Doanh nghiệp mới thành lập cần dựng “hàng rào pháp lý” để phòng chống lừa đảo

Một trường hợp được chia sẻ ngày 17/8 mới đây cho thấy thủ đoạn này nguy hiểm ở chỗ đối tượng không dựng một câu chuyện hoàn toàn xa lạ. Chúng sử dụng những thông tin có thật về doanh nghiệp, ghép với một thủ tục đang cần hoàn tất rồi tạo áp lực để chủ doanh nghiệp làm theo. Sau gần hai giờ trao đổi qua điện thoại, doanh nghiệp này đã chia sẻ "tai nạn" được cho là đã mất 250 triệu đồng trên mạng xã hội.

Các doanh nghiệp mới thành lập chính là mục tiêu di động đầy tiềm năng của tội phạm sử dụng công nghệ cao. Sự kết hợp giữa vô số thủ tục pháp lý ban đầu, kinh nghiệm quản trị non trẻ và hệ thống phòng vệ bảo mật gần như bằng không khiến họ rơi vào thế báo động (ảnh minh họa).

Vấn đề pháp lý đặt ra không chỉ là xử lý kẻ lừa đảo. Với doanh nghiệp non trẻ, quan trọng hơn là phải thiết lập cơ chế để một cuộc gọi giả danh không thể tự mình biến thành một giao dịch chuyển tiền.

Biết thông tin doanh nghiệp không đồng nghĩa là có thẩm quyền

Doanh nghiệp mới thành lập thường để lại khá nhiều dấu vết trên môi trường số, cụ thể như tên doanh nghiệp, mã số thuế, tên người đại diện, địa chỉ, ngành nghề, thời điểm thành lập... Bên cạnh đó, các thông tin hoạt động của doanh nghiệp có thể xuất hiện từ nhiều nguồn khác nhau.

Trong quá trình vận hành, doanh nghiệp còn thực hiện hàng loạt giao dịch với ngân hàng, đơn vị cung cấp chữ ký số, hóa đơn điện tử, kế toán, bảo hiểm, đối tác và nhiều nhà cung cấp dịch vụ khác.

Mỗi nơi có thể chỉ nắm "một mảnh" thông tin. Khi những mảnh này được ghép lại, đối tượng xấu có thể tạo ra một hồ sơ đủ chi tiết để từ đó tạo dựng niềm tin khi liên hệ với người của doanh nghiệp.

Vì vậy, doanh nghiệp cần tách bạch hai vấn đề: một bên là thông tin người gọi biết, bên kia là thẩm quyền pháp lý của người gọi.

Một người biết doanh nghiệp đang đăng ký thuế, đang hoàn thiện hồ sơ hay có vốn điều lệ bao nhiêu.. không có nghĩa người đó được quyền yêu cầu doanh nghiệp chuyển tiền, cung cấp mã xác thực hoặc thực hiện thao tác trên tài khoản.

Không giải quyết thủ tục quan trọng qua những cuộc điện thoại

Doanh nghiệp mới thường có một đặc điểm: người đại diện có thể đồng thời làm nhiều việc. Một người nhận điện thoại, sử dụng VNeID, làm việc với kế toán, quản lý tài khoản ngân hàng và trực tiếp quyết định chuyển tiền.

Đây là điểm yếu về quy trình, không nhất thiết là điểm yếu về công nghệ.

Một cuộc gọi giả danh Cơ quan Thuế, công an hoặc cơ quan quản lý có thể tạo ra cảm giác cấp bách: thiếu thủ tục, hồ sơ sắp quá hạn, tài khoản cần xác minh, vốn điều lệ phải xử lý ngay...

Khi đó, người nghe dễ tập trung vào câu hỏi “phải làm gì ngay” thay vì câu hỏi quan trọng hơn: “Ai đang yêu cầu tôi làm việc này và căn cứ pháp lý ở đâu?”

Doanh nghiệp nên quy định rõ: những yêu cầu liên quan đến tiền, tài khoản, mã xác thực, thay đổi thông tin doanh nghiệp hoặc cung cấp dữ liệu quan trọng không được thực hiện chỉ dựa trên cuộc gọi hoặc tin nhắn chưa được xác minh.

Lấy cái thật làm nền cho cái giả

Thủ đoạn đáng lưu ý là đối tượng thường không cần bịa toàn bộ câu chuyện.

Một nghĩa vụ pháp lý có thật có thể được sử dụng làm “phần lõi” của kịch bản. Sau đó, đối tượng thêm vào một yêu cầu không có thật, chẳng hạn yêu cầu chuyển tiền, “ký quỹ”, cung cấp mã OTP hoặc truy cập một đường dẫn lạ.

Càng nhiều chi tiết đúng, nạn nhân càng dễ tin rằng toàn bộ quy trình là thật.

Thời gian vừa qua, các vụ lừa đảo trực tuyến đã và đang diễn biến phức tạp trên môi trường số. Một trong những nguyên nhân chính gây ra tình trạng này được xác định đến từ nhận thức của người sử dụng. Các cuộc tấn công mạng có xu hướng tập trung chủ yếu vào con người thay vì máy móc, thiết bị (Ảnh minh họa).

Đây là lý do doanh nghiệp không nên xác minh bằng cách hỏi ngược lại chính người đang gọi. Phương thức đúng là chủ động tìm đến kênh chính thức của cơ quan có thẩm quyền, sử dụng thông tin liên hệ được công bố chính thức để kiểm tra.

Nếu người gọi yêu cầu xử lý ngay và không cho doanh nghiệp thời gian xác minh, đó càng phải được coi là dấu hiệu cảnh báo.

Doanh nghiệp cần thiết lập “quy trình 3 bước”

Với doanh nghiệp mới thành lập, không cần ngay lập tức xây dựng một hệ thống an ninh mạng quá phức tạp. Trước hết cần có quy trình nội bộ đủ rõ để nhân sự biết phải làm gì khi gặp yêu cầu bất thường.

Bước một: Dừng giao dịch. Không chuyển tiền, không cung cấp OTP, mật khẩu, mã xác thực, thông tin tài khoản hoặc cấp quyền truy cập chỉ vì bị thúc giục qua điện thoại.

Bước hai: Xác minh độc lập. Chủ động liên hệ cơ quan, ngân hàng hoặc tổ chức được cho là đang yêu cầu doanh nghiệp thực hiện thủ tục thông qua kênh chính thức. Không sử dụng số điện thoại, đường link hoặc tài khoản do chính người gọi cung cấp nếu chưa kiểm chứng.

Bước ba: Kiểm soát nội bộ. Với giao dịch bất thường, nên có ít nhất một người thứ hai kiểm tra trước khi chuyển tiền hoặc cung cấp dữ liệu quan trọng. Doanh nghiệp càng nhỏ càng cần quy tắc này.

Một quy trình đơn giản nhưng được tuân thủ nghiêm túc có thể tạo ra “điểm dừng” mà tội phạm rất khó vượt qua.

Doanh nghiệp bị lừa, pháp luật xử lý thế nào?

Về trách nhiệm hình sự, Điều 174 Bộ luật Hình sự năm 2015, được sửa đổi, bổ sung năm 2017, quy định về tội lừa đảo chiếm đoạt tài sản. Người dùng thủ đoạn gian dối để chiếm đoạt tài sản có thể bị xử lý hình sự tùy giá trị tài sản và các tình tiết của vụ án. Khung hình phạt tăng dần theo giá trị tài sản bị chiếm đoạt và các tình tiết định khung; trường hợp chiếm đoạt từ 500 triệu đồng trở lên có thể bị phạt tù từ 12 năm đến 20 năm hoặc tù chung thân.

Đáng chú ý, Điều 174 cũng quy định tình tiết “lợi dụng chức vụ, quyền hạn hoặc lợi dụng danh nghĩa cơ quan, tổ chức” và “dùng thủ đoạn xảo quyệt” trong các trường hợp định khung tăng nặng. Đây là những quy định có ý nghĩa khi xem xét các vụ việc giả danh cơ quan Nhà nước để chiếm đoạt tài sản.

Nếu vụ việc có yếu tố sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử, cơ quan tiến hành tố tụng có thể xem xét thêm các quy định hình sự liên quan tùy hành vi cụ thể. Trong đó, pháp luật hình sự có các quy định về đưa hoặc sử dụng trái phép thông tin mạng, xâm nhập trái phép, sử dụng mạng để chiếm đoạt tài sản và thông tin tài khoản ngân hàng.

Bên cạnh chế tài hình sự đối với người phạm tội, doanh nghiệp cũng cần quan tâm đến bảo vệ dữ liệu và an toàn giao dịch số. Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 1/7/2025; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026; Luật Giao dịch điện tử số 20/2023/QH15 có hiệu lực từ ngày 1/7/2024.

Đặc biệt, từ ngày 1/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực, tạo thêm cơ sở pháp lý mới về bảo vệ an ninh mạng trong bối cảnh hoạt động kinh doanh ngày càng phụ thuộc vào môi trường số.

Đừng đợi mất tiền mới xây quy trình

Với doanh nghiệp mới thành lập, rủi ro lớn nhất không phải lúc nào cũng là một cuộc tấn công kỹ thuật phức tạp. Đôi khi, chỉ một cuộc điện thoại đúng thời điểm, vài thông tin đúng và một yêu cầu được đưa ra với vẻ rất “chính thống” cũng đủ khiến tiền rời khỏi tài khoản.

Doanh nghiệp càng non trẻ càng cần coi quy trình xác minh là một phần của quản trị pháp lý, không phải việc riêng của bộ phận công nghệ thông tin.

Người đại diện doanh nghiệp cần biết nguyên tắc. Kế toán cần biết nguyên tắc. Nhân viên phụ trách hồ sơ cũng phải biết nguyên tắc.

Không chuyển tiền vì bị thúc giục. Không cung cấp mã xác thực qua điện thoại. Không truy cập đường dẫn lạ. Không coi việc người gọi biết nhiều thông tin là bằng chứng về thẩm quyền.

Trong môi trường kinh doanh số, một doanh nghiệp mới thành lập có thể chưa có nhiều tài sản, nhưng lại có rất nhiều dữ liệu và giao dịch cần bảo vệ. Dựng hàng rào từ ngày đầu hoạt động sẽ rẻ hơn rất nhiều so với việc xử lý hậu quả sau một lần mắc bẫy.