không phải là thiết kế quy trình mà là giữ kỷ luật khi bị hối thúc. Hãy ghi rõ trong quy chế: không ai, kể cả giám đốc, được yêu cầu bỏ qua bước xác minh.
Câu hỏi thường gặp
Email có chữ ký số, công văn có dấu đỏ thì có tin được không?
Không nên coi đó là bằng chứng đủ. Bản scan công văn rất dễ làm giả, và hộp thư thật cũng có thể bị chiếm quyền. Luôn gọi xác minh qua số điện thoại đã lưu từ trước.
Doanh nghiệp nhỏ chỉ có 1 kế toán thì duyệt 2 người thế nào?
Người thứ hai có thể là giám đốc hoặc chủ doanh nghiệp. Họ chỉ cần kiểm tra phiếu xác minh đã đầy đủ chưa trước khi duyệt lệnh chi trên ngân hàng số.
Có nên dán email nghi ngờ lên ChatGPT để hỏi không?
Chỉ nên hỏi sau khi đã xoá hoặc thay thế tên đối tác, số tài khoản, số tiền, thông tin cá nhân. Không đưa dữ liệu nhạy cảm lên công cụ AI công cộng.
ACCA Consulting Vietnam có hỗ trợ xây dựng quy trình kiểm soát thanh toán không?
Có. Trong phạm vi dịch vụ kế toán, ACCA có thể rà soát quy trình chi tiền, gợi ý mẫu phiếu xác minh và phân quyền; việc cấu hình ngân hàng số doanh nghiệp vẫn thực hiện cùng ngân hàng của bạn.
Chặn lừa đảo email trước khi tiền rời tài khoản
ACCA Consulting Vietnam (ACCA Consulting VN) đồng hành cùng doanh nghiệp xây quy trình thanh toán an toàn, minh bạch trong gói dịch vụ kế toán trọn gói.
Nhận tư vấn miễn phíZaloWhatsApp
