Để bảo vệ doanh nghiệp nhỏ khỏi lừa đảo, bạn không nhất thiết phải bắt đầu bằng hệ thống an ninh mạng đắt tiền. Biện pháp hiệu quả nhất thường là một quy trình bắt buộc: dừng lại khi nhận yêu cầu bất thường, kiểm tra người gửi qua kênh độc lập, xác minh thông tin thanh toán và lưu lại bằng chứng trước khi phê duyệt.
Lừa đảo giả danh thường đánh vào thói quen và áp lực thời gian. Kẻ gian có thể đóng vai giám đốc, nhà cung cấp, khách hàng hoặc cơ quan chức năng, rồi yêu cầu đổi tài khoản nhận tiền, gửi bảng lương, cung cấp mã đăng nhập hoặc thanh toán ngay. Các hướng dẫn dành cho doanh nghiệp nhỏ của Ủy ban Thương mại Liên bang Hoa Kỳ (FTC) cũng cảnh báo rằng sự khẩn cấp, đe dọa và yêu cầu thanh toán theo cách bất thường là những dấu hiệu quan trọng cần kiểm tra.
Vì sao lừa đảo giả danh dễ qua mặt doanh nghiệp nhỏ?
Doanh nghiệp nhỏ thường có ít lớp phê duyệt, nhân sự kiêm nhiệm nhiều vai trò và phụ thuộc vào email để trao đổi với khách hàng, nhà cung cấp. Chỉ một nhân viên được quyền thanh toán hoặc quản trị hộp thư bị thuyết phục cũng có thể tạo ra thiệt hại lớn.
Kẻ gian không nhất thiết phải chiếm được toàn bộ tài khoản email. Chúng có thể dùng tên hiển thị giống lãnh đạo, tạo tên miền gần giống tên công ty hoặc chiếm tài khoản của một đối tác rồi gửi yêu cầu hợp lý trong đúng chuỗi trao đổi. Vì vậy, nhìn thấy tên người quen ở phần người gửi chưa đủ để kết luận email an toàn.
- Yêu cầu chuyển tiền gấp: “Thực hiện trong 30 phút”, “không gọi lại” hoặc “đang họp nên chỉ nhắn email”.
- Thay đổi thông tin thanh toán: đổi số tài khoản, ngân hàng, người thụ hưởng hoặc địa chỉ nhận hóa đơn.
- Yêu cầu bảo mật bất thường: đề nghị không báo cho kế toán, không hỏi lại quản lý hoặc dùng tài khoản cá nhân.
- Liên kết và tệp đính kèm đáng ngờ: yêu cầu đăng nhập, mở hóa đơn, cập nhật mật khẩu hoặc tải ứng dụng.
- Ngữ cảnh gần đúng nhưng không hoàn hảo: chữ ký quen thuộc nhưng cách viết, thời điểm hoặc số tiền khác với thông lệ.
Nguyên tắc thực tế là: yêu cầu càng gấp, càng cần kiểm tra qua kênh khác. Đừng để người đang yêu cầu tự quyết định cách xác minh danh tính của họ.
Quy trình bốn bước để xác minh email và thanh toán
1. Dừng thao tác và phân loại yêu cầu
Nhân viên nhận email hoặc tin nhắn phải tạm dừng trước khi bấm liên kết, trả lời, tải tệp hoặc chuyển tiền. Hãy phân loại yêu cầu vào một trong ba nhóm: truy cập tài khoản, thay đổi thông tin thanh toán hoặc cung cấp dữ liệu nhạy cảm. Cả ba nhóm đều cần xác minh bổ sung.
Một câu trả lời nội bộ ngắn có thể là: “Tôi sẽ kiểm tra theo quy trình trước khi thực hiện.” Câu này giúp nhân viên có lý do chính thức để không làm theo áp lực của người gửi.
2. Kiểm tra danh tính qua kênh độc lập
Không gọi số điện thoại, không dùng liên kết và không trả lời trực tiếp thông tin liên hệ được cung cấp trong email đáng ngờ. Hãy tìm số điện thoại trên hợp đồng, hồ sơ nhà cung cấp, website chính thức hoặc hệ thống quản lý khách hàng. Sau đó, gọi để xác nhận người gửi, nội dung yêu cầu, số tiền và thời hạn.
Đối với yêu cầu từ lãnh đạo, hãy gọi bằng số đã lưu từ trước hoặc xác nhận trực tiếp tại văn phòng. Đối với nhà cung cấp, gọi số chính thức của doanh nghiệp và hỏi lại cả người phụ trách cũ nếu thông tin ngân hàng đột ngột thay đổi. Đây là biện pháp được Trung tâm Khiếu nại Tội phạm Internet (IC3) khuyến nghị cho các giao dịch và thay đổi thanh toán.
3. Đối chiếu thông tin trước khi phê duyệt
Kế toán hoặc người phê duyệt nên đối chiếu ít nhất bốn yếu tố:
- Tên pháp lý của bên nhận tiền.
- Số tài khoản và tên ngân hàng đã có trong hồ sơ.
- Số hợp đồng, đơn đặt hàng hoặc biên bản nghiệm thu.
- Số tiền, thời hạn và lý do thay đổi nếu có.
Nếu tài khoản ngân hàng mới xuất hiện, hãy áp dụng quy tắc “hai người kiểm tra”: một người tiếp nhận và một người xác minh độc lập. Với khoản tiền lớn hoặc giao dịch quốc tế, nên yêu cầu phê duyệt bằng văn bản trong hệ thống nội bộ, không chỉ bằng tin nhắn riêng.
Nếu doanh nghiệp thường xuyên nhận hoặc gửi tiền quốc tế, bạn có thể tham khảo thêm hướng dẫn thanh toán xuyên biên giới và chống gian lận để bổ sung bước kiểm tra tỷ giá, phí và thông tin người thụ hưởng.
4. Lưu bằng chứng và ghi nhận kết quả
Ghi lại thời gian xác minh, người đã gọi, số điện thoại đã sử dụng, kết quả đối chiếu và người phê duyệt. Nếu yêu cầu hợp lệ, hồ sơ này giúp kiểm toán và xử lý tranh chấp. Nếu đáng ngờ, bằng chứng giúp nhà cung cấp email, ngân hàng hoặc cơ quan chức năng điều tra nhanh hơn.
Thiết lập nền tảng an toàn email doanh nghiệp
Quy trình con người cần đi cùng kiểm soát kỹ thuật. Trước hết, hãy bật xác thực đa yếu tố (MFA) cho email, lưu trữ tệp, ngân hàng trực tuyến, phần mềm kế toán và tài khoản quản trị. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) khuyến nghị ưu tiên phương thức chống lừa đảo như khóa bảo mật hoặc ứng dụng xác thực; mã SMS chỉ nên là lựa chọn dự phòng khi không có phương án tốt hơn.
- Dùng tài khoản riêng cho từng nhân viên, không dùng chung hộp thư hoặc mật khẩu.
- Thu hồi ngay quyền truy cập của nhân viên nghỉ việc và nhà cung cấp không còn hợp tác.
- Dùng trình quản lý mật khẩu và cấm tái sử dụng mật khẩu giữa email, ngân hàng và phần mềm kế toán.
- Kiểm tra các quy tắc tự động chuyển tiếp email ra địa chỉ bên ngoài.
- Hiển thị cảnh báo với thư đến từ bên ngoài tổ chức nếu nền tảng email hỗ trợ.
- Cập nhật hệ điều hành, trình duyệt, phần mềm kế toán và thiết bị định tuyến.
Hãy thử gửi email kiểm tra nội bộ để xác nhận nhân viên có nhìn thấy đầy đủ địa chỉ người gửi, tên miền và cảnh báo bên ngoài hay không. Tên hiển thị “Nguyễn Văn A” không có giá trị bằng địa chỉ đầy đủ phía sau tên đó. Một tên miền như cong-tyabc.com có thể khác hoàn toàn với tên miền chính thức congtyabc.com.
Quyền hạn cũng cần được thiết kế theo nguyên tắc tối thiểu: người nhập lệnh thanh toán không đồng thời là người duyệt cuối cùng. Nếu doanh nghiệp đang sử dụng công cụ tự động hoặc AI để hỗ trợ vận hành, nên tách quyền đề xuất, phê duyệt và ghi nhật ký theo quy trình quản trị quyền hạn và phê duyệt.
Áp dụng NIST CSF 2.0 và xử lý khi đã bấm nhầm
NIST CSF 2.0 là khung quản trị rủi ro, không phải một phần mềm cụ thể. Phiên bản 2.0 tổ chức hoạt động an ninh mạng thành sáu chức năng: Govern, Identify, Protect, Detect, Respond và Recover. Khung này có thể áp dụng cho tổ chức ở mọi quy mô và không bắt buộc doanh nghiệp phải triển khai một bộ công cụ cố định (theo NIST).
Với lừa đảo giả danh, doanh nghiệp nhỏ có thể chuyển thành checklist ngắn:
- Govern – Quản trị: ban hành quy tắc bắt buộc xác minh thay đổi tài khoản và khoản thanh toán bất thường.
- Identify – Nhận diện: lập danh sách tài khoản email, người có quyền thanh toán, nhà cung cấp và dữ liệu quan trọng.
- Protect – Bảo vệ: bật MFA, mật khẩu riêng, phân quyền tối thiểu và đào tạo nhận diện lừa đảo.
- Detect – Phát hiện: theo dõi đăng nhập lạ, quy tắc chuyển tiếp mới, hóa đơn trùng hoặc thay đổi người thụ hưởng.
- Respond – Ứng phó: khóa phiên đăng nhập, đổi mật khẩu, báo ngân hàng và thông báo người phụ trách.
- Recover – Khôi phục: khôi phục dữ liệu, rà soát giao dịch và cập nhật quy trình sau sự cố.
Nếu đã bấm vào liên kết đáng ngờ, không tiếp tục nhập thông tin. Ngắt kết nối thiết bị nếu nghi ngờ mã độc, báo ngay cho người phụ trách, đổi mật khẩu từ một thiết bị sạch và thu hồi các phiên đăng nhập. Nếu đã chuyển tiền, liên hệ ngân hàng ngay để yêu cầu hỗ trợ thu hồi hoặc phong tỏa giao dịch; đồng thời lưu email, tiêu đề thư, số tài khoản, thời gian và lịch sử trao đổi.
Trong 30 ngày đầu, doanh nghiệp có thể kiểm tra kết quả bằng ba câu hỏi: mọi tài khoản quan trọng đã bật MFA chưa, mọi thay đổi thanh toán có bằng chứng gọi xác minh chưa, và nhân viên có biết báo cáo sự cố ở đâu chưa? Nếu một câu trả lời là “chưa”, đó là ưu tiên tiếp theo.
Kết luận: Cách thiết thực nhất để bảo vệ doanh nghiệp nhỏ khỏi lừa đảo là biến việc xác minh thành điều kiện trước khi thanh toán, không phụ thuộc vào trí nhớ hay sự cảnh giác của một cá nhân. Một cuộc gọi đến số chính thức, một người kiểm tra thứ hai và một nhật ký phê duyệt có thể ngăn chặn nhiều tình huống giả danh trước khi tiền hoặc dữ liệu rời khỏi doanh nghiệp.
Nguồn tham khảo
