Lừa đảo email đổi số tài khoản cuối năm: quy trình chặn cho kế toán

Kiểu lừa đảo gây thiệt hại lớn nhất cho phòng kế toán mùa cuối năm không phải virus, mà là một email trông rất bình thường báo rằng đối tác "vừa đổi tài khoản ngân hàng". Cách chặn hiệu quả nhất là quy tắc cứng: mọi thay đổi thông tin thanh toán phải được xác nhận qua một kênh khác email, bằng số điện thoại đã lưu từ trước, trước khi chuyển bất kỳ khoản nào. Phần dưới giải thích vì sao tháng 11 đến Tết là giai đoạn rủi ro, các dấu hiệu nhận biết và quy trình mẫu để áp dụng ngay.

Vì sao giai đoạn trước Tết dễ bị nhắm tới

Từ tháng 11, doanh nghiệp dồn dập thanh toán công nợ, chốt hợp đồng năm mới, nhập hàng Tết. Khối lượng chứng từ tăng, người duyệt chi bận rộn, nhiều người nghỉ phép xen kẽ. Đây đúng là điều kiện mà kẻ gian cần. Ngay từ năm 2016, Bộ Công Thương đã cảnh báo doanh nghiệp Việt dễ mất cảnh giác "nhất là trong thời gian nghỉ lễ dài ngày", kèm vụ một nhà xuất khẩu chuyển tiền hàng vào tài khoản cá nhân do email giả của đối tác Thổ Nhĩ Kỳ, theo bài đăng trên VnBusiness.

Mười năm sau, thủ đoạn vẫn giữ nguyên lõi nhưng tinh vi hơn nhờ AI. Bài Trung tâm WTO và Hội nhập (VCCI) đăng ngày 5/6/2026 dẫn phân tích của PGS. Greeni Maheshwari, Đại học RMIT Việt Nam, cho biết kẻ gian dùng email do AI viết, danh tính công ty giả, thậm chí giả giọng nói hoặc video lãnh đạo. Một doanh nghiệp Việt Nam đã mất gần 72.000 USD sau khi niềm tin xây dựng qua đàm phán trực tuyến bị lợi dụng.

Kẻ gian vào được cuộc trao đổi bằng cách nào

Có ba con đường phổ biến:

• Chiếm hộp thư thật của nhân viên hoặc của đối tác qua mật khẩu bị lộ, rồi âm thầm đọc chuỗi email để biết hóa đơn nào sắp đến hạn.
• Đăng ký tên miền na ná, khác một ký tự hoặc thêm dấu gạch, gửi email nối tiếp đúng chủ đề đang trao đổi.
• Sửa trực tiếp file đính kèm: hợp đồng, hóa đơn đòi tiền được thay số tài khoản người hưởng.

Vietcombank từng mô tả đủ các biến thể này trong cảnh báo được Cục Đầu tư nước ngoài đăng lại, kèm lưu ý quan trọng: khả năng đòi lại tiền rất thấp vì tiền thường bị rút ngay, còn thủ tục với ngân hàng nước ngoài phức tạp.

Bảy dấu hiệu kế toán nên dừng tay

1. Thông tin thanh toán thay đổi đột ngột, đặc biệt ngay trước hạn trả.
2. Người hưởng trên hóa đơn khác tên pháp nhân trong hợp đồng.
3. Ngân hàng nhận tiền nằm ở quốc gia khác với nơi đối tác đặt trụ sở.
4. Toàn bộ giao dịch chỉ diễn ra qua email, chưa từng xác nhận bằng kênh khác.
5. Email tạo cảm giác gấp: "phải chuyển trong hôm nay để kịp xuất hàng".
6. Giọng văn, chữ ký cuối thư hoặc định dạng file khác thường so với các lần trước.
7. Người gửi xin chuyển trao đổi sang Gmail, Yahoo hay ứng dụng chat cá nhân.

Danh sách trên tổng hợp từ cảnh báo của Vietcombank, Bộ Công Thương và nhóm dấu hiệu RMIT nêu trong bài của VCCI.

Quy trình bốn lớp cho thay đổi thông tin thanh toán

Lớp 1: danh bạ nhà cung cấp là nguồn sự thật duy nhất

Số tài khoản, người liên hệ và số điện thoại xác minh của mỗi nhà cung cấp được lưu trong phần mềm kế toán hoặc ERP, không lấy từ email. Chỉ một nhóm nhỏ được quyền sửa, và mọi lần sửa đều để lại lịch sử.

Lớp 2: gọi lại bằng số đã lưu

Khi có yêu cầu đổi tài khoản, kế toán gọi cho người liên hệ theo số đã có trong danh bạ, tuyệt đối không dùng số ghi trong chính email yêu cầu. Bài VCCI cũng khuyến nghị yêu cầu xác nhận từ cả hai phía trước mọi thay đổi thanh toán.

Lớp 3: hai người duyệt cho khoản lớn

Đặt ngưỡng giá trị mà trên đó lệnh chi cần hai người duyệt độc lập. Với giao dịch quốc tế giá trị cao, cân nhắc thư tín dụng L/C hoặc dịch vụ ký quỹ đã xác thực như chuyên gia RMIT gợi ý.

Lớp 4: khoản thanh toán đầu tiên vào tài khoản mới để nhỏ

Nếu đối tác thật sự đổi ngân hàng, chuyển một khoản nhỏ trước và nhờ họ xác nhận đã nhận qua điện thoại, sau đó mới chuyển phần còn lại.

Những bước này có thể tự động hóa một phần trong phần mềm: khóa lệnh chi khi tài khoản người hưởng vừa thay đổi dưới 72 giờ, hoặc bắt buộc đính kèm biên bản xác minh. Bài về tự động hóa quy trình làm việc (BPA) có ví dụ cách dựng luồng phê duyệt như vậy.

Gia cố hộp thư để kẻ gian khó chen vào

• Bật xác thực đa yếu tố cho mọi tài khoản email, ưu tiên phòng tài chính và ban giám đốc.
• Cấu hình SPF, DKIM và DMARC cho tên miền công ty để giảm email giả danh chính bạn.
• Gắn nhãn cảnh báo cho thư đến từ bên ngoài và từ tên miền mới đăng ký.
• Theo dõi quy tắc chuyển tiếp thư tự động; kẻ chiếm hộp thư hay tạo quy tắc ẩn để chuyển email hóa đơn ra ngoài.
• Dùng email tên miền công ty khi giao dịch, và đề nghị đối tác làm tương tự, như khuyến nghị của Bộ Công Thương.

Kỹ thuật chỉ chặn được một phần. Nhân viên cần nhận ra kịch bản; chương trình đào tạo nhận biết phishing nên có riêng một bài tập mô phỏng email đổi tài khoản cho bộ phận kế toán, mua hàng.

Lỡ chuyển tiền rồi: làm gì trong vài giờ đầu

1. Gọi ngay ngân hàng chuyển đi, đề nghị tra soát và phong tỏa lệnh nếu còn kịp. Thời gian là yếu tố quyết định.
2. Báo cơ quan công an nơi doanh nghiệp đặt trụ sở, nộp kèm chuỗi email gốc (giữ nguyên header), chứng từ chuyển tiền.
3. Đổi mật khẩu, thu hồi phiên đăng nhập của hộp thư liên quan, rà quy tắc chuyển tiếp.
4. Thông báo cho đối tác thật để họ kiểm tra hộp thư phía họ.
5. Với giao dịch quốc tế, liên hệ Thương vụ Việt Nam tại nước sở tại để được hỗ trợ xác minh.

Sau sự cố, đừng chỉ đổ lỗi cho người bấm nút chuyển. Ghi lại dòng thời gian, xem lớp kiểm soát nào đã bị bỏ qua, và sửa quy trình trước mùa thanh toán Tết.