Kiểu lừa đảo gây thiệt hại nhiều nhất trong giao dịch xuất khẩu là đổi tài khoản nhận tiền qua email giả mạo: kẻ gian chen vào giữa cuộc trao đổi thật của người bán và người mua, gửi thư “thông báo đổi tài khoản”, và tiền của một lô hàng chảy sang tài khoản của chúng. Bên cạnh đó là các kịch bản người mua giả đòi phí, đòi mẫu số lượng lớn, gửi thư tín dụng giả hay thanh toán thừa rồi đòi hoàn.
Doanh nghiệp nhỏ là mục tiêu ưa thích vì thường không có bộ phận kiểm soát riêng, một người kiêm nhiều việc và quen làm mọi thứ qua email. Phòng tránh không đòi hỏi công nghệ đắt tiền; nó đòi hỏi vài nguyên tắc cứng, áp dụng đều đặn cho mọi giao dịch, kể cả với khách quen.
Vì sao người bán nhỏ dễ thành mục tiêu
Kẻ lừa đảo nhắm vào những chỗ quy trình lỏng. Ở doanh nghiệp nhỏ, cùng một người báo giá, làm chứng từ, theo dõi thanh toán và trả lời khách lúc nửa đêm vì lệch múi giờ. Mật khẩu email dùng lại ở nhiều nơi, không bật xác thực hai lớp, máy tính dùng chung. Khi một hộp thư bị chiếm, kẻ gian có thể đọc toàn bộ lịch sử trao đổi, biết lô nào sắp giao, số tiền bao nhiêu, ai là người ký, rồi chọn đúng lúc để chen vào.
Thứ hai, người bán mới rất muốn có đơn. Một email từ “nhà nhập khẩu lớn ở châu Âu” đặt hàng số lượng lớn mà không mặc cả là thứ khó cưỡng, và cảm giác sợ mất cơ hội làm người ta bỏ qua các bước kiểm tra. Kẻ lừa đảo hiểu điều này và luôn tạo áp lực thời gian: “cần xác nhận trong hôm nay”, “nếu không sẽ chọn nhà cung cấp khác”.
Thứ ba, khoảng cách địa lý và ngôn ngữ làm việc kiểm tra khó hơn. Người bán không gặp mặt người mua, không quen hệ thống đăng ký doanh nghiệp của nước họ, và thường chỉ có một kênh liên lạc duy nhất là email. Kênh duy nhất đó chính là kênh dễ bị giả mạo nhất.
Sáu kịch bản hay gặp
Đổi tài khoản nhận tiền. Kẻ gian chiếm hộp thư của người bán hoặc người mua, hoặc dùng tên miền giống hệt chỉ khác một ký tự, rồi gửi thư báo tài khoản ngân hàng đã đổi vì “kiểm toán”, “đổi ngân hàng”, “vấn đề thuế”. Thư thường dùng đúng chữ ký, đúng mẫu hoá đơn, đúng số lô. Người mua chuyển tiền vào tài khoản mới và tiền biến mất.
Người mua đòi phí trước. Người “mua” đặt đơn lớn rồi yêu cầu người bán trả trước một khoản: phí đăng ký nhà cung cấp, phí kiểm định, phí giấy phép nhập khẩu, phí công chứng hợp đồng ở nước họ. Người mua thật không thu tiền của nhà cung cấp để được mua hàng.
Đòi mẫu miễn phí số lượng lớn. Yêu cầu gửi nhiều mẫu, đủ để bán lẻ, kèm hứa hẹn đơn lớn sau đó. Mẫu đi rồi người mua im lặng. Biến thể khác là yêu cầu người bán trả cước gửi mẫu qua một đơn vị chuyển phát do “người mua” chỉ định, thực chất là đơn vị giả.
Thư tín dụng giả. Một bản scan thư tín dụng trông rất thật được gửi qua email, kèm yêu cầu giao hàng gấp hoặc trả phí để “kích hoạt” thư. Thư tín dụng thật không cần người hưởng trả phí kích hoạt, và luôn đến qua ngân hàng.
Thanh toán thừa rồi đòi hoàn. Người mua chuyển số tiền lớn hơn hoá đơn, rồi nhờ người bán hoàn phần chênh qua một tài khoản khác. Khoản chuyển ban đầu sau đó bị thu hồi vì gian lận hoặc là séc giả, người bán mất phần đã hoàn.
Mời ký hợp đồng ở nước ngoài. Người mua mời sang ký hợp đồng, kèm “thủ tục” phải nộp phí visa, phí thư mời, có khi gặp ở nơi không phải trụ sở công ty. Gặp đối tác ở nước ngoài là chuyện bình thường, nhưng phải tự kiểm tra họ trước khi đi và không trả phí cho họ.
Dấu hiệu nhận biết trong một email
Không dấu hiệu nào tự nó chứng minh lừa đảo, nhưng hai ba dấu hiệu cùng lúc là lúc phải dừng lại:
- Địa chỉ email lệch một ký tự so với tên miền quen, hoặc dùng hộp thư miễn phí cho một “tập đoàn lớn”.
- Thông báo thay đổi tài khoản ngân hàng, đặc biệt sang một nước khác với nước của người bán hoặc tên chủ tài khoản khác tên công ty.
- Giọng thư vội vã, đòi xác nhận trong vài giờ, đòi giữ bí mật với “bộ phận khác”.
- Đơn hàng lớn bất thường so với khách mới, không hỏi kỹ quy cách, không mặc cả giá.
- Yêu cầu trả bất kỳ khoản phí nào để được nhận đơn hay nhận thanh toán.
- Tệp đính kèm lạ, đường dẫn tải hoá đơn hoặc đơn hàng yêu cầu đăng nhập lại email.
- Thông tin công ty không kiểm tra được: không có đăng ký doanh nghiệp, trang web mới lập, địa chỉ là nhà riêng hoặc văn phòng ảo.
Khi thấy những dấu hiệu này, đừng trả lời ngay vào chính email đó. Kênh xác minh phải là một kênh khác mà bạn đã biết từ trước.
Quy trình xác minh trước khi chuyển hoặc nhận tiền
Doanh nghiệp nhỏ nên viết quy trình này ra giấy, dán ở bàn làm việc và áp dụng cho mọi lô, không có ngoại lệ:
- Ghi tài khoản nhận tiền vào hợp đồng và hoá đơn, kèm câu “mọi thay đổi tài khoản chỉ có hiệu lực khi có văn bản ký bởi người đại diện và được xác nhận qua điện thoại”.
- Khi có thông báo đổi tài khoản, gọi lại cho người liên hệ bằng số điện thoại đã có từ trước, không dùng số trong email mới. Hỏi trực tiếp, không chỉ hỏi “có đúng không”.
- Khi nhận đơn từ khách mới, tra đăng ký doanh nghiệp của họ ở cơ quan đăng ký của nước đó, kiểm tra địa chỉ, tuổi tên miền, và nhờ thương vụ Việt Nam tại nước đó xác minh nếu đơn lớn.
- Với thư tín dụng, chỉ coi là có khi ngân hàng thông báo của bạn xác nhận đã nhận qua kênh liên ngân hàng.
- Không bao giờ trả phí cho người mua để được nhận đơn, nhận tiền hay nhận thư tín dụng.
- Bảo vệ hộp thư: mật khẩu riêng, bật xác thực hai lớp, không mở tệp lạ, thường xuyên kiểm tra quy tắc chuyển tiếp thư tự động có bị ai cài thêm không.
Một cuộc gọi xác minh mất vài phút. Tiền của một lô hàng chuyển nhầm có thể không bao giờ lấy lại được. Khách hàng thật không phật lòng khi bạn gọi để xác nhận, và ngược lại, chính bạn cũng nên khuyên khách gọi lại mình mỗi khi nhận thông báo đổi tài khoản.
Giả danh hãng tàu, forwarder và cơ quan nhà nước
Thông báo phí phát sinh giả. Một email hoặc tin nhắn tự xưng là hãng tàu hay forwarder báo lô hàng bị giữ vì thiếu phí, kèm số tài khoản cá nhân. Hãng tàu và forwarder thật xuất hoá đơn có thông tin doanh nghiệp, và bạn có thể gọi lại cho nhân viên phụ trách quen để kiểm tra.
Đường dẫn theo dõi lô hàng giả. Thư báo “xem tình trạng lô hàng” dẫn tới trang đăng nhập giả để lấy mật khẩu email. Chỉ tra cứu lô hàng trên trang mà bạn tự gõ địa chỉ, không bấm vào đường dẫn trong thư lạ.
Giả danh cơ quan hải quan, thuế. Cuộc gọi báo doanh nghiệp vi phạm, hàng bị tạm giữ, yêu cầu chuyển tiền để “xử lý nhanh”. Cơ quan nhà nước làm việc bằng văn bản, thu tiền qua kênh chính thức, không đòi chuyển khoản vào tài khoản cá nhân.
Giả danh tổ chức xúc tiến thương mại. Thư mời tham gia hội chợ, danh bạ nhà xuất khẩu, chương trình kết nối với điều kiện nộp phí trước cho một đơn vị không rõ. Chương trình thật kiểm tra được qua trang chính thức của cơ quan tổ chức hoặc qua hiệp hội ngành.
Khi kẻ gian giả danh chính bạn để lừa khách
Một biến thể đau đầu là hộp thư của người bán bị chiếm, kẻ gian gửi hoá đơn với tài khoản mới cho khách, khách chuyển tiền và tiền mất. Khách nói đã trả, người bán nói chưa nhận. Câu hỏi ai chịu thiệt không có câu trả lời chung; nó phụ thuộc hợp đồng, luật áp dụng, bên nào có lỗi trong bảo mật, và thường kết thúc bằng thương lượng chia thiệt hại, làm sứt mẻ quan hệ đã gây dựng nhiều năm.
Đó là lý do bảo vệ hộp thư là trách nhiệm với khách chứ không chỉ với mình. Khi phát hiện hộp thư bị xâm nhập, việc đầu tiên là đổi mật khẩu, kiểm tra quy tắc chuyển tiếp, và báo ngay cho mọi khách đang có giao dịch rằng không chấp nhận bất kỳ thay đổi tài khoản nào trong thời gian này. Thông báo bằng điện thoại hoặc kênh khác email, vì kẻ gian có thể vẫn đang đọc hộp thư.
Về lâu dài, nên thống nhất với khách quen một quy ước: tài khoản nhận tiền cố định, mọi thay đổi chỉ qua văn bản có chữ ký và cuộc gọi xác nhận. Quy ước càng đơn giản thì càng dễ được tuân thủ.
Khi đã dính: làm gì trong những giờ đầu
Tốc độ phản ứng quyết định khả năng lấy lại tiền. Nếu phát hiện tiền đã chuyển sang tài khoản lừa đảo, dù là bạn chuyển hay khách chuyển:
- Báo ngay cho ngân hàng chuyển tiền, yêu cầu gửi điện thu hồi hoặc yêu cầu phong toả tới ngân hàng nhận. Nếu tiền còn nằm trong tài khoản nhận, khả năng chặn lại cao hơn nhiều so với khi đã bị rút.
- Giữ toàn bộ bằng chứng: email gốc kèm phần đầu thư đầy đủ, chứng từ chuyển tiền, tin nhắn. Không xoá gì, kể cả email lừa đảo.
- Trình báo cơ quan công an nơi doanh nghiệp đặt trụ sở, và nếu được hướng dẫn, trình báo cơ quan chức năng ở nước nơi tài khoản nhận được mở.
- Liên hệ thương vụ Việt Nam tại nước liên quan để được hướng dẫn kênh trình báo và hỗ trợ.
- Báo cho đối tác thật bằng kênh đã xác minh, cùng nhau rà soát hộp thư của cả hai bên để biết bị xâm nhập ở đầu nào.
- Rà lại quy trình nội bộ và áp dụng ngay những bước còn thiếu, vì kẻ gian đã có thông tin của bạn có thể thử lại.
Không có gì bảo đảm lấy lại được tiền. Nhưng những trường hợp được thu hồi thường là những trường hợp ngân hàng được báo trong vài giờ đầu, trước khi tiền bị chuyển tiếp qua nhiều tài khoản.
Câu hỏi thường gặp
Người mua nước ngoài yêu cầu phí đăng ký nhà cung cấp có phải lừa đảo không?
Rất có khả năng. Người mua thật có quy trình đánh giá nhà cung cấp nhưng không thu phí để được bán hàng cho họ. Một số tập đoàn lớn yêu cầu nhà cung cấp tự trả phí đánh giá xưởng cho tổ chức độc lập, nhưng khoản đó trả cho tổ chức giám định có thật, không trả cho người mua.
Làm sao kiểm tra một công ty nước ngoài có thật không?
Tra cơ sở dữ liệu đăng ký doanh nghiệp của nước đó, nhiều nước có công khai trực tuyến. Kiểm tra trang web, tuổi tên miền, địa chỉ trên bản đồ, số điện thoại tổng đài. Với đơn lớn, nhờ thương vụ Việt Nam xác minh hoặc mua báo cáo tín dụng doanh nghiệp từ tổ chức cung cấp thông tin.
Thư tín dụng gửi bằng tệp đính kèm email có giá trị không?
Không có giá trị như thư tín dụng thật. Thư tín dụng hợp lệ được truyền giữa các ngân hàng qua hệ thống điện liên ngân hàng. Mang bản scan tới ngân hàng của bạn để hỏi đã nhận được thư thật chưa; nếu chưa, không sản xuất và không giao hàng.
Khách chuyển tiền nhầm vào tài khoản lừa đảo do email của mình bị chiếm thì ai chịu?
Không có quy tắc chung. Kết quả phụ thuộc hợp đồng, luật áp dụng và lỗi bảo mật của mỗi bên. Nhiều vụ kết thúc bằng thương lượng chia thiệt hại. Cách tốt nhất là phòng từ trước bằng điều khoản tài khoản cố định và quy ước xác minh qua điện thoại.
Có nên gửi mẫu miễn phí cho khách mới không?
Gửi một vài mẫu để khách đánh giá là thông lệ, và nhiều người bán chấp nhận chịu chi phí mẫu nhỏ. Với yêu cầu số lượng mẫu lớn hoặc mẫu giá trị cao, đề nghị khách trả phí mẫu và cước, có thể khấu trừ vào đơn đầu. Khách nghiêm túc thường đồng ý.
Bật xác thực hai lớp cho email có thực sự cần không?
Rất cần. Phần lớn vụ đổi tài khoản bắt đầu từ việc kẻ gian lấy được mật khẩu email qua trang đăng nhập giả. Xác thực hai lớp khiến mật khẩu bị lộ chưa đủ để vào hộp thư. Đây là biện pháp rẻ nhất mà hiệu quả nhất cho doanh nghiệp nhỏ.