Lừa Đảo Giả Mạo Email Doanh Nghiệp (BEC)
Lừa đảo Giả Mạo Email Doanh Nghiệp (BEC) là một trong những hình thức gian lận tốn kém nhất nhắm vào các tổ chức trên toàn cầu. Trong các cuộc tấn công này, tội phạm nghiên cứu cấu trúc công ty và mô hình giao tiếp, sau đó sử dụng email giả mạo hoặc bị xâm nhập để đóng giả lãnh đạo, thường là CEO hoặc CFO, và yêu cầu chuyển khoản gấp hoặc cung cấp thông tin nhạy cảm. Trung tâm Khiếu Nại Tội Phạm Internet của FBI (IC3) báo cáo rằng các vụ lừa đảo BEC đã gây thiệt hại hơn 2,7 tỷ USD với gần 21.000 đơn khiếu nại trong năm 2023, với mức thiệt hại trung bình trên 50.000 USD mỗi vụ. Điều làm cho BEC đặc biệt nguy hiểm là nó lợi dụng quy trình kinh doanh hợp pháp — hầu hết các tổ chức đều xử lý chuyển khoản thường xuyên — khiến yêu cầu gian lận trông như một thủ tục bình thường đối với nhân viên kế toán bận rộn. Kẻ lừa đảo thường tiến hành theo dõi trong nhiều tuần, giám sát mẫu email, chu kỳ tài chính và thay đổi nhân sự trước khi ra tay, vì vậy ngay cả nhân viên có ý thức bảo mật cũng có thể trở thành nạn nhân.
Thủ đoạn phổ biến
- •Giả danh lãnh đạo qua email giả mạo: Kẻ lừa đảo tạo địa chỉ email gần giống với địa chỉ thật của CEO hoặc CFO, chỉ khác một hoặc hai ký tự ('ceo@comapany.com' thay vì 'ceo@company.com'), hoặc xâm nhập tài khoản email nội bộ hợp pháp để gửi yêu cầu trông như trực tiếp từ ban lãnh đạo công ty.
- •Tạo áp lực bằng yêu cầu gấp kèm kịch bản giả mạo: Tội phạm gây áp lực cho nhân viên bằng cách nói rằng chuyển khoản cần thiết cho việc mua lại bí mật, thanh toán khẩn cấp cho nhà cung cấp, giải quyết pháp lý hoặc cơ hội kinh doanh nhạy cảm không thể thảo luận với nhân viên khác do tính bảo mật hoặc cạnh tranh.
- •Theo dõi và trinh sát: Trước khi tấn công, kẻ lừa đảo dành hàng tuần hoặc tháng nghiên cứu cấu trúc tổ chức, quy trình tài chính, tên nhân viên và tin tức gần đây của công ty để tạo các yêu cầu phù hợp với hoạt động kinh doanh bình thường và tham chiếu các tình huống thực tế.
- •Yêu cầu chuyển khoản đến tài khoản bất ngờ: Kẻ lừa đảo chỉ dẫn nhân viên gửi tiền vào tài khoản ngân hàng khác với tài khoản thường dùng của nhà cung cấp, với lý do nhà cung cấp tạm thời đổi ngân hàng, công ty mẹ có cổng thanh toán mới hoặc tiền phải chuyển vào tài khoản ký quỹ do công ty luật giữ.
- •Ngăn cản việc xác minh: Khi bị hỏi, lãnh đạo giả mạo nói họ đang họp liên tục, đi công tác quốc tế, gặp sự cố cá nhân hoặc không thể trao đổi chi tiết qua email, cố ý ngăn nhân viên gọi điện xác minh yêu cầu qua kênh thông thường.
- •Chiêu trò tạo áp lực và phân tâm tiếp theo: Kẻ lừa đảo gửi email nhắc lại rằng giao dịch sắp đổ bể, đối thủ sẵn sàng mua lại công ty hoặc nhà cung cấp sẽ làm việc với công ty khác nếu không thanh toán ngay, duy trì áp lực và ngăn nhân viên suy nghĩ kỹ.
Cách nhận biết
- Yêu cầu chuyển khoản bất ngờ từ lãnh đạo công ty với lý do gấp hoặc bí mật: Lãnh đạo hợp pháp hiếm khi dùng email để yêu cầu chuyển khoản gấp mà không có xác nhận bằng lời hoặc quy trình mua hàng đã thiết lập, đặc biệt với điểm đến thanh toán bất thường.
- Địa chỉ email tương tự nhưng không hoàn toàn giống địa chỉ lãnh đạo đã biết: Kiểm tra kỹ địa chỉ email đầy đủ — kẻ lừa đảo thường thay đổi một chữ cái hoặc dùng tên miền tương tự trông hợp pháp lúc đầu nhưng khác với tên miền công ty đã biết.
- Yêu cầu gửi tiền vào tài khoản khác với lịch sử thanh toán của nhà cung cấp: Nếu nhà cung cấp thường xuyên đột ngột yêu cầu thanh toán vào tài khoản ngân hàng mới, đặc biệt là tài khoản quốc tế, đây là dấu hiệu cảnh báo lớn cần xác minh độc lập.
- Áp lực bỏ qua quy trình phê duyệt hoặc giữ bí mật yêu cầu: Giao dịch kinh doanh hợp pháp tuân theo quy trình ủy quyền đã thiết lập; yêu cầu bỏ qua kiểm soát này hoặc giấu giao dịch với các lãnh đạo khác cho thấy ý đồ gian lận.
- Ngôn ngữ mơ hồ về lý do chuyển tiền kèm từ chối thảo luận chi tiết: Kẻ lừa đảo cung cấp rất ít thông tin về mục đích chuyển tiền và từ chối giải thích thêm, viện lý do bảo mật, trong khi yêu cầu kinh doanh hợp pháp thường kèm theo đơn đặt hàng, hóa đơn hoặc hợp đồng chi tiết.
- Phong cách giao tiếp không nhất quán hoặc lỗi ngữ pháp trong email từ lãnh đạo: Nếu email từ lãnh đạo công ty có cách diễn đạt lạ, lỗi ngữ pháp hoặc giọng điệu khác với bình thường, có thể tài khoản đã bị xâm nhập hoặc giả mạo.
Cách tự bảo vệ
- Thiết lập quy trình xác minh chuyển khoản yêu cầu xác nhận bằng giọng nói: Trước khi xử lý bất kỳ yêu cầu chuyển khoản nào, yêu cầu nhân viên gọi điện cho người yêu cầu qua số điện thoại trong danh bạ nội bộ công ty (không dùng số trong email) để xác nhận bằng lời về yêu cầu, số tiền và điểm đến thanh toán.
- Áp dụng phê duyệt đa cấp cho chuyển khoản vượt ngưỡng: Yêu cầu các yêu cầu chuyển khoản trên một mức tiền nhất định (10.000 USD, 25.000 USD hoặc cao hơn tùy quy mô công ty) phải được ít nhất hai người có thẩm quyền phê duyệt, mỗi người xác minh độc lập.
- Sử dụng công nghệ xác thực email: Triển khai SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) và DMARC (Domain-based Message Authentication, Reporting and Conformance) để ngăn chặn giả mạo tên miền của bạn, đồng thời đào tạo nhân viên nhận biết khi các biện pháp này không có trong email bên ngoài.
- Tổ chức đào tạo thường xuyên về chiêu trò BEC cho nhân viên tài chính, kế toán và lãnh đạo: Cung cấp đào tạo nhận thức bảo mật hàng năm hoặc nửa năm bao gồm các ví dụ thực tế về lừa đảo BEC, hướng dẫn quy trình xác minh và bài tập mô phỏng giúp nhân viên luyện tập phát hiện yêu cầu đáng ngờ.
- Duy trì danh sách điểm đến thanh toán được phép và xác minh mọi thay đổi qua kênh phụ: Lưu trữ danh sách nhà cung cấp thường xuyên và thông tin tài khoản ngân hàng được phép, yêu cầu xác minh mọi thay đổi điểm đến thanh toán trực tiếp với nhà cung cấp qua số điện thoại đã biết trước khi xử lý.
- Giám sát giả mạo tên miền và thiết lập cảnh báo email cho hoạt động đáng ngờ: Sử dụng công cụ bảo mật email để đánh dấu email từ địa chỉ bên ngoài gần giống địa chỉ nội bộ, đồng thời cấu hình cảnh báo cho hoạt động chuyển khoản bất thường như chuyển tiền đến người nhận mới hoặc điểm đến quốc tế không phổ biến với công ty.
Ví dụ thực tế
Quản lý kế toán của một công ty sản xuất vừa và nhỏ nhận được email từ địa chỉ trông giống CEO yêu cầu chuyển khoản gấp 2 tỷ đồng cho một công ty luật để hoàn tất thương vụ mua lại bí mật trong ngày. Email gửi từ 'ceo@manufacturingcorp.com' (thực ra là 'ceo@manufacturingcorps.com' có thêm chữ 's'), và quản lý, do áp lực thời gian, đã thực hiện chuyển khoản mà không gọi xác minh. Khi trợ lý thật của CEO gọi hỏi về chuyển khoản sáng hôm sau, vụ lừa mới bị phát hiện, nhưng tiền đã được chuyển qua các tài khoản trung gian ở Đông Âu và không thể thu hồi.
Nhân viên kế toán phải trả tiền của một công ty dịch vụ y tế nhận email từ CFO yêu cầu thanh toán ngay 3,6 tỷ đồng cho nhà cung cấp mới nâng cấp hạ tầng CNTT. Email nhấn mạnh rằng giao dịch sẽ kết thúc trong ngày và không thể thảo luận với nhân viên khác do tính bảo mật. Nhân viên đã chuyển khoản vào tài khoản được cung cấp nhưng sau đó phát hiện không có dự án CNTT hợp pháp nào và email CFO đã bị xâm nhập qua tấn công lừa đảo. Kẻ lừa đảo đã theo dõi giao tiếp email của công ty trong hai tuần để nhận diện mẫu thanh toán và nhân sự chủ chốt.
Kiểm soát viên của một công ty dịch vụ tài chính nhận nhiều email trong ba ngày từ địa chỉ trông giống CEO yêu cầu chuyển khoản tổng cộng 6,5 tỷ đồng cho thanh toán khẩn cấp nhà cung cấp và giải quyết pháp lý. Mỗi email đều có tham chiếu nội bộ và thuật ngữ chuyên ngành cho thấy hiểu biết hợp pháp về hoạt động công ty. Kiểm soát viên nghi ngờ khi nhận được yêu cầu tiếp theo từ 'CEO' đề nghị hoàn tất giao dịch 'âm thầm' mà không thông báo CFO. Điều tra cho thấy kẻ tấn công đã xâm nhập tài khoản email của một nhân viên marketing cấp thấp và dùng nó để nghiên cứu giao tiếp nội bộ công ty trong hai tuần trước khi tấn công.
Câu hỏi thường gặp
Làm thế nào để tôi biết yêu cầu chuyển tiền qua dây từ CEO của mình thực sự là lừa đảo nếu email trông có vẻ hợp pháp?
Tôi nên làm gì ngay lập tức nếu tôi đã gửi tiền phản hồi lại điều mà tôi nghi ngờ là lừa đảo BEC?
Tại sao kẻ lừa đảo nhắm vào nhân viên kế toán và tài chính thay vì CEO trực tiếp, và làm thế nào để tôi bảo vệ công ty mình?
Kẻ lừa đảo thường mất bao lâu để nghiên cứu một công ty trước khi gửi email BEC?
Những kịch bản giả phổ biến nhất mà kẻ lừa đảo sử dụng để biện minh cho các chuyển tiền khẩn cấp là gì?
Nơi báo cáo — Việt Nam
Các kênh chính thức trong khu vực của bạn để báo cáo lừa đảo này.
Cục An toàn thông tin (Bộ TT&TT)
Tội phạm mạngCổng tiếp nhận phản ánh tin nhắn rác, cuộc gọi rác và lừa đảo trực tuyến.
Bộ Công an - Cảnh báo lừa đảo
Báo cáoTrang cảnh báo và tiếp nhận tố giác lừa đảo của Bộ Công an.
Cục Cạnh tranh và Bảo vệ người tiêu dùng
Bảo vệ người tiêu dùngTổng đài bảo vệ người tiêu dùng — miễn phí cuộc gọi.
Ngân hàng Nhà nước Việt Nam
Cơ quan tài chínhBáo cáo các trường hợp lừa đảo tài chính, ngân hàng, đầu tư bất hợp pháp.
Nghi ngờ gặp phải lừa đảo này?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), lừa đảo giả mạo email doanh nghiệp (bec) is described at https://scamlens.org/vi/encyclopedia/business-email-compromise.