Email Yêu Cầu Chuyển Khoản Lừa Đảo: Checklist 60 Giây

Mọi yêu cầu đổi thông tin thanh toán bất ngờ cần được xác minh ngoài email trước khi duyệt chuyển tiền.

Trả lời nhanh: coi mọi email bất ngờ yêu cầu chuyển tiền, đổi số tài khoản nhận hoặc "sếp bảo chuyển gấp" là đáng ngờ cho đến khi bạn xác minh qua một kênh khác. Đừng trả lời email đó, đừng bấm link trong đó và đừng gọi số điện thoại chỉ xuất hiện trong chính email. Hãy tra liên hệ trong hồ sơ của công ty (hợp đồng, danh sách nhà cung cấp, website chính thức), gọi từ số đó, và để một người thứ hai duyệt trước khi tiền đi.

Kiểu lừa này thường gọi là business email compromise (BEC). FBI mô tả nó là một thủ đoạn tinh vi nhắm vào doanh nghiệp và cá nhân có các yêu cầu chuyển tiền hợp lệ, thường thực hiện bằng cách chiếm hộp thư công việc hoặc cá nhân thật qua lừa đảo xã hội hoặc xâm nhập kỹ thuật. Kẻ gian không cần hack ngân hàng của bạn. Chúng chỉ cần một email đủ tin cậy để người có quyền thanh toán đổi số tài khoản nhận.

Bài này dựa trên cảnh báo công khai của FBI Internet Crime Complaint Center (IC3) và hướng dẫn phòng chống phishing của Trung tâm An ninh mạng Quốc gia Anh (NCSC); nguồn và ngày kiểm tra ở cuối bài. Nó trả lời những câu có người đã gõ vào Google và Bing, ví dụ "cách nhận diện email lừa đảo tài chính ngân hàng" và một câu hỏi dạng bài kiểm tra về việc nhận email yêu cầu chuyển tiền sang tài khoản bên ngoài và cần chú ý dấu hiệu cảnh báo nào. Mỗi câu chỉ xuất hiện 1 lần trong bản xuất dữ liệu chúng tôi dùng, nên đây là chủ đề đuôi dài.

Checklist 60 giây

Phần checklist, kịch bản gọi lại và phân vai bên dưới là quy trình do chúng tôi đề xuất, dựa trên các khuyến nghị công khai của FBI, không phải nguyên văn của họ. Chạy năm bước theo thứ tự và dừng ở bước đầu tiên bạn trả lời "không".

Kiểm tra	Việc cần làm	Quyết định an toàn
1. Người gửi có đúng là người họ nói không?	Mở địa chỉ email đầy đủ, không chỉ tên hiển thị. So từng ký tự với một email thật trước đây.	Dừng nếu tên miền gần giống nhưng khác một ký tự hoặc thêm dấu gạch.
2. Yêu cầu có bình thường với nhà cung cấp này không?	So với hóa đơn trước, hợp đồng và quy trình thanh toán quen thuộc.	Không nhận thông tin tài khoản mới chỉ từ một email.
3. Có tạo áp lực thời gian không?	Tìm các từ như "gấp", "bí mật", "chuyển trong hôm nay", "tôi đang họp, đừng gọi".	Áp lực không thay thế được xác minh; bản thân nó đã là dấu hiệu cảnh báo.
4. Có bắt bấm hoặc mở gì không?	Không mở file lạ, trang đăng nhập hay mã QR trong thư.	Tự vào website hoặc ứng dụng chính thức đã lưu.
5. Đã xác nhận độc lập chưa?	Gọi số bạn đã có sẵn hoặc nhắn qua kênh nội bộ đã biết.	Với mọi thay đổi người thụ hưởng, cần người duyệt thứ hai.

Hãy in bảng này và dán cạnh màn hình duyệt thanh toán. Checklist chỉ hữu ích khi người ta nhìn thấy nó đúng lúc quyết định.

Vì sao đây là rủi ro thật chứ không phải chuyện hiếm

Chúng tôi dẫn số liệu của FBI IC3 để bạn thấy quy mô, kèm hai lưu ý: đây là dữ liệu của Mỹ, và FBI gọi các con số là exposed dollar loss (tổn thất có nguy cơ), tức là số tiền liên quan đến các vụ được báo cáo chứ không phải số tiền chắc chắn đã mất.

• Trong cảnh báo ngày 9/6/2023, IC3 nêu từ tháng 10/2013 đến tháng 12/2022 có 277.918 vụ trong và ngoài Hoa Kỳ, với tổn thất có nguy cơ khoảng 50,87 tỷ USD.
• IC3 cho biết thủ đoạn này đã được báo cáo ở 177 quốc gia, trong đó hơn 140 quốc gia nhận các khoản chuyển tiền gian lận.
• Giữa tháng 12/2021 và tháng 12/2022, tổn thất có nguy cơ trên toàn cầu tăng 17%.
• IC3 nhấn mạnh thủ đoạn này không phải lúc nào cũng liên quan đến yêu cầu chuyển tiền: một số biến thể chiếm hộp thư rồi xin thông tin cá nhân của nhân viên, biểu mẫu thuế hoặc ví tiền mã hóa.

Một đoạn trong cảnh báo của FBI đặc biệt liên quan đến việc đổi số tài khoản. Về lĩnh vực bất động sản, FBI viết rằng khi kẻ gian vào được hộp thư của một bên tham gia giao dịch, chúng có thể theo dõi giao dịch và canh thời điểm để đưa ra yêu cầu đổi hình thức thanh toán (thường từ séc sang chuyển khoản) hoặc đổi từ tài khoản ngân hàng này sang tài khoản khác do chúng kiểm soát. Dù là bất động sản hay hóa đơn mua hàng, cơ chế giống nhau: kẻ gian đọc cuộc trao đổi thật rồi chen vào đúng lúc có tiền sắp đi.

Bảy dấu hiệu cảnh báo hay lặp lại

Kẻ gian sao chép ngôn ngữ kinh doanh bình thường, nên hãy tìm các mẫu hình thay vì chỉ tìm lỗi chính tả. Danh sách này là kinh nghiệm của chúng tôi, không phải trích từ FBI:

1. Đổi số tài khoản của nhà cung cấp quen, nhất là sang ngân hàng khác, tỉnh khác hoặc tên cá nhân.
2. Hóa đơn trông đúng nhưng đến từ địa chỉ hơi khác, hoặc trong chuỗi thư cũ nhưng có thêm một người lạ.
3. Yêu cầu giữ bí mật ("chưa thông báo cho cả nhóm cho đến khi chốt hợp đồng").
4. Người cấp cao nhờ chuyển gấp trong khi "không nghe điện thoại được".
5. Đổi thông tin liên hệ hoặc giao nhận vài ngày trước hạn thanh toán một hóa đơn lớn.
6. Địa chỉ "reply-to" khác địa chỉ gửi, nên khi bạn trả lời, thư đến tay kẻ gian dù người gửi hiển thị trông đúng.
7. Thư dùng đúng chi tiết thật: số hóa đơn, số tiền, tên dự án. Điều này thường cho thấy một hộp thư đã bị xâm nhập, ở phía nhà cung cấp hoặc ngay trong công ty bạn.

Dấu hiệu thứ 7 quan trọng nhất. Nếu thư chứa dữ liệu hóa đơn thật, kẻ gian có thể đang đọc một hộp thư thật, nên việc không bao giờ được làm là xác minh bằng cách trả lời ngay trong chuỗi thư đó.

Quy trình xử lý từng bước

1. Tạm dừng thanh toán và giữ bằng chứng

Đừng xóa email. Lưu thành file (trong Outlook, kéo thư ra màn hình để giữ cả tiêu đề thư) và ghi lại giờ nhận. Việc này giúp ngân hàng và bộ phận IT sau này.

2. So với hồ sơ của chính bạn

Mở danh sách nhà cung cấp hoặc hợp đồng đã ký, so tên, mã số thuế, tên ngân hàng, số tài khoản và chủ tài khoản. Chỗ nào khác thì cần xác minh bằng văn bản, không duyệt nhanh.

3. Gọi một số bạn đã tin cậy

Dùng số trong hợp đồng, danh bạ nhà cung cấp hoặc website chính thức. Nếu không có số độc lập, hãy hỏi người phụ trách tài khoản hoặc đồng nghiệp từng làm việc với nhà cung cấp đó. Không bao giờ dùng số trong email đáng ngờ hay chữ ký của nó. Điều này khớp với khuyến nghị của FBI: dùng kênh thứ hai hoặc xác thực hai yếu tố để xác minh yêu cầu đổi thông tin tài khoản.

4. Dùng kịch bản gọi lại

Một kịch bản ngắn giúp cuộc gọi không biến thành cuộc trò chuyện để kẻ gian dắt mũi. Hãy nói:

"Tôi gọi để xác nhận thay đổi thông tin ngân hàng của bên anh/chị trước khi chúng tôi thanh toán hóa đơn [số] với số tiền [số tiền]. Anh/chị cho tôi biết tên ngân hàng, bốn số cuối của tài khoản mới và tên người đã duyệt thay đổi này."

Đừng tự đọc số tài khoản mới. Để bên kia nói, rồi đối chiếu với email. Nhà cung cấp thật sẽ vui vẻ xác nhận; số điện thoại của kẻ gian thường không dẫn đến đâu, hoặc dẫn đến người trả lời mơ hồ.

5. Cần người duyệt thứ hai

Với mọi thay đổi người thụ hưởng, hoặc khoản thanh toán vượt hạn mức công ty đặt ra, hãy yêu cầu người thứ hai xem bằng chứng. Người này nên xem ghi chú xác minh chứ không chỉ một tin nhắn "anh duyệt giúp em".

6. Báo cho IT

Dù bạn đã dừng thanh toán, hãy báo email đó để IT tìm thư giống hệt trong các hộp thư khác và kiểm tra xem có tài khoản nào bị dùng để gửi nó không. Các bước báo cáo trong Outlook có ở bài báo cáo email phishing trong Outlook. NCSC kể một ví dụ về giá trị của việc này: trong một chiến dịch gửi 1.800 email hóa đơn "cần xử lý gấp" tới một công ty khoảng 4.000 nhân viên, bộ lọc chặn 1.750 thư, 50 thư vào hộp thư người dùng, và có 25 thư được báo cáo, trong đó báo cáo sau khi bấm là dấu hiệu đầu tiên cho thấy thư đã lọt qua lớp bảo vệ đầu. NCSC kết luận rằng chỉ dựa vào một lớp sẽ bỏ sót một số cuộc tấn công. Đó là phần mềm độc hại chứ không phải lừa chuyển khoản, nhưng bài học về việc nhiều lớp và báo cáo sớm là như nhau.

7. Chỉ trả tiền sau khi quy trình hoàn tất

Ghi lại ai xác minh, bằng cách nào, lúc nào và đã gọi số nào. Hồ sơ này bảo vệ bạn nếu có tranh chấp và giúp lần kiểm toán sau dễ hơn.

Ai kiểm tra việc gì

Công ty nhỏ thường để một người làm hết. Tách nhiệm vụ, dù chỉ ra hai hoặc ba người, loại bỏ điểm hỏng duy nhất mà kiểu lừa này dựa vào. Đây là đề xuất của chúng tôi:

Vai trò	Trách nhiệm	Không được
Kế toán / người đề nghị	Nhận hóa đơn hoặc yêu cầu đổi, chạy checklist 60 giây, gọi lại	Tự duyệt thay đổi người thụ hưởng của chính mình
Người duyệt (quản lý, chủ doanh nghiệp)	Xem ghi chú xác minh rồi duyệt thanh toán	Duyệt chỉ dựa vào email hoặc tin nhắn chat
IT hoặc đơn vị IT thuê ngoài	Kiểm tra tiêu đề thư, tìm trong các hộp thư khác, đặt lại tài khoản nếu cần	Bị bỏ qua khi có thư đáng ngờ được báo cáo
Đầu mối ngân hàng	Liên hệ ngân hàng ngay khi phát hiện giao dịch sai	Chờ "thêm thông tin" rồi mới gọi

Hãy ghi bốn vai trò vào quy trình một trang và ghi tên người thật. Một quy tắc không ai chịu trách nhiệm thì không phải là một biện pháp kiểm soát.

Biện pháp kỹ thuật và quy trình làm kịch bản này khó hơn

Checklist là lớp con người. NCSC nhấn mạnh trong hướng dẫn về phishing rằng cần cách tiếp cận nhiều lớp, và ví dụ ở trên cho thấy nếu chỉ dựa vào một lớp thì sẽ bỏ sót một số cuộc tấn công. Các biện pháp dưới đây là đề xuất của chúng tôi để giảm số lần thư xấu tới được tay người dùng:

• Xác thực nhiều yếu tố (MFA) cho mọi hộp thư, nhất là hộp thư kế toán và lãnh đạo. Chỉ một mật khẩu bị lộ không nên đủ để kẻ gian đọc hóa đơn. Xem MFA và passkey cho doanh nghiệp nhỏ.
• SPF, DKIM, DMARC cho tên miền của bạn, để kẻ gian khó gửi thư giả danh công ty bạn. Microsoft viết rằng SPF một mình chưa đủ để ngăn giả mạo, bạn cần cả DKIM và DMARC. Xem bài bảo mật email doanh nghiệp: SPF, DKIM, DMARC.
• Cảnh báo thư từ bên ngoài, để thư ngoài công ty được đánh dấu rõ.
• Rà quy tắc hộp thư: kẻ gian vào được hộp thư thường thêm một quy tắc chuyển tiếp ẩn. IT nên kiểm tra quy tắc và chuyển tiếp lạ ở tài khoản bị ảnh hưởng.
• Hạn mức thanh toán và duyệt kép trên hệ thống ngân hàng cho người thụ hưởng mới.
• Danh sách nhà cung cấp chỉ một người được chỉ định sửa, có nhật ký thay đổi.
• Diễn tập ngắn, định kỳ: gửi một thư thử an toàn, ví dụ yêu cầu đổi thông tin thanh toán, rồi xem nhân viên có làm đúng quy trình không. Mục tiêu là tập những quyết định đầu tiên, không phải để quy lỗi cho ai.

FBI cũng khuyến nghị bật hiển thị đầy đủ phần mở rộng của địa chỉ email trên máy nhân viên và xác minh địa chỉ gửi, nhất là khi đọc trên điện thoại, vì địa chỉ có thể bị làm trông giống người quen. Họ cũng cảnh báo hãy chú ý các liên kết có thể viết sai chính tả so với tên miền thật.

Những điều không nên làm

• Đừng trả lời vào chuỗi thư đáng ngờ để hỏi xem nó có thật không.
• Đừng thử bấm link hay mở file đính kèm "cho biết".
• Đừng đổi thông tin thanh toán của nhà cung cấp chỉ vì một email, kể cả email từ người quen.
• Đừng đưa mật khẩu, mã MFA hay mã dùng một lần cho bất kỳ ai gọi điện hoặc nhắn tin, kể cả người tự xưng là ngân hàng hay IT.
• Đừng chần chừ báo cáo vì ngại. Tốc độ quyết định việc có thu hồi được giao dịch hay không.

Nếu tiền đã chuyển đi: giờ đầu tiên

FBI viết rằng khi phát hiện một khoản chuyển tiền gian lận, thời gian là yếu tố quyết định. Đây là các bước của họ, kèm các bước phụ trợ của chúng tôi:

1. Gọi ngay bộ phận chống gian lận của ngân hàng bằng số trên website chính thức hoặc giấy tờ tài khoản. Theo FBI, hãy liên hệ tổ chức tài chính của bạn trước tiên và yêu cầu thu hồi khoản tiền cùng các giấy tờ bồi hoàn cần thiết. Hãy cung cấp giờ giao dịch, số tiền, tài khoản thụ hưởng và nội dung chuyển. FBI lưu ý mỗi ngân hàng có chính sách khác nhau, nên cần biết trước ngân hàng của bạn hỗ trợ đến đâu.
2. Báo cho lãnh đạo và người phụ trách tài chính để không có khoản nào khác đi vào cùng tài khoản đó. (Đề xuất của chúng tôi.)
3. Giữ bằng chứng: email gốc kèm tiêu đề, nhật ký cuộc gọi, hóa đơn và xác nhận của ngân hàng. (Đề xuất của chúng tôi.)
4. Nhờ IT kiểm tra các hộp thư liên quan: đặt lại mật khẩu, thu hồi phiên đăng nhập, bật MFA nếu chưa có, tìm quy tắc chuyển tiếp và lần đăng nhập bất thường. (Đề xuất của chúng tôi.)
5. Liên hệ nhà cung cấp thật qua số đáng tin để họ kiểm tra xem hộp thư của họ có bị xâm nhập không. (Đề xuất của chúng tôi.)
6. Báo cáo sự việc. FBI khuyên nộp khiếu nại tại ic3.gov càng sớm càng tốt, bất kể số tiền, nhưng đó là kênh của Hoa Kỳ. Chúng tôi chưa kiểm chứng kênh báo cáo chính thức tại Việt Nam, nên bài này không nêu. Hãy hỏi ngân hàng và cơ quan công an địa phương, và kiểm tra nghĩa vụ báo cáo của riêng công ty bạn, vì nghĩa vụ này khác nhau theo công ty và loại dữ liệu liên quan.

Nếu vụ việc liên quan tài khoản Microsoft 365 bị chiếm, xem hướng dẫn khôi phục email công ty bị hack.

Biến hướng dẫn này thành quy trình của công ty

Sau khi xử lý xong một lần, hãy ghi ba điều: người phụ trách, kênh báo cáo và thời hạn phản hồi (ví dụ "báo trong 15 phút"). Rồi cất checklist và kịch bản gọi lại ở nơi đội tài chính đã làm việc, như ổ dùng chung hoặc công cụ duyệt thanh toán, và xem lại hai lần mỗi năm. Hãy rà soát định kỳ quyền truy cập, tài khoản nhân viên cũ, thiết bị không còn dùng và quy tắc chia sẻ file, vì chúng thường quyết định sự cố dừng ở một người dùng hay lan ra cả công ty.

Câu hỏi thường gặp

Tên nhà cung cấp quen thuộc có chứng minh email là thật không?

Không. Tên hiển thị rất dễ giả, và địa chỉ gửi thật có thể bị che sau nó. Hãy kiểm tra địa chỉ đầy đủ, rồi xác minh qua một liên hệ độc lập đáng tin.

Nếu nhà cung cấp thật sự đổi tài khoản ngân hàng thì sao?

Xác minh độc lập bằng cách gọi số bạn đã có, yêu cầu thay đổi bằng văn bản trên giấy tờ của họ, nhờ người thứ hai duyệt và lưu bằng chứng. Một nhà cung cấp thật sẽ hiểu và chờ bạn làm các bước này.

Nếu yêu cầu đến từ giám đốc thì sao?

Xử lý như nhau. Giả danh lãnh đạo là một mẫu hình phổ biến. Hãy gọi người đó theo số đã biết hoặc xác nhận trực tiếp; đừng trả lời email để hỏi.

Nếu tiền đã chuyển thì làm gì?

Gọi bộ phận chống gian lận của ngân hàng ngay, báo lãnh đạo, giữ bằng chứng và nhờ IT kiểm tra các tài khoản liên quan. Tốc độ cho cơ hội thu hồi tốt nhất, nhưng không ai đảm bảo được kết quả.

IT có chặn được mọi vụ lừa thanh toán không?

Không. Lọc thư và xác thực làm giảm số thư giả tới nơi, nhưng một thư viết tốt vẫn có thể lọt qua. Xác minh thanh toán độc lập và nhân viên được hướng dẫn vẫn là điều cốt lõi.

Doanh nghiệp nhỏ có thật sự bị nhắm tới không?

Có. FBI nêu thủ đoạn này nhắm từ doanh nghiệp nhỏ địa phương đến tập đoàn lớn, và cả giao dịch cá nhân. Đội tài chính nhỏ thường có ít bước kiểm soát hơn, đó là lý do chúng dễ bị nhắm.

Nguồn và ngày kiểm tra

Số liệu và khuyến nghị của FBI, cùng ví dụ của NCSC, lấy từ các trang chính thức, mở và kiểm tra ngày 15/10/2026. Nếu có khác biệt, trang gốc là chuẩn:

• FBI Internet Crime Complaint Center (IC3): Business Email Compromise: The $50 Billion Scam, cảnh báo số I-060923-PSA, ngày 9/6/2023 (dữ liệu từ tháng 10/2013 đến tháng 12/2022).
• Trung tâm An ninh mạng Quốc gia Anh (NCSC): Phishing attacks: defending your organisation, xuất bản 5/2/2018, xem lại 13/2/2024, phiên bản 2.0 (ví dụ nhiều lớp).
• Microsoft Learn: Set up SPF to identify valid email sources for your custom cloud domains, cập nhật 3/7/2026 (câu về SPF không đủ một mình).

Chưa kiểm chứng trong bài này: số liệu thiệt hại tại Việt Nam; kênh báo cáo chính thức và cách phối hợp với ngân hàng ở Việt Nam; thời gian ngân hàng Việt Nam có thể thu hồi giao dịch; số liệu BEC mới hơn năm 2022 (trang FBI mới hơn chúng tôi thử mở bị lỗi 404); và các hướng dẫn từ FTC và CISA (các trang chúng tôi thử mở không tải được). Checklist 60 giây, bảy dấu hiệu cảnh báo, kịch bản gọi lại, phân vai, các biện pháp kỹ thuật phụ và các bước 2 đến 5 của "giờ đầu tiên" là thực hành của chúng tôi, không phải trích dẫn từ FBI hay NCSC.

Bước tiếp theo

Nếu việc này lặp lại, liên quan dữ liệu nhạy cảm hoặc chưa có người chịu trách nhiệm rõ ràng, hãy yêu cầu một buổi đánh giá để biến các bước trên thành quy trình có tên người cụ thể. Liên hệ Vietify IT Services để được hỗ trợ kiểm tra bảo mật email, cấu hình Microsoft 365 và xử lý sự cố, hoặc bắt đầu bằng đánh giá IT miễn phí. Xem thêm dịch vụ bảo mật IT và Microsoft 365 cho doanh nghiệp.

Vietify IT Services — Đối tác IT và phần mềm bản quyền cho doanh nghiệp tại Đà Nẵng. Cập nhật: 15/10/2026.