Đầu năm 2024, một nhân viên tài chính ở văn phòng Hồng Kông của tập đoàn kỹ thuật Arup nhận được tin nhắn xưng là của giám đốc tài chính bên Anh. Nội dung: cần làm một giao dịch bí mật. Người này nghi ngờ, và nghi ngờ là đúng.
Rồi có một cuộc gọi video. Trên màn hình là giám đốc tài chính cùng vài đồng nghiệp quen mặt, nói bằng giọng quen thuộc. Mối nghi tan biến. Trong những ngày sau, người nhân viên thực hiện 15 lệnh chuyển, tổng cộng 200 triệu đô la Hồng Kông, khoảng 25,6 triệu USD.
Theo cảnh sát Hồng Kông, mọi người trong cuộc gọi, trừ nạn nhân, đều là hình giả do AI dựng lên.
Vì sao người nhân viên tin
Đọc lại vụ việc thì thấy người nhân viên đã làm đúng ở bước đầu: thấy tin nhắn lạ thì nghi. Cái hỏng nằm ở chỗ cuộc gọi video được dùng làm bằng chứng xác minh, trong khi chính cuộc gọi đó cũng do kẻ gian tổ chức.
Đây là điểm mấu chốt của cả vụ. Nhiều doanh nghiệp coi việc "đã gọi video, thấy mặt sếp" là đủ chắc chắn. Kẻ gian biết điều đó, nên thay vì tránh bước xác minh, họ tự dựng luôn bước xác minh.
Hình ảnh và giọng nói để làm giả cũng không khó kiếm. Lãnh đạo doanh nghiệp thường xuất hiện trong video hội thảo, buổi họp trực tuyến, bài phỏng vấn đăng công khai. Vài phút tư liệu là đủ để dựng một bản giả chạy được trong một cuộc gọi ngắn, nhất là khi nạn nhân đang bị hối.
Arup sau đó xác nhận có dùng giọng nói và hình ảnh giả, đồng thời cho biết hệ thống nội bộ không bị xâm nhập và hoạt động tài chính không bị ảnh hưởng. Nói cách khác, kẻ gian không cần đột nhập vào đâu cả. Họ chỉ cần thuyết phục đúng một người có quyền bấm nút chuyển tiền.
Năm kiểm soát chặn được vụ này
Không nên trông vào việc nhìn ra hình giả. Chất lượng hình giả tăng nhanh hơn nhiều so với khả năng nhận ra của con người. Thứ chặn được kiểu lừa này là quy trình, và quy trình đó áp dụng được cho cả doanh nghiệp vài chục người.
| Kiểm soát | Làm thế nào | Chặn ở chỗ nào trong vụ Arup |
|---|---|---|
| 1. Xác minh qua kênh độc lập | Yêu cầu chuyển tiền bất thường phải được xác nhận bằng cách mình chủ động gọi vào số điện thoại đã lưu trong danh bạ nội bộ, không gọi lại số trong tin nhắn hay đường dẫn cuộc họp người kia gửi | Cuộc gọi video do kẻ gian gửi lời mời, nên nó không phải kênh độc lập |
| 2. Hạn mức cộng dồn | Tính hạn mức theo tổng số tiền chuyển cho cùng một người nhận trong một khoảng thời gian, không chỉ theo từng lệnh | 15 lệnh nhỏ cộng lại thành một khoản rất lớn |
| 3. Hai người duyệt | Khoản vượt hạn mức phải có người thứ hai duyệt, và người đó không có mặt trong cuộc trao đổi với người yêu cầu | Một người vừa nhận lệnh vừa thực hiện |
| 4. Người nhận mới thì chờ | Tài khoản thụ hưởng lần đầu xuất hiện phải qua bước xác minh riêng, khoản lớn thì chờ một khoảng thời gian cố định trước khi chuyển | Tiền đi vào các tài khoản ở Hồng Kông chưa từng giao dịch |
| 5. Chữ "bí mật" là cờ đỏ | Quy chế ghi rõ: không có giao dịch nào được miễn quy trình vì lý do bí mật hay gấp. Yêu cầu càng gấp và càng bí mật thì càng phải xác minh kỹ | Tin nhắn đầu tiên nói thẳng là giao dịch bí mật |
Năm kiểm soát trên đều không cần công nghệ mới. Chúng chỉ cần được viết thành quy chế và được lãnh đạo tôn trọng. Lãnh đạo nào hay nhắn "chuyển gấp giúp anh, xong anh ký sau" là đang dạy nhân viên bỏ qua chính quy trình bảo vệ công ty.
Một số doanh nghiệp thống nhất trước một câu hỏi xác minh giữa lãnh đạo và kế toán thanh toán, chỉ dùng khi có yêu cầu bất thường qua điện thoại hay video. Cách này rẻ, nhanh, và kẻ gian không thể lấy được từ video công khai. Câu hỏi nên đổi định kỳ và không bao giờ viết ra trong tin nhắn.
Doanh nghiệp nhỏ càng dễ bị
Nghe vụ 25 triệu USD thì dễ nghĩ chỉ tập đoàn lớn mới bị nhắm tới. Thực tế ngược lại. Doanh nghiệp nhỏ có ít người duyệt, lãnh đạo quen giao việc qua ứng dụng chat, và kế toán quen chuyển gấp theo lời dặn miệng. Đó chính là môi trường mà kiểu lừa này dễ thành công nhất.
Phía kiểm tra cũng chưa theo kịp. Một khảo sát năm 2026 của Viện Kiểm toán nội bộ và AuditBoard cho thấy phần lớn người được hỏi coi gian lận dùng AI là rủi ro từ trung bình tới cao, nhưng chỉ 40% tin bộ phận kiểm toán nội bộ của mình đủ sức phát hiện nó.
Kết lại
Vụ Arup dạy một điều khá khó chịu: thấy tận mắt, nghe tận tai không còn là bằng chứng. Thứ đáng tin là một quy trình mà chính kẻ gian không thể dựng hộ mình, tức là mình chủ động liên lạc qua kênh đã biết trước.
Việc nên làm ngay trong tuần này: mở quy chế chi tiền của công ty ra, và kiểm xem năm kiểm soát ở trên đã có đủ chưa. Nếu chưa có quy chế nào được viết ra, đó chính là rủi ro lớn nhất.
Kiểm soát nội bộ thời AI
Khoá Kiểm toán nội bộ thời AI của Mèo Cam có bài đánh giá rủi ro kèm kịch bản gian lận, bài phân tích dữ liệu tìm bất thường và dấu hiệu gian lận, và bài tốt nghiệp là một cuộc kiểm toán mua sắm và thanh toán trọn vẹn. Bài giới thiệu miễn phí.
Câu hỏi thường gặp
Đầu năm 2024, một nhân viên tài chính ở văn phòng Hồng Kông của tập đoàn kỹ thuật Arup nhận tin nhắn xưng là giám đốc tài chính ở Anh, yêu cầu một giao dịch bí mật. Người này nghi ngờ, nhưng sau một cuộc gọi video có mặt giám đốc tài chính và vài đồng nghiệp quen, đã chuyển tổng cộng 200 triệu đô la Hồng Kông, khoảng 25,6 triệu USD. Mọi người khác trong cuộc gọi đều là hình giả do AI dựng.
Hình ảnh và giọng nói của lãnh đạo doanh nghiệp thường có sẵn trong video hội thảo, họp trực tuyến và phỏng vấn công khai. Chỉ cần vài phút tư liệu là đủ để dựng một bản giả đủ thuyết phục trong một cuộc gọi ngắn.
Không nên trông vào việc nhìn ra dấu hiệu giả, vì chất lượng hình giả tăng rất nhanh. Cách chắc chắn hơn là quy trình: mọi yêu cầu chuyển tiền bất thường đều phải xác minh lại qua một kênh độc lập mà mình chủ động liên lạc, ví dụ gọi vào số điện thoại đã lưu trong danh bạ nội bộ.
Hạn mức duyệt tính theo tổng số tiền chuyển cho cùng một người nhận trong một khoảng thời gian, chứ không chỉ tính từng lệnh. Vụ Arup gồm 15 lệnh chuyển, nên một hạn mức cộng dồn và yêu cầu người thứ hai duyệt sẽ buộc vụ việc phải dừng lại.
Có. Doanh nghiệp nhỏ thường có ít người duyệt, lãnh đạo hay nhắn việc qua ứng dụng chat, và quen chuyển gấp theo lời dặn miệng. Đó đúng là môi trường mà kiểu lừa này dễ thành công nhất.