Các vụ gian lận danh tính khiến doanh nghiệp thiệt hại hàng tỷ đô la: Cách giảm rủi ro và ứng phó nhanh

Gian lận danh tính không còn là một vấn đề hẹp của người tiêu dùng. Đây là vấn đề của doanh nghiệp, vấn đề về dòng tiền, vấn đề về tuân thủ và vấn đề về niềm tin. Khi tội phạm dùng danh tính bị đánh cắp hoặc danh tính tổng hợp để mở tài khoản, chuyển hướng thanh toán hoặc khai thác hồ sơ nhân viên, thiệt hại hiếm khi dừng lại ở giao dịch gian lận đầu tiên.

Doanh nghiệp có thể mất tiền trực tiếp thông qua tiền bị đánh cắp, hóa đơn chưa thanh toán, khoản hoàn tiền giả và giao dịch bồi hoàn. Họ cũng có thể phải chi cho việc khắc phục, rà soát pháp lý, phản ứng với cơ quan quản lý, điều tra nội bộ, khôi phục hệ thống và thông báo cho khách hàng. Kết quả thường tốn kém hơn nhiều so với vụ gian lận ban đầu.

Đối với doanh nghiệp nhỏ và vừa, tác động có thể đặc biệt nghiêm trọng. Chỉ một vụ chiếm đoạt tài khoản hoặc chuyển hướng bảng lương cũng có thể làm gián đoạn hoạt động, làm xói mòn niềm tin của khách hàng và phơi bày những điểm yếu trong kiểm soát nội bộ vốn dễ bị bỏ qua trong giai đoạn tăng trưởng.

Các vụ gian lận danh tính trông như thế nào

Các vụ gian lận danh tính thường bắt đầu bằng dữ liệu cá nhân bị đánh cắp. Dữ liệu đó có thể đến từ lừa đảo qua email, phần mềm độc hại, vi phạm dữ liệu, lạm dụng nội gián, trộm tài liệu hoặc kỹ nghệ xã hội. Khi tội phạm có đủ dữ liệu, chúng có thể giả mạo một người thật, tạo ra danh tính tổng hợp hoặc thao túng một quy trình kinh doanh.

Các hành vi lạm dụng phổ biến gồm:

• Mở tài khoản tín dụng hoặc tài khoản ngân hàng dưới tên người khác
• Yêu cầu thay đổi thông tin thanh toán cho nhà cung cấp hoặc cộng tác viên
• Chuyển hướng bảng lương sang tài khoản gian lận
• Nộp hồ sơ thuế hoặc yêu cầu hoàn tiền giả
• Chiếm đoạt tài khoản của nhân viên hoặc khách hàng
• Dùng thông tin đăng nhập bị đánh cắp để truy cập hệ thống nội bộ
• Khai thác quy trình onboarding hoặc xác minh yếu kém

Một vụ gian lận không cần quá tinh vi vẫn có thể gây thiệt hại. Trong nhiều trường hợp, kẻ tấn công chỉ cần một nhân viên, một bước phê duyệt yếu hoặc một trường dữ liệu bị bỏ sót để thành công.

Vì sao doanh nghiệp thường phải gánh chi phí

Doanh nghiệp thường hấp thụ chi phí gian lận ngay cả khi họ không phải là mục tiêu trực tiếp của một vụ đánh cắp danh tính cá nhân. Một giao dịch gian lận vẫn có thể tạo ra tổn thất thực sự cho công ty đã xử lý, phê duyệt hoặc không phát hiện ra nó đủ nhanh.

Các yếu tố chi phí lớn nhất thường bao gồm:

• Tiền bị đánh cắp và các khoản chuyển khoản không thể thu hồi
• Bồi hoàn và tranh chấp thanh toán
• Các khoản phải thu bị phong tỏa hoặc chậm giải ngân
• Thời gian nhân viên dành cho điều tra và khắc phục
• Phí luật sư và chi phí phản ứng tuân thủ
• Tổn hại uy tín và mất niềm tin
• Gián đoạn dịch vụ và ngừng hoạt động

Còn có một chi phí gián tiếp khó đo lường hơn. Khi gian lận đã lộ diện với khách hàng, nhà cung cấp hoặc bên cho vay, doanh nghiệp có thể phải mất nhiều tháng để chứng minh rằng các kiểm soát của mình đáng tin cậy. Điều đó có thể ảnh hưởng đến quan hệ đối tác, tài trợ và tăng trưởng trong tương lai.

Những vụ gian lận danh tính phổ biến nhất

Gian lận danh tính tổng hợp

Gian lận danh tính tổng hợp kết hợp thông tin thật và thông tin giả để tạo ra một danh tính mới trông đủ hợp lệ để vượt qua các kiểm tra cơ bản. Tội phạm thường sử dụng những mảnh dữ liệu thật, chẳng hạn như số An sinh Xã hội đi kèm với tên hoặc địa chỉ giả. Vì danh tính đó chỉ một phần là thật nên việc phát hiện có thể rất khó cho đến khi tổn thất bắt đầu tích lũy.

Chiếm đoạt tài khoản

Trong một vụ chiếm đoạt tài khoản, kẻ tấn công dùng thông tin đăng nhập bị đánh cắp, liên kết đặt lại mật khẩu hoặc kỹ nghệ xã hội để giành quyền truy cập vào tài khoản của khách hàng, nhân viên hoặc nhà cung cấp. Khi đã vào được bên trong, chúng có thể thay đổi thông tin thanh toán, đánh cắp dữ liệu hoặc ủy quyền cho các giao dịch gian lận.

Gian lận nhà cung cấp và hóa đơn

Kiểu gian lận này nhắm vào các nhóm phải trả. Kẻ gian giả danh nhà cung cấp hoặc cộng tác viên hợp pháp và yêu cầu cập nhật thông tin tài khoản ngân hàng. Nếu yêu cầu được chấp thuận mà không xác minh thứ cấp, khoản thanh toán tiếp theo sẽ được chuyển thẳng cho kẻ tấn công.

Chuyển hướng bảng lương

Gian lận bảng lương xảy ra khi kẻ tấn công hoặc người trong cuộc thay đổi thông tin chuyển khoản trực tiếp để tiền lương được gửi vào tài khoản sai. Việc này có thể được kích hoạt thông qua cổng nhân viên bị xâm nhập hoặc một yêu cầu nhân sự giả mạo.

Lạm dụng nội gián

Không phải mọi gian lận danh tính đều đến từ bên ngoài công ty. Nhân viên, nhà thầu hoặc cựu thành viên đội ngũ có thể lạm dụng quyền truy cập vào hồ sơ khách hàng, tệp bảng lương hoặc hệ thống onboarding để đánh cắp thông tin hoặc phê duyệt các thay đổi gian lận.

Trộm tài liệu và thư tín

Tài liệu giấy vẫn còn quan trọng. Thư bị lấy cắp, biểu mẫu bị bỏ đi hoặc hồ sơ để thất lạc có thể tiết lộ tên, địa chỉ, thông tin thuế, chi tiết ngân hàng và các dữ liệu khác mà tội phạm có thể dùng để xây dựng hồ sơ gian lận.

Những dấu hiệu cảnh báo cần chú ý ngay

Gian lận dễ ngăn chặn hơn khi các nhóm biết cần tìm gì. Các dấu hiệu cảnh báo thường xuất hiện trong quá trình kinh doanh hằng ngày, nhưng rất dễ bị bỏ qua nếu không có quy trình rà soát rõ ràng.

Hãy chú ý đến:

• Yêu cầu thay đổi thông tin ngân hàng với mức độ khẩn cấp bất thường
• Thông tin khách hàng hoặc nhà cung cấp không khớp với hồ sơ trước đó
• Nhiều lần đăng nhập thất bại từ vị trí lạ
• Thay đổi đột ngột đối với hướng dẫn chuyển khoản lương của nhân viên
• Giấy tờ tùy thân không nhất quán trong quá trình onboarding
• Tài khoản trùng lặp với thông tin liên hệ tương tự
• Yêu cầu thanh toán bỏ qua các bước phê duyệt thông thường
• Hoạt động tài khoản vào giờ lạ hoặc từ thiết bị mới

Một tín hiệu đơn lẻ có thể chưa chứng minh được gian lận. Nhưng một chuỗi các bất thường nhỏ nên kích hoạt việc rà soát trước khi tiền được chuyển đi hoặc thay đổi quyền truy cập được hoàn tất.

Cách giảm rủi ro gian lận danh tính

Thiết lập các bước xác minh chặt chẽ

Bất kỳ yêu cầu nào liên quan đến tiền, quyền truy cập tài khoản hoặc dữ liệu danh tính đều nên yêu cầu một quy trình xác minh tách biệt với kênh yêu cầu ban đầu. Nếu email yêu cầu thay đổi thông tin ngân hàng, hãy xác nhận qua điện thoại hoặc qua cổng thông tin đã biết, chứ không phải bằng cách trả lời chính chuỗi email đó.

Giới hạn quyền truy cập vào dữ liệu nhạy cảm

Càng ít người có thể xem, xuất hoặc chỉnh sửa hồ sơ danh tính thì nguy cơ bị lạm dụng càng thấp. Hãy dùng phân quyền theo vai trò, rà soát quyền truy cập định kỳ và ghi nhật ký cho các hành động nhạy cảm. Quyền truy cập nên được cấp theo chức năng công việc, không phải vì sự tiện lợi.

Đào tạo nhân viên biết chậm lại

Gian lận thành công khi các nhóm hành động quá nhanh mà không kiểm tra chi tiết. Đào tạo nên dạy nhân viên đặt câu hỏi trước những yêu cầu khẩn cấp, nhận diện các mánh khóe giả mạo và tạm dừng khi một yêu cầu có vẻ bất thường. Nhân viên tuyến đầu, nhóm tài chính và nhân sự đặc biệt quan trọng vì họ xử lý các yêu cầu có rủi ro cao nhất.

Bảo vệ dữ liệu onboarding và dữ liệu khách hàng

Dữ liệu danh tính thu thập trong quá trình onboarding, tài trợ và hỗ trợ nên được mã hóa, lưu trữ an toàn và chỉ giữ trong thời gian cần thiết. Hồ sơ giấy nên được khóa lại, hủy bằng máy cắt khi không còn cần thiết và tránh để ở khu vực làm việc mở.

Tăng cường kiểm soát số

Sử dụng xác thực đa yếu tố, chính sách mật khẩu an toàn, giám sát phiên làm việc và cảnh báo thiết bị để giảm rủi ro chiếm đoạt tài khoản. Xem xét các bất thường khi đăng nhập, thay đổi IP và các lần yêu cầu đặt lại liên tiếp. Nếu hệ thống cho phép, hãy yêu cầu xác minh bổ sung cho các thay đổi ngân hàng và các khoản chuyển tiền giá trị lớn.

Theo dõi thanh toán và thay đổi nhà cung cấp

Quy trình thanh toán nên có báo cáo ngoại lệ và các quy tắc phê duyệt cho việc thay đổi thông tin ngân hàng, người nhận thanh toán hoặc định tuyến hóa đơn. Nếu nhà cung cấp cập nhật tài khoản ngân hàng, hãy xác nhận yêu cầu thông qua một đầu mối quen thuộc khác trước khi giải ngân khoản thanh toán tiếp theo.

Duy trì dấu vết kiểm toán rõ ràng

Một dấu vết kiểm toán tốt giúp cả phòng ngừa lẫn điều tra. Ghi lại ai đã thay đổi gì, khi nào họ thay đổi, yêu cầu đến từ đâu và đã được xác minh như thế nào. Nếu gian lận xảy ra, nhật ký chi tiết có thể giúp tái dựng chuỗi sự kiện và hạn chế thiệt hại.

Rà soát rủi ro bên thứ ba

Gian lận danh tính thường đi qua các nhà cung cấp, đơn vị xử lý bảng lương, ngân hàng và công cụ phần mềm. Hãy xem xét những dữ liệu các đối tác đó nắm giữ, cách họ xác minh yêu cầu và các kiểm soát họ dùng để bảo vệ thay đổi tài khoản. Một đối tác yếu kém có thể trở thành con đường dễ nhất để xâm nhập vào doanh nghiệp của bạn.

Cần làm gì nếu xảy ra gian lận

Tốc độ là yếu tố quyết định. Mục tiêu là ngăn chặn tổn thất tiếp theo, bảo toàn chứng cứ và khoanh vùng phạm vi ảnh hưởng.

Trước tiên, hãy đóng băng tài khoản, khoản thanh toán hoặc quy trình bị ảnh hưởng nếu có thể làm an toàn. Sau đó bảo toàn nhật ký, email, tài liệu và các phê duyệt liên quan đến sự cố. Thông báo ngay cho ngân hàng hoặc nhà cung cấp dịch vụ thanh toán nếu tiền đã được chuyển hoặc điểm đến thanh toán bị thay đổi.

Tiếp theo, liên hệ bộ phận pháp lý, lãnh đạo nội bộ và bất kỳ cơ quan quản lý hoặc thực thi pháp luật nào cần được thông báo. Nếu dữ liệu khách hàng hoặc nhân viên đã bị lộ, hãy xác định xem có nghĩa vụ thông báo hay không. Cuối cùng, xem xét nguyên nhân gốc rễ để cùng một lỗ hổng kiểm soát không lặp lại.

Một kế hoạch ứng phó nên được soạn sẵn trước khi sự cố xảy ra. Khi mọi người đã biết cần gọi cho ai và cần tắt gì, doanh nghiệp sẽ ít có khả năng mất thời gian trong giờ đầu tiên then chốt.

Vì sao thành lập doanh nghiệp và lưu trữ hồ sơ lại quan trọng

Ngăn ngừa gian lận danh tính không chỉ là vấn đề an ninh mạng. Nó còn là vấn đề quản trị. Doanh nghiệp có hồ sơ thành lập rõ ràng, tài liệu sở hữu minh bạch và các kiểm soát nội bộ nhất quán sẽ có vị thế tốt hơn để xác minh thẩm quyền khi có yêu cầu gửi đến.

Đó là một lý do vì sao người sáng lập nên xem việc thiết lập doanh nghiệp và tuân thủ như một phần của quản trị rủi ro ngay từ đầu. Hồ sơ pháp nhân được tổ chức tốt, tài khoản ngân hàng doanh nghiệp tách biệt và quy trình phê duyệt được ghi chép rõ ràng sẽ giảm sự nhầm lẫn và khiến gian lận khó che giấu hơn. Đối với doanh nhân mới, một đối tác thành lập như Zenind có thể giúp thiết lập doanh nghiệp đúng cách để các kiểm soát hành chính có nền tảng vững chắc.

Kết luận

Các vụ gian lận danh tính khiến doanh nghiệp thiệt hại hàng tỷ đô la vì chúng khai thác khoảng cách giữa niềm tin và xác minh. Tội phạm không phải lúc nào cũng cần công cụ tiên tiến. Chúng thường chỉ cần một quy trình yếu, một phê duyệt vội vàng hoặc một thành viên trong nhóm quá bận để kiểm tra lại.

Doanh nghiệp giảm quyền truy cập, xác minh thay đổi qua kênh ngoài luồng, đào tạo nhân viên và lưu giữ dấu vết kiểm toán chặt chẽ sẽ khó bị nhắm mục tiêu hơn nhiều. Những công ty coi trọng bảo vệ danh tính không chỉ đang bảo vệ khách hàng hay nhân viên. Họ đang bảo vệ doanh thu, uy tín và sự ổn định lâu dài của doanh nghiệp.