Chiêu lừa đảo email tinh vi khiến doanh nghiệp Úc mất trắng 80.000 USD

Một email có hình thức gần như hoàn hảo, một tên miền chỉ khác vài ký tự và lý do thay đổi tài khoản nghe rất hợp lý đã khiến doanh nghiệp du lịch tại Perth mất 80.000 AUD. Đáng lo hơn, sau vụ việc này, doanh nghiệp tiếp tục bị nhắm tới bằng thủ đoạn tương tự với khoản thanh toán lên tới 200.000 AUD.

Lưu ý: Tiêu đề được cung cấp sử dụng đơn vị USD, nhưng nguồn tin Australia chỉ ghi ký hiệu “$”. Vì sự việc xảy ra tại Australia, các khoản tiền trong bài được thể hiện chính xác theo bối cảnh là 80.000 AUD và 200.000 AUD.

Khoản thanh toán 80.000 AUD biến mất như thế nào?

Ông Meng Wong, 63 tuổi, điều hành doanh nghiệp du lịch Blue Travel tại Perth, bang Tây Australia, từ năm 1992. Vào tháng 4/2024, công ty của ông phụ trách tổ chức chuyến tham quan Tây Australia cho đoàn 20 du khách của một đại lý lữ hành Đài Loan. Gói dịch vụ có tổng giá trị khoảng 100.000 AUD.

Khách hàng đã đặt cọc 20.000 AUD và dự kiến chuyển 80.000 AUD còn lại trước khi đoàn khách đến Australia. Tuy nhiên, khi không thấy khoản tiền xuất hiện trong tài khoản, ông Wong liên hệ đối tác để kiểm tra và được thông báo rằng giao dịch đã hoàn tất.

Việc đối chiếu chứng từ sau đó cho thấy tiền được chuyển vào một tài khoản không thuộc Blue Travel. Hai bên kiểm tra lại chuỗi thư và phát hiện kẻ gian đã đăng ký những tên miền gần giống tên miền thật của các doanh nghiệp, sau đó tạo các địa chỉ email giả để đứng xen giữa cuộc trao đổi.

Ảnh minh họa: Doanh nghiệp kiểm tra email thanh toán đáng ngờ

Đại lý Đài Loan nhận được thông báo rằng Blue Travel đã mở tài khoản ngân hàng mới do thay đổi chính sách của chính phủ. Vì tin rằng yêu cầu đến từ đối tác thật, công ty này chuyển toàn bộ 80.000 AUD vào tài khoản do kẻ gian kiểm soát.

Trong khi đó, ông Wong vẫn nhận được những email có vẻ như đến từ khách hàng Đài Loan. Mỗi bên đều tưởng mình đang trao đổi với đối tác thật và chỉ nhận ra bất thường sau khi khoản tiền không đến đúng nơi. Theo ông Wong, số tiền đã mất không thể thu hồi.

Doanh nghiệp chịu tổn thất vượt xa số tiền bị đánh cắp

Thiệt hại không dừng ở 80.000 AUD. Khi thời điểm đoàn du khách đến Australia đã cận kề, Blue Travel vẫn phải tìm cách bảo đảm chương trình diễn ra. Đại lý Đài Loan đồng ý thanh toán trực tiếp cho các nhà cung cấp địa phương, còn ông Wong từ bỏ lợi nhuận và tự gánh thêm một số chi phí.

Vụ việc cũng làm lung lay niềm tin giữa hai doanh nghiệp. Khách hàng từng nghi ngờ ông Wong có liên quan đến yêu cầu thay đổi tài khoản, trong khi chính ông cũng đang hoảng loạn vì khoản tiền biến mất. Đây là hậu quả thường thấy của hình thức lừa đảo xâm nhập email doanh nghiệp, hay Business Email Compromise (BEC): tội phạm không chỉ lấy tiền mà còn phá vỡ quan hệ thương mại và uy tín của nạn nhân.

Đối với các chủ cửa hàng hoặc người đang quan tâm đến hoạt động sang nhượng business tại Úc, vụ việc là lời nhắc quan trọng rằng quy trình xác minh tài chính cần được xây dựng ngay cả khi doanh nghiệp có quy mô nhỏ.

Vụ tấn công trở lại với khoản tiền 200.000 AUD

Khi ông Wong đang kể lại sự việc với truyền thông, một khách hàng tại Hong Kong bất ngờ cảnh báo ông về email đáng ngờ. Thư yêu cầu họ dừng mọi khoản thanh toán theo hóa đơn đã phát hành, xóa thông tin tài khoản cũ và chờ hóa đơn mới có thông tin ngân hàng cập nhật.

Email còn đề nghị khách hàng cung cấp số điện thoại để một người tự xưng thuộc bộ phận kế toán gọi xác minh. Chi tiết này tạo cảm giác chuyên nghiệp nhưng thực tế có thể giúp kẻ gian tự thực hiện cuộc gọi, tiếp tục đóng vai doanh nghiệp và hợp thức hóa tài khoản giả.

Tên miền hợp pháp của Blue Travel là blueco.com.au, trong khi một số địa chỉ được sao chép trong email sử dụng blueco-au.com. Khác biệt nhỏ ở dấu gạch ngang và phần đuôi rất dễ bị bỏ qua, nhất là khi người nhận đọc thư trên điện thoại.

May mắn là khách hàng Hong Kong đã liên hệ trực tiếp với ông Wong qua kênh có sẵn trước khi chuyển tiền. Nhờ vậy, khoản thanh toán 200.000 AUD không bị chuyển hướng. Hiện chưa đủ dữ liệu kỹ thuật để kết luận hai vụ việc do cùng một nhóm thực hiện hoặc tài khoản email nào đã bị xâm nhập.

Vì sao doanh nghiệp nhỏ trở thành mục tiêu?

Doanh nghiệp nhỏ thường cho rằng họ không đủ lớn để thu hút tội phạm mạng. Tuy nhiên, Brad Miller, tổng giám đốc BizCover, cảnh báo rằng kẻ gian không nhất thiết tìm mục tiêu lớn nhất mà thường tìm mục tiêu dễ bị tổn thương nhất.

Theo khảo sát được 7NEWS dẫn lại, 43% trong số 545 chủ doanh nghiệp nhỏ có bảo hiểm tham gia khảo sát cho biết từng gặp ít nhất một nguy cơ mạng tiềm tàng trong khoảng thời gian khảo sát được đề cập. Do mốc thời gian trong dữ liệu gốc chưa được trình bày đầy đủ, con số này không nên được diễn giải thành tỷ lệ đại diện cho toàn bộ doanh nghiệp nhỏ tại Australia.

Các cơ sở nhỏ thường không có nhân sự an ninh mạng chuyên trách. Một người có thể đồng thời quản lý email, hóa đơn và thanh toán; tài khoản chưa bật xác thực đa yếu tố; hoặc việc thay đổi thông tin người thụ hưởng không cần người thứ hai phê duyệt. Những điểm yếu này giúp tội phạm can thiệp đúng lúc doanh nghiệp chuẩn bị chuyển một khoản tiền lớn.

Độc giả có thể theo dõi thêm các cảnh báo mới trong chuyên mục tin tức và sự kiện tại Australia hoặc trao đổi thông tin cùng cộng đồng Người Việt Tại Úc.

Dấu hiệu nhận biết email chuyển hướng thanh toán

Một yêu cầu thay đổi tài khoản không phải lúc nào cũng có lỗi chính tả hoặc cách trình bày vụng về. Với BEC, nội dung có thể được xây dựng dựa trên chuỗi email thật và đúng thời điểm thanh toán. Doanh nghiệp nên thận trọng khi gặp các dấu hiệu sau:

• Tài khoản ngân hàng đột ngột thay đổi dù hai bên đã giao dịch ổn định trong thời gian dài.
• Email viện dẫn lý do như thay đổi chính sách, kiểm toán, tài khoản cũ gặp sự cố hoặc tái cấu trúc ngân hàng.
• Tên miền người gửi gần giống tên miền thật nhưng có thêm dấu gạch ngang, thay đổi dấu chấm hoặc phần đuôi.
• Người gửi thúc giục thanh toán sớm, yêu cầu giữ bí mật hoặc tránh liên hệ với đầu mối quen thuộc.
• Thông tin liên hệ để xác minh chỉ xuất hiện trong chính email đáng ngờ.
• Hóa đơn quen thuộc nhưng số tài khoản, BSB hoặc tên người nhận đã được thay đổi.

Cách bảo vệ doanh nghiệp trước lừa đảo email

Biện pháp quan trọng nhất là đặt ra quy tắc bắt buộc: mọi thay đổi về tài khoản thanh toán phải được xác minh bằng một kênh độc lập. Hãy gọi số điện thoại đã lưu trong hợp đồng hoặc hồ sơ trước đó, thay vì dùng số được cung cấp trong email yêu cầu thay đổi.

• Bật xác thực đa yếu tố cho email, hệ thống kế toán và tài khoản quản trị.
• Dùng mật khẩu dài, riêng biệt và trình quản lý mật khẩu đáng tin cậy.
• Yêu cầu hai người phê duyệt khi thêm người nhận mới hoặc thực hiện giao dịch lớn.
• Kiểm tra thường xuyên quy tắc chuyển tiếp, thư bị ẩn và lịch sử đăng nhập email.
• Cấu hình SPF, DKIM và DMARC để hạn chế tình trạng giả mạo tên miền.
• Đưa cảnh báo lên hóa đơn rằng mọi yêu cầu đổi tài khoản phải được xác minh trực tiếp.
• Không nhấp liên kết hoặc mở tệp đính kèm nếu chưa kiểm tra người gửi.
• Đào tạo nhân viên kế toán và người phụ trách thanh toán bằng các tình huống thực tế.

Các doanh nghiệp cần hỗ trợ về kế toán hoặc chuyển tiền có thể tham khảo danh mục dịch vụ tài chính, kế toán và chuyển tiền, đồng thời vẫn phải tự xác minh tư cách nhà cung cấp trước khi sử dụng.

Cần làm gì nếu đã chuyển tiền vào tài khoản giả?

Thời gian phản ứng có vai trò quyết định. Ngay khi phát hiện giao dịch bất thường, doanh nghiệp cần gọi ngân hàng gửi tiền, yêu cầu chuyển đến bộ phận gian lận và đề nghị thu hồi hoặc đóng băng khoản tiền. Đồng thời, hãy thông báo cho đối tác qua kênh đã xác minh và báo cáo sự việc với ReportCyber tại Australia.

Doanh nghiệp không nên chỉ chụp màn hình rồi xóa thư. Email gốc, toàn bộ header, nhật ký đăng nhập, quy tắc hộp thư và lịch sử thay đổi tài khoản đều có thể trở thành chứng cứ quan trọng. Sau đó, cần đổi mật khẩu từ thiết bị sạch, thu hồi các phiên đăng nhập, kiểm tra quyền truy cập ứng dụng và cảnh báo những khách hàng có khả năng đã nhận thư giả.

Vụ việc của Blue Travel cho thấy một email thuyết phục vẫn có thể bị chặn bởi một thao tác đơn giản: gọi trực tiếp cho đối tác bằng số điện thoại đã được xác thực từ trước. Trong môi trường kinh doanh ngày càng phụ thuộc vào email, sự cảnh giác cần đi cùng quy trình rõ ràng, thay vì chỉ dựa vào kinh nghiệm hoặc cảm giác rằng một lá thư “trông có vẻ thật”.