Tin công nghệ

Lừa đảo deepfake nhắm vào lãnh đạo và kế toán: cách phòng tránh

Posted on by superadmin

Khi “giám đốc” gọi video yêu cầu chuyển tiền gấp

Hãy hình dung tình huống: kế toán nhận cuộc gọi video từ tài khoản mang tên và hình ảnh giám đốc, giọng nói quen thuộc, yêu cầu chuyển gấp một khoản tiền cho đối tác để kịp ký hợp đồng. Cuộc gọi kéo dài chưa đến một phút, hình ảnh hơi mờ vì “đang ở sân bay”. Đây chính là kịch bản lừa đảo deepfake mà cơ quan chức năng và các chuyên gia bảo mật liên tục cảnh báo trong năm 2026.

Tháng 9/2026, Công an thành phố Hà Nội đưa ra cảnh báo về 25 kịch bản lừa đảo trên không gian mạng, trong đó có nhóm thủ đoạn dùng AI để giả hình ảnh, video, giọng nói của người thân, bạn bè hoặc lãnh đạo cơ quan nhằm yêu cầu chuyển tiền. Cũng trong tháng 9, Hiệp hội An ninh mạng quốc gia phối hợp với Cục A05 tổ chức hội thảo chuyên đề về deepfake nhắm vào lãnh đạo doanh nghiệp, hướng tới ban điều hành, giám đốc tài chính và bộ phận kế toán.

Vì sao lãnh đạo và kế toán là mục tiêu?

  • Lãnh đạo thường xuất hiện trên báo chí, mạng xã hội, video sự kiện, cung cấp sẵn nguồn hình ảnh và giọng nói để AI học theo.
  • Kế toán, thủ quỹ là người có quyền thực hiện giao dịch, thường được yêu cầu xử lý nhanh và ít khi dám chất vấn cấp trên.
  • Thông tin doanh nghiệp công khai như tên đối tác, dự án, sơ đồ tổ chức giúp kẻ gian dựng kịch bản rất thuyết phục.

Kết hợp với email giả mạo tên miền gần giống, tài khoản Zalo hoặc Telegram mạo danh, kẻ gian có thể tạo ra chuỗi tương tác khiến nạn nhân tin là thật. Thiệt hại từ một cuộc gọi có thể lên tới hàng tỷ đồng chỉ trong vài phút.

Dấu hiệu nhận biết cuộc gọi deepfake

  • Cuộc gọi rất ngắn, viện lý do mạng yếu, đang bận để tránh trò chuyện lâu.
  • Khuôn mặt cử động thiếu tự nhiên, ánh sáng hoặc viền mặt bất thường, ít chớp mắt.
  • Khẩu hình không khớp với âm thanh, giọng nói đều đều, thiếu cảm xúc.
  • Yêu cầu khẩn cấp, bí mật, “không được nói với ai”, chuyển vào tài khoản mới chưa từng giao dịch.
  • Từ chối khi được đề nghị gọi lại qua số điện thoại quen thuộc.

Tuy nhiên, công nghệ deepfake ngày càng tinh vi, nên không thể chỉ dựa vào mắt thường. Quy trình mới là lớp bảo vệ quan trọng nhất.

Quy trình chống lừa đảo cho doanh nghiệp

1. Gọi lại xác minh qua kênh độc lập

Mọi yêu cầu chuyển tiền, thay đổi số tài khoản nhà cung cấp hay cung cấp dữ liệu nhạy cảm qua điện thoại, video, chat hay email đều phải được xác minh bằng cách chủ động gọi lại theo số điện thoại đã lưu trong danh bạ nội bộ, không dùng số do người yêu cầu cung cấp.

2. Nguyên tắc “bốn mắt”

Giao dịch vượt một ngưỡng nhất định phải có hai người phê duyệt độc lập. Kẻ gian rất khó lừa cùng lúc hai người theo hai kênh khác nhau.

3. Mã xác nhận nội bộ

Một số doanh nghiệp dùng câu hỏi hoặc mã xác nhận riêng chỉ ban lãnh đạo và kế toán biết, thay đổi định kỳ, để xác minh khi có yêu cầu bất thường.

4. Không có ngoại lệ “khẩn cấp”

Ban lãnh đạo cần tuyên bố rõ rằng nhân viên sẽ không bị khiển trách khi làm đúng quy trình xác minh, kể cả khi điều đó làm chậm một giao dịch thật.

Biện pháp kỹ thuật hỗ trợ

  • Cấu hình SPF, DKIM, DMARC cho tên miền email công ty để giảm email giả mạo.
  • Bật cảnh báo email từ bên ngoài và tên miền gần giống trên hệ thống email.
  • Bật xác thực đa yếu tố, ưu tiên passkey cho email và ngân hàng điện tử.
  • Thiết lập hạn mức và xác thực hai lớp trên tài khoản ngân hàng doanh nghiệp.
  • Hạn chế công khai thông tin chi tiết về sơ đồ tổ chức, số điện thoại cá nhân của lãnh đạo.
  • Không cài ứng dụng điều khiển từ xa theo hướng dẫn của người lạ.

Khi nghi ngờ bị lừa

Liên hệ ngay ngân hàng để yêu cầu phong tỏa giao dịch, lưu lại toàn bộ bằng chứng như tin nhắn, ghi âm, số tài khoản, và trình báo cơ quan công an gần nhất. Luật An ninh mạng 2025 có hiệu lực từ 1/7/2026 đã cấm hành vi dùng AI làm giả hình ảnh, giọng nói người khác trái pháp luật, tạo cơ sở để xử lý các vụ việc này.

Doanh nghiệp nên làm gì?

Hãy tổ chức một buổi tập huấn ngắn cho ban lãnh đạo, kế toán và bộ phận mua hàng, đồng thời ban hành quy trình xác minh bằng văn bản. Về phía hạ tầng, DTIC có thể hỗ trợ cấu hình bảo mật email, giải pháp lọc thư rác và thiết bị xác thực cho doanh nghiệp.

Nguồn tham khảo