Cách chặn email giả mạo giám đốc hiệu quả nhất không nằm ở việc nhận ra thư giả, mà ở một quy tắc ai cũng phải làm: mọi yêu cầu chuyển tiền ngoài lệ đều được gọi lại cho người yêu cầu qua số điện thoại đã lưu từ trước, và khoản lớn cần hai người duyệt. Khi quy tắc đó cứng, thư giả viết hay đến đâu cũng không lấy được tiền.
Kiểu lừa này đã có từ lâu, nhưng AI làm nó khó nhận ra hơn: thư viết đúng giọng sếp, không lỗi chính tả, có khi kèm tin nhắn thoại giả giọng. Bài này dành cho chủ doanh nghiệp và kế toán ở công ty nhỏ, nơi một người thường vừa nhận lệnh vừa bấm chuyển khoản, và cũng là nơi kẻ gian thích nhắm vào nhất.
Một kịch bản điển hình ở công ty nhỏ (ví dụ giả định)
Chiều thứ Sáu, giám đốc một công ty phân phối thiết bị khoảng hai mươi người đang trên đường ra sân bay đi công tác. Kế toán nhận được email từ địa chỉ trông như của giám đốc, nội dung ngắn: công ty đang chốt một lô hàng gấp với đối tác mới, cần đặt cọc trước năm giờ chiều để giữ giá, giám đốc đang bận họp không nghe máy được, nhờ chị chuyển giúp và giữ kín vì thương vụ chưa công bố. Thư kèm số tài khoản và một tệp hợp đồng có đóng dấu.
Mười phút sau, kế toán nhận thêm một tin nhắn thoại qua ứng dụng nhắn tin, giọng rất giống giám đốc: "Em chuyển giúp anh khoản kia nhé, anh lên máy bay rồi." Mọi chi tiết đều khớp với điều kế toán biết: sếp đúng là đi công tác, công ty đúng là đang tìm đối tác mới. Kẻ gian biết được nhờ đọc bài đăng công khai trên trang cá nhân của giám đốc và trang tuyển dụng của công ty.
Câu chuyện này có ba yếu tố lặp lại ở hầu hết các vụ: gấp, bí mật, và người ra lệnh không liên lạc được. Đó là ba thứ được thiết kế để bạn không làm bước kiểm tra. Nhận ra ba yếu tố này quan trọng hơn soi từng chữ trong địa chỉ email.
Vì sao AI làm kiểu lừa này khó nhận ra hơn
Văn phong không còn lỗi. Trước đây thư lừa hay sai chính tả, dùng từ lạ, xưng hô lệch. Giờ kẻ gian chỉ cần đưa vài bài đăng của giám đốc cho một công cụ AI là có thư đúng cách xưng hô, đúng câu cửa miệng. Đừng coi "thư viết chuẩn" là dấu hiệu thư thật.
Giọng nói có thể giả từ vài chục giây ghi âm. Video phát biểu, buổi phát trực tiếp bán hàng, tin nhắn thoại cũ bị lộ đều là nguyên liệu. Giọng giả thường hơi đều, ít ngắt nghỉ tự nhiên, nhưng qua tin nhắn thoại ngắn hay cuộc gọi chất lượng kém thì rất khó phân biệt.
Thông tin nền được thu thập tự động. Tên kế toán, lịch công tác, tên đối tác thường được ghép từ trang tuyển dụng, bài đăng mạng xã hội, thông báo trúng thầu. Công cụ tự động giúp kẻ gian làm việc này với hàng trăm công ty cùng lúc, nên công ty nhỏ không còn "quá nhỏ để bị nhắm".
Hộp thư thật có thể đã bị chiếm. Trường hợp nguy hiểm nhất là thư gửi đi từ chính hộp thư thật của giám đốc, vì kẻ gian đã lấy được mật khẩu. Khi đó mọi cách soi địa chỉ đều vô dụng; chỉ quy trình gọi lại mới chặn được.
Dấu hiệu trong chính bức thư hoặc tin nhắn
Dù quy trình mới là lá chắn chính, bạn vẫn nên dạy kế toán và trợ lý nhận ra những dấu hiệu sau. Gặp một dấu hiệu là dừng lại, gặp hai là gần như chắc chắn có vấn đề.
- Địa chỉ gửi gần giống thật: thêm một chữ cái, đổi đuôi tên miền, hoặc dùng hộp thư miễn phí với tên hiển thị là tên giám đốc.
- Địa chỉ trả lời khác địa chỉ gửi — khi bấm trả lời, thư đi đến một hộp thư lạ.
- Yêu cầu giữ bí mật với người khác trong công ty, kể cả với trưởng phòng.
- Hạn chót rất gần, thường vào cuối ngày, cuối tuần hoặc trước kỳ nghỉ.
- Số tài khoản nhận là của cá nhân hoặc của công ty chưa từng giao dịch, ngân hàng ở nơi không liên quan.
- Người yêu cầu nói đang bận, đang họp, sắp lên máy bay, chỉ nhắn được không gọi được.
- Đề nghị chuyển sang kênh nhắn tin khác ngoài kênh công ty vẫn dùng.
Một điều nên nói rõ với nhân viên: giám đốc thật sẽ không bao giờ trách người gọi lại để xác minh. Nếu chủ doanh nghiệp tự nói câu này trước toàn công ty, kế toán sẽ không ngại làm bước kiểm tra kể cả khi sếp đang thật sự bận.
Quy tắc gọi lại qua kênh đã biết trước
Đây là trái tim của quy trình. Nó đơn giản đến mức nhiều công ty xem nhẹ, nhưng chặn được gần như mọi biến thể của kiểu lừa này.
- Lập danh bạ xác minh: số điện thoại của giám đốc, phó giám đốc, kế toán trưởng và các nhà cung cấp chính, ghi trên giấy hoặc trong danh bạ máy bàn, cập nhật khi có thay đổi qua gặp trực tiếp.
- Khi nhận yêu cầu chuyển tiền bất thường qua bất kỳ kênh nào, không trả lời trên chính kênh đó để xác minh.
- Tự gọi vào số trong danh bạ xác minh, không gọi số ghi trong thư hay tin nhắn.
- Hỏi một câu mà chỉ người thật biết và không có trên mạng, ví dụ khoản chi này đã bàn trong buổi họp nào.
- Nếu không gọi được, khoản tiền chờ. Ghi rõ trong quy trình: không liên lạc được người ra lệnh thì không chuyển, dù hạn chót là gì.
- Ghi lại thời gian, người gọi, người xác nhận vào sổ duyệt chi.
Với tin nhắn thoại hoặc cuộc gọi video nghi giả giọng, giả mặt, quy tắc vẫn y nguyên: cúp máy, tự gọi lại số đã lưu. Một số gia đình và công ty còn đặt thêm một mật khẩu nói miệng chỉ người trong cuộc biết; cách này hữu ích nhưng không thay được bước gọi lại.
Ngưỡng tiền và người duyệt: thiết kế cho công ty ít người
Công ty nhỏ thường ngại quy trình hai người duyệt vì sợ chậm. Cách giải là chia ngưỡng, để khoản nhỏ vẫn đi nhanh còn khoản lớn hoặc bất thường mới cần thêm người. Mức tiền cụ thể bạn tự đặt theo quy mô; bảng dưới chỉ là khung.
| Loại khoản chi | Ai duyệt | Kiểm thêm gì |
|---|---|---|
| Khoản định kỳ, đúng người nhận quen, dưới ngưỡng thấp | Kế toán tự xử lý theo lịch | Đối chiếu với hợp đồng hoặc hoá đơn |
| Khoản trên ngưỡng thấp, người nhận quen | Kế toán và giám đốc | Duyệt trên ứng dụng ngân hàng doanh nghiệp nếu có tính năng hai cấp |
| Người nhận mới hoặc đổi số tài khoản | Kế toán, giám đốc, gọi lại xác minh | Xác minh với người nhận qua số đã biết, không qua số trong thư |
| Yêu cầu gấp, bí mật, ngoài quy trình | Không chuyển cho tới khi gặp hoặc gọi được người ra lệnh | Báo người thứ hai trong ban lãnh đạo |
Nhiều ngân hàng có gói tài khoản doanh nghiệp cho phép thiết lập một người tạo lệnh, một người duyệt lệnh. Hãy hỏi ngân hàng của bạn về tính năng này; nó biến quy trình trên giấy thành rào chắn thật trên hệ thống, kể cả khi kế toán bị thuyết phục.
Giữ an toàn hộp thư của người có quyền ra lệnh chi
Bật xác thực hai lớp cho hộp thư của giám đốc và kế toán. Đây là việc miễn phí, làm một lần, và chặn phần lớn trường hợp kẻ gian lấy được mật khẩu. Ưu tiên ứng dụng xác thực hoặc khoá bảo mật hơn mã gửi qua tin nhắn.
Kiểm quy tắc chuyển tiếp thư. Khi chiếm được hộp thư, kẻ gian hay cài quy tắc tự chuyển tiếp thư có chữ "thanh toán", "hoá đơn" sang hộp thư của chúng, hoặc tự xoá thư trả lời của đối tác. Mỗi tháng mở phần cài đặt xem có quy tắc lạ không.
Thiết lập xác thực tên miền gửi thư. Nếu công ty dùng email theo tên miền riêng, nhờ người quản lý tên miền bật các bản ghi xác thực người gửi (thường gọi là SPF, DKIM, DMARC). Chúng giúp hộp thư của đối tác nhận ra thư giả danh tên miền của bạn. Việc này ở mức chi phí thấp hoặc miễn phí nếu tự làm theo hướng dẫn của nhà cung cấp email.
Tách hộp thư nhận hoá đơn khỏi hộp thư cá nhân của giám đốc. Một hộp thư chung kiểu "kế toán" hoặc "thanh toán" do hai người cùng theo dõi giúp thư lạ dễ bị phát hiện hơn, vì không còn chuyện chỉ một người đọc rồi tự quyết. Khi người này nghỉ phép, người kia vẫn thấy toàn bộ luồng thư và nhận ra ngay một yêu cầu không khớp với lịch thanh toán quen thuộc của công ty.
Bớt công khai lịch trình. Không cần giấu hết, nhưng bài đăng "đang ở sân bay đi công tác một tuần" kèm tên công ty là thông tin kẻ gian chờ đợi. Đăng sau khi về là đủ.
Lỡ chuyển rồi: việc cần làm trong giờ đầu
Nếu đã chuyển tiền rồi mới nhận ra, thời gian là thứ quý nhất. Việc đầu tiên là gọi ngay cho ngân hàng của công ty qua số chính thức in trên thẻ hoặc trong ứng dụng, đề nghị phối hợp tạm dừng giao dịch với ngân hàng nhận. Cơ hội thu hồi giảm nhanh theo từng giờ vì kẻ gian thường rút hoặc chuyển tiếp tiền rất sớm.
Song song, giữ nguyên mọi bằng chứng: không xoá thư, không xoá tin nhắn thoại, chụp lại toàn bộ cuộc trò chuyện, lưu thông tin giao dịch. Sau đó báo công an nơi công ty đặt trụ sở và đổi ngay mật khẩu hộp thư nếu có dấu hiệu bị chiếm. Các bước xử lý chi tiết sau sự cố có bài riêng ở danh mục xử lý sự cố của trang.
Cuối cùng, đừng biến người kế toán thành người có lỗi duy nhất. Nếu công ty chưa có quy trình gọi lại và hai người duyệt, đó là lỗ hổng của tổ chức. Buổi rút kinh nghiệm nên tập trung vào việc lấp lỗ hổng đó, vì người đã bị lừa một lần thường là người cảnh giác nhất về sau.
Câu hỏi thường gặp
Làm sao biết email từ giám đốc là thật hay giả?
Không nên dựa vào việc soi thư để quyết định. Với mọi yêu cầu chuyển tiền bất thường, hãy tự gọi lại cho giám đốc qua số điện thoại đã lưu từ trước. Thư giả có thể gửi từ chính hộp thư thật đã bị chiếm, nên chỉ gọi lại mới chắc.
Tin nhắn thoại giọng sếp có thể là giả không?
Có. Công cụ AI hiện nay có thể bắt chước giọng nói từ một đoạn ghi âm ngắn lấy từ video hay buổi phát trực tiếp. Gặp tin nhắn thoại đòi chuyển tiền, hãy cúp máy và tự gọi lại số đã lưu thay vì trả lời ngay.
Công ty chỉ có một kế toán thì làm hai người duyệt thế nào?
Người thứ hai có thể là giám đốc duyệt trên ứng dụng ngân hàng doanh nghiệp. Nhiều ngân hàng cho phép tách người tạo lệnh và người duyệt lệnh. Khoản nhỏ định kỳ có thể để kế toán tự xử lý, chỉ khoản lớn hoặc người nhận mới mới cần duyệt thêm.
Giám đốc đang đi nước ngoài không gọi được thì sao?
Quy trình nên ghi rõ: không liên lạc được người ra lệnh thì không chuyển. Có thể chỉ định trước một người thay mặt trong ban lãnh đạo để xác minh. Khoản thật sự gấp vẫn chờ được vài giờ, còn tiền đã chuyển cho kẻ gian thì khó lấy lại.
Đã lỡ chuyển tiền cho kẻ giả danh sếp, việc đầu tiên là gì?
Gọi ngay cho ngân hàng của công ty qua số chính thức để đề nghị phối hợp tạm dừng giao dịch, rồi giữ nguyên bằng chứng và báo công an nơi đặt trụ sở. Càng báo sớm, khả năng ngân hàng nhận kịp tạm giữ tiền càng cao.
Có nên dùng chatbot để kiểm một email đáng ngờ không?
Chatbot có thể giúp chỉ ra dấu hiệu bất thường trong câu chữ nếu bạn đã che tên người và số tài khoản. Nhưng nó không biết thư có gửi từ hộp thư thật hay không, nên không thay được bước gọi lại xác minh.