Email lừa đảo doanh nghiệp là thư giả mạo giám đốc, đối tác, ngân hàng hoặc cơ quan nhà nước để lừa nhân viên chuyển tiền, đổi số tài khoản thanh toán hoặc nhập mật khẩu vào trang giả. Cách phòng hiệu quả là dạy nhân viên 7 dấu hiệu nhận biết, bắt buộc xác minh thanh toán qua kênh thứ hai, mô phỏng phishing định kỳ và bổ sung các lớp kỹ thuật như DMARC, MFA, lọc email.
Bài viết tổng hợp số liệu từ FBI, Verizon và cơ quan chức năng Việt Nam, cách xử lý sự cố và quy trình đào tạo nhân viên. Thông tin cập nhật tháng 11/2026.
Phishing là gì?
Phishing (tấn công giả mạo) là thủ đoạn mạo danh một bên đáng tin qua thư, tin nhắn, cuộc gọi để nạn nhân bấm link, nhập mật khẩu, mở tệp độc hoặc chuyển tiền. Email là kênh phổ biến nhất vì thư giả gửi hàng loạt gần như không tốn chi phí.
Với doanh nghiệp, cần phân biệt spear phishing (thư soạn riêng cho một người, có tên và dự án thật), BEC (Business Email Compromise: chiếm hoặc giả mạo hộp thư giám đốc, kế toán, nhà cung cấp để đòi chuyển tiền) và quishing (mã QR trong thư hoặc tệp PDF dẫn tới trang đăng nhập giả, né bộ lọc link).
Các dạng email lừa đảo nhắm vào doanh nghiệp
| Dạng | Cách làm | Mục tiêu | Bộ phận hay bị nhắm |
|---|---|---|---|
| Giả mạo email giám đốc | Thư từ địa chỉ gần giống của sếp, yêu cầu chuyển tiền gấp, giữ bí mật | Chuyển khoản trái phép | Kế toán, thủ quỹ, trợ lý |
| Giả mạo nhà cung cấp | Báo “đổi số tài khoản ngân hàng”, gửi hoá đơn kèm tài khoản mới | Chuyển hướng tiền thanh toán | Kế toán, mua hàng, xuất nhập khẩu |
| Đánh cắp mật khẩu | Thư báo hộp thư đầy, tài liệu được chia sẻ, link về trang đăng nhập giả | Chiếm tài khoản email, Microsoft 365, Google | Mọi nhân viên |
| Tệp đính kèm độc hại | Hoá đơn, báo giá, hợp đồng dạng .zip, .html, tài liệu có macro | Cài mã độc, mã hoá tống tiền | Mọi nhân viên, nhất là bán hàng |
| Mạo danh cơ quan nhà nước | Giả cơ quan thuế, công an, bảo hiểm xã hội, đòi phí hoặc dọa phạt | Lấy tiền, lấy dữ liệu | Giám đốc, kế toán, hành chính |
Các thủ đoạn trên khớp với cảnh báo của Công an tỉnh Ninh Bình tháng 11/2025 về việc giả mạo, xâm nhập email để đổi địa chỉ thanh toán, và của Công an tỉnh Điện Biên tháng 3/2026 về mã QR trong thư và lời mời họp giả gửi doanh nghiệp.
Số liệu email lừa đảo doanh nghiệp 2026
Trên thế giới
- FBI IC3: Báo cáo tội phạm Internet 2025 ghi nhận 1.008.597 khiếu nại với tổng thiệt hại 20,877 tỷ USD. Riêng BEC có 24.768 khiếu nại nhưng thiệt hại tới khoảng 3,05 tỷ USD, tức trung bình hơn 120.000 USD mỗi vụ. Phishing và giả mạo là loại có nhiều khiếu nại nhất với 191.561 vụ.
- Verizon DBIR 2026: phân tích hơn 22.000 vụ rò rỉ dữ liệu tại 145 quốc gia, yếu tố con người có mặt trong 62% số vụ; tấn công phi kỹ thuật (social engineering) chiếm 16% số vụ và 41% trong số đó dùng kênh ngoài email như điện thoại, mạng xã hội (PhishingBox). Tỷ lệ bấm trung vị trong các bài mô phỏng phishing qua email là 1,4%, còn mô phỏng qua điện thoại và SMS khoảng 2% (Ninjio).
Tại Việt Nam
- Bộ Công an: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) cho biết năm 2025 có hơn 4.200 vụ lừa đảo trực tuyến, thiệt hại trên 8.000 tỷ đồng (SGGP).
- Hiệp hội An ninh mạng Quốc gia: khảo sát hơn 5.300 cơ quan, doanh nghiệp: 52,30% chịu thiệt hại do tấn công mạng năm 2025 (năm 2024 là 46,15%), 47,72% thiếu nhân sự an ninh mạng (VnEconomy).
- Báo cáo của Vnetwork: năm 2025 hơn 4,6 triệu email độc hại bị chặn, trong đó phishing chiếm 69,1% (VietNamNet).
Xem thêm doanh nghiệp Việt bị tấn công mạng: 10 bài học bảo mật.
7 dấu hiệu nhận biết email lừa đảo
Chỉ cần thấy một dấu hiệu, nhất là khi thư liên quan tới tiền hoặc mật khẩu, nhân viên nên dừng lại và xác minh.
1. Địa chỉ gửi hoặc tên miền lệch
Tên hiển thị đúng tên giám đốc nhưng địa chỉ thật là Gmail cá nhân, hoặc tên miền nhái kiểu congty-vn.com thay cho congty.vn, “rn” thay “m”. Kiểm tra cả trường “Reply-To”: trả lời về một địa chỉ khác là dấu hiệu rõ.
2. Thúc ép khẩn cấp hoặc đòi giữ bí mật
“Chuyển ngay trong 30 phút”, “đừng nói với ai”, “chậm sẽ bị phạt hợp đồng”. Áp lực thời gian khiến nhân viên không kịp hỏi lại.
3. Yêu cầu chuyển tiền hoặc đổi số tài khoản
Nhà cung cấp quen bỗng báo đổi ngân hàng, tên chủ tài khoản không trùng tên công ty trong hợp đồng, hoặc ngân hàng nhận ở quốc gia khác trụ sở đối tác. Đây là dấu hiệu nguy hiểm nhất.
4. Link hoặc mã QR dẫn tới trang đăng nhập
Thư báo “tài liệu được chia sẻ”, “mật khẩu sắp hết hạn” kèm link hoặc mã QR. Trang đăng nhập Microsoft 365 hay Google nằm trên tên miền lạ là trang giả.
5. Tệp đính kèm bất thường
Hoá đơn dạng .html, .zip có mật khẩu, tài liệu Word hoặc Excel yêu cầu “Enable Content” để xem. Hoá đơn thật hiếm khi cần bật macro.
6. Nội dung lệch ngữ cảnh
Lời chào chung chung như “Kính gửi khách hàng”, xưng hô khác thói quen người gửi, nhắc tới đơn hàng không có thật. Thư do AI soạn thường không còn lỗi chính tả.
7. Yêu cầu bỏ qua quy trình hoặc chuyển kênh
“Đừng gọi lại, tôi đang họp”, “liên hệ qua Zalo số này”, “chuyển trước, chứng từ bổ sung sau”. Mọi yêu cầu né quy trình phê duyệt đều cần xác minh.
Giả mạo email giám đốc hoạt động thế nào?
Giả mạo email giám đốc (CEO fraud) là dạng BEC trong đó kẻ gian đóng vai lãnh đạo để ra lệnh chuyển tiền. Một kịch bản điển hình gồm các bước:
- Thu thập thông tin: tên giám đốc, kế toán trưởng, đối tác từ website, LinkedIn, Facebook công ty.
- Tạo danh tính giả: đăng ký tên miền gần giống, hoặc chiếm hộp thư thật sau một đợt phishing.
- Chọn thời điểm: khi giám đốc đi công tác, nghỉ lễ, khó gọi xác minh.
- Ra lệnh và rút tiền: yêu cầu “đặt cọc thương vụ” hoặc “thanh toán gấp”, rồi chuyển tiền qua nhiều tài khoản trong vài giờ.
Theo FBI IC3, kẻ gian dùng AI soạn thư giống văn phong giám đốc và nhân bản giọng nói để “xác nhận” lệnh chuyển tiền. Vì vậy, gọi lại phải dùng số điện thoại đã lưu sẵn, không dùng số ghi trong thư. Cách nhận diện cuộc gọi giả có trong bài cách nhận biết cuộc gọi deepfake.
Cách xử lý khi nhân viên lỡ bấm hoặc lỡ chuyển tiền
Tốc độ quyết định khả năng lấy lại tiền. Năm 2025, nhóm thu hồi tài sản của FBI xử lý 3.900 vụ chuyển tiền gian lận và phong toả được khoảng 679 triệu USD, tỷ lệ thành công 58% (FBI IC3). Điểm chung là nạn nhân báo ngân hàng rất sớm.
- Lỡ chuyển tiền: gọi ngay ngân hàng, yêu cầu tra soát và đề nghị phong toả, thu hồi giao dịch. Giữ lại email, chứng từ.
- Lỡ nhập mật khẩu: đổi mật khẩu, đăng xuất mọi phiên, kiểm tra MFA và quy tắc tự chuyển tiếp thư lạ.
- Lỡ mở tệp đính kèm: ngắt mạng máy tính đó, báo IT quét mã độc, không tự xoá dấu vết.
- Báo nội bộ và công an: báo IT, ban lãnh đạo, cảnh báo đối tác nếu hộp thư công ty bị dùng gửi thư giả; trình báo công an nơi gần nhất kèm chứng cứ.
Đừng phạt nhân viên vì đã báo cáo sai sót: người sợ bị phạt sẽ giấu, và mỗi giờ chậm trễ làm giảm cơ hội thu hồi tiền.
Các lớp phòng vệ trước email lừa đảo
Đào tạo nhân viên là một lớp, không phải lớp duy nhất:
| Lớp phòng vệ | Chặn được | Không chặn được | Mức chi phí |
|---|---|---|---|
| SPF, DKIM, DMARC | Thư giả mạo đúng tên miền công ty bạn | Tên miền nhái, hộp thư thật bị chiếm | Thấp, chủ yếu cấu hình DNS |
| MFA hoặc passkey | Đăng nhập bằng mật khẩu bị lộ | Lệnh chuyển tiền giả qua email | Thấp, có sẵn trong Microsoft 365, Google Workspace |
| Lọc email chuyên dụng | Link độc, tệp độc, nhiều thư BEC | Thư soạn kỹ từ hộp thư thật bị chiếm | Trung bình, tính theo người dùng |
| Quy tắc xác minh thanh toán | Lệnh chuyển tiền và đổi tài khoản giả | Đánh cắp mật khẩu, mã độc | Gần như miễn phí |
| Đào tạo và mô phỏng phishing | Giảm tỷ lệ bấm, tăng tỷ lệ báo cáo | Không đưa rủi ro về 0 | Từ miễn phí tới trả phí theo người |
DMARC chỉ chống giả mạo chính tên miền của bạn, xem hướng dẫn trong bài DMARC là gì. Với lớp lọc email, các bộ giải pháp như Heimdal Email Fraud Prevention phân tích thư theo 125 hướng và nhắm vào BEC, giả mạo giám đốc, phishing (Heimdal). Heimdal không công bố giá, cần xin báo giá.
Cách đào tạo nhận thức bảo mật cho nhân viên
Đào tạo nhận thức bảo mật có hiệu quả đo được. Báo cáo của KnowBe4 năm 2025 trên 14,5 triệu người dùng tại 62.400 tổ chức cho thấy tỷ lệ nhân viên dễ mắc bẫy phishing ban đầu là 33,1%, giảm 40% sau ba tháng đào tạo và còn 4,1% sau 12 tháng (KnowBe4). KnowBe4 là nhà cung cấp dịch vụ đào tạo.
Quy trình sáu bước cho doanh nghiệp từ 10 tới vài trăm nhân viên:
- Đo mức ban đầu: gửi một bài mô phỏng phishing không báo trước để biết tỷ lệ bấm và báo cáo, không công khai tên người bấm.
- Ban hành quy tắc thanh toán: chuyển tiền mới hoặc đổi số tài khoản phải gọi xác minh tới số đã lưu sẵn, trên một ngưỡng tiền cần hai người duyệt.
- Đào tạo ngắn theo vai trò: buổi 20 đến 30 phút về 7 dấu hiệu cho mọi người; buổi riêng về BEC cho kế toán, mua hàng, trợ lý giám đốc. Đưa nội dung này vào quy trình onboarding nhân viên mới.
- Mô phỏng định kỳ: mỗi tháng hoặc mỗi quý một kịch bản khác: hoá đơn giả, lời mời họp, mã QR; ai bấm sẽ thấy trang giải thích ngắn.
- Báo cáo thật dễ: nút “Báo cáo phishing” trong Outlook, Gmail hoặc một địa chỉ riêng; khen người báo cáo sớm.
- Đo lường và lặp lại: theo dõi tỷ lệ bấm, tỷ lệ báo cáo; điều chỉnh theo nhóm còn yếu.
Công cụ mô phỏng phishing
- Gophish: mã nguồn mở, miễn phí (Gophish), cần người kỹ thuật để cài đặt.
- Microsoft Attack simulation training: có sẵn trong Microsoft 365 E5 hoặc Microsoft Defender for Office 365 Plan 2; gói E3 chỉ có bản dùng thử giới hạn (Microsoft Learn).
Heimdal không liệt kê dịch vụ đào tạo nhận thức, nên nếu dùng Heimdal để lọc email, phần mô phỏng vẫn cần công cụ riêng.
Checklist phòng chống email lừa đảo doanh nghiệp
Sai lầm thường gặp khi phòng chống email lừa đảo
- Chỉ đào tạo một lần: kiến thức phai nhanh, kịch bản lừa đảo đổi liên tục.
- Phạt người bấm nhầm: khiến nhân viên giấu sự cố thay vì báo cáo sớm.
- Tin vào lỗi chính tả: thư do AI soạn viết chuẩn, đúng giọng văn, nên không còn là dấu hiệu tin cậy.
- Xác minh bằng chính kênh bị giả mạo: trả lời email hoặc gọi số trong thư để “hỏi lại” là hỏi đúng kẻ gian.
- Bỏ qua giám đốc: lãnh đạo hay được miễn đào tạo dù hộp thư của họ là mục tiêu giá trị nhất.
Tổng quan các biện pháp khác có trong bài an ninh mạng cho doanh nghiệp vừa và nhỏ.
FAQ: Câu hỏi thường gặp về email lừa đảo doanh nghiệp
Phishing là gì nói đơn giản?
Phishing là mạo danh ngân hàng, đối tác, giám đốc để lừa bạn bấm link, nhập mật khẩu hoặc chuyển tiền, qua email, SMS, Zalo, điện thoại hay mạng xã hội.
Làm sao nhận biết email giả mạo giám đốc?
Kiểm tra địa chỉ gửi thật và trường Reply-To, cảnh giác với yêu cầu chuyển tiền gấp, giữ bí mật, né quy trình. Luôn gọi lại giám đốc bằng số đã lưu sẵn trước khi chuyển tiền.
Lỡ chuyển tiền cho email lừa đảo có lấy lại được không?
Có thể, nếu báo đủ sớm: gọi ngay ngân hàng yêu cầu tra soát, phong toả, rồi trình báo công an. Năm 2025, nhóm thu hồi tài sản của FBI phong toả thành công 58% số vụ tiếp nhận.
Đào tạo nhận thức bảo mật bao lâu một lần?
Học khi mới vào làm, nhắc lại ít nhất mỗi năm, mô phỏng phishing mỗi tháng hoặc mỗi quý. Kế toán, mua hàng và trợ lý giám đốc nên có buổi riêng về BEC.
Doanh nghiệp nhỏ có cần mô phỏng phishing không?
Có, vì doanh nghiệp nhỏ thường thiếu người phụ trách bảo mật. Có thể bắt đầu miễn phí với Gophish nếu có người kỹ thuật, hoặc dùng tính năng có sẵn trong Microsoft 365 E5, Defender for Office 365 Plan 2.
DMARC có chặn được hết email lừa đảo không?
Không. DMARC chỉ chặn thư mạo danh đúng tên miền của bạn; thư từ tên miền nhái hoặc hộp thư thật bị chiếm vẫn lọt, nên cần thêm MFA, lọc email và quy tắc xác minh thanh toán.
Kết luận
Tóm lại: email lừa đảo doanh nghiệp nhắm vào con người và quy trình thanh toán, nên cần kết hợp nhận thức nhân viên với quy tắc xác minh rõ ràng.
- Nhận diện: dạy mọi người 7 dấu hiệu, nhất là yêu cầu đổi số tài khoản, thúc ép và né quy trình.
- Quy trình: mọi lệnh chuyển tiền mới phải gọi xác minh qua số đã lưu và có hai người duyệt.
- Kỹ thuật: bật MFA, cấu hình DMARC, lọc email.
- Đào tạo: mô phỏng phishing định kỳ, khuyến khích báo cáo, không phạt người báo sai sót.
Minh bạch: Wunlock có thể nhận hoa hồng giới thiệu khi bạn đăng ký một số phần mềm được nhắc đến trong bài, không làm thay đổi giá bạn trả. Các đánh giá và khuyến nghị dựa trên tiêu chí độc lập của Wunlock.
