Lừa Đảo Giả Mạo Email Doanh Nghiệp (BEC)

Thủ đoạn phổ biến

• • Giả danh lãnh đạo qua email giả mạo: Kẻ lừa đảo tạo địa chỉ email gần giống với địa chỉ thật của CEO hoặc CFO, chỉ khác một hoặc hai ký tự ('[email protected]' thay vì '[email protected]'), hoặc xâm nhập tài khoản email nội bộ hợp pháp để gửi yêu cầu trông như trực tiếp từ ban lãnh đạo công ty.
• • Tạo áp lực bằng yêu cầu gấp kèm kịch bản giả mạo: Tội phạm gây áp lực cho nhân viên bằng cách nói rằng chuyển khoản cần thiết cho việc mua lại bí mật, thanh toán khẩn cấp cho nhà cung cấp, giải quyết pháp lý hoặc cơ hội kinh doanh nhạy cảm không thể thảo luận với nhân viên khác do tính bảo mật hoặc cạnh tranh.
• • Theo dõi và trinh sát: Trước khi tấn công, kẻ lừa đảo dành hàng tuần hoặc tháng nghiên cứu cấu trúc tổ chức, quy trình tài chính, tên nhân viên và tin tức gần đây của công ty để tạo các yêu cầu phù hợp với hoạt động kinh doanh bình thường và tham chiếu các tình huống thực tế.
• • Yêu cầu chuyển khoản đến tài khoản bất ngờ: Kẻ lừa đảo chỉ dẫn nhân viên gửi tiền vào tài khoản ngân hàng khác với tài khoản thường dùng của nhà cung cấp, với lý do nhà cung cấp tạm thời đổi ngân hàng, công ty mẹ có cổng thanh toán mới hoặc tiền phải chuyển vào tài khoản ký quỹ do công ty luật giữ.
• • Ngăn cản việc xác minh: Khi bị hỏi, lãnh đạo giả mạo nói họ đang họp liên tục, đi công tác quốc tế, gặp sự cố cá nhân hoặc không thể trao đổi chi tiết qua email, cố ý ngăn nhân viên gọi điện xác minh yêu cầu qua kênh thông thường.
• • Chiêu trò tạo áp lực và phân tâm tiếp theo: Kẻ lừa đảo gửi email nhắc lại rằng giao dịch sắp đổ bể, đối thủ sẵn sàng mua lại công ty hoặc nhà cung cấp sẽ làm việc với công ty khác nếu không thanh toán ngay, duy trì áp lực và ngăn nhân viên suy nghĩ kỹ.

Cách nhận biết

• Yêu cầu chuyển khoản bất ngờ từ lãnh đạo công ty với lý do gấp hoặc bí mật: Lãnh đạo hợp pháp hiếm khi dùng email để yêu cầu chuyển khoản gấp mà không có xác nhận bằng lời hoặc quy trình mua hàng đã thiết lập, đặc biệt với điểm đến thanh toán bất thường.
• Địa chỉ email tương tự nhưng không hoàn toàn giống địa chỉ lãnh đạo đã biết: Kiểm tra kỹ địa chỉ email đầy đủ — kẻ lừa đảo thường thay đổi một chữ cái hoặc dùng tên miền tương tự trông hợp pháp lúc đầu nhưng khác với tên miền công ty đã biết.
• Yêu cầu gửi tiền vào tài khoản khác với lịch sử thanh toán của nhà cung cấp: Nếu nhà cung cấp thường xuyên đột ngột yêu cầu thanh toán vào tài khoản ngân hàng mới, đặc biệt là tài khoản quốc tế, đây là dấu hiệu cảnh báo lớn cần xác minh độc lập.
• Áp lực bỏ qua quy trình phê duyệt hoặc giữ bí mật yêu cầu: Giao dịch kinh doanh hợp pháp tuân theo quy trình ủy quyền đã thiết lập; yêu cầu bỏ qua kiểm soát này hoặc giấu giao dịch với các lãnh đạo khác cho thấy ý đồ gian lận.
• Ngôn ngữ mơ hồ về lý do chuyển tiền kèm từ chối thảo luận chi tiết: Kẻ lừa đảo cung cấp rất ít thông tin về mục đích chuyển tiền và từ chối giải thích thêm, viện lý do bảo mật, trong khi yêu cầu kinh doanh hợp pháp thường kèm theo đơn đặt hàng, hóa đơn hoặc hợp đồng chi tiết.
• Phong cách giao tiếp không nhất quán hoặc lỗi ngữ pháp trong email từ lãnh đạo: Nếu email từ lãnh đạo công ty có cách diễn đạt lạ, lỗi ngữ pháp hoặc giọng điệu khác với bình thường, có thể tài khoản đã bị xâm nhập hoặc giả mạo.

Cách tự bảo vệ

• Thiết lập quy trình xác minh chuyển khoản yêu cầu xác nhận bằng giọng nói: Trước khi xử lý bất kỳ yêu cầu chuyển khoản nào, yêu cầu nhân viên gọi điện cho người yêu cầu qua số điện thoại trong danh bạ nội bộ công ty (không dùng số trong email) để xác nhận bằng lời về yêu cầu, số tiền và điểm đến thanh toán.
• Áp dụng phê duyệt đa cấp cho chuyển khoản vượt ngưỡng: Yêu cầu các yêu cầu chuyển khoản trên một mức tiền nhất định (10.000 USD, 25.000 USD hoặc cao hơn tùy quy mô công ty) phải được ít nhất hai người có thẩm quyền phê duyệt, mỗi người xác minh độc lập.
• Sử dụng công nghệ xác thực email: Triển khai SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) và DMARC (Domain-based Message Authentication, Reporting and Conformance) để ngăn chặn giả mạo tên miền của bạn, đồng thời đào tạo nhân viên nhận biết khi các biện pháp này không có trong email bên ngoài.
• Tổ chức đào tạo thường xuyên về chiêu trò BEC cho nhân viên tài chính, kế toán và lãnh đạo: Cung cấp đào tạo nhận thức bảo mật hàng năm hoặc nửa năm bao gồm các ví dụ thực tế về lừa đảo BEC, hướng dẫn quy trình xác minh và bài tập mô phỏng giúp nhân viên luyện tập phát hiện yêu cầu đáng ngờ.
• Duy trì danh sách điểm đến thanh toán được phép và xác minh mọi thay đổi qua kênh phụ: Lưu trữ danh sách nhà cung cấp thường xuyên và thông tin tài khoản ngân hàng được phép, yêu cầu xác minh mọi thay đổi điểm đến thanh toán trực tiếp với nhà cung cấp qua số điện thoại đã biết trước khi xử lý.
• Giám sát giả mạo tên miền và thiết lập cảnh báo email cho hoạt động đáng ngờ: Sử dụng công cụ bảo mật email để đánh dấu email từ địa chỉ bên ngoài gần giống địa chỉ nội bộ, đồng thời cấu hình cảnh báo cho hoạt động chuyển khoản bất thường như chuyển tiền đến người nhận mới hoặc điểm đến quốc tế không phổ biến với công ty.

Ví dụ thực tế

Nơi báo cáo — Việt Nam

Các kênh chính thức trong khu vực của bạn để báo cáo lừa đảo này.