Doanh nghiệp mới thành lập: “Miếng mồi ngon’’ của tội phạm mạng

Kịch bản lừa đảo

Ngày 17/8 vừa qua, một tài khoản facebook có tên M.H. đã đăng lên câu chuyện về doanh nghiệp mới thành lập của mình bị lừa mất 250 triệu đồng.

Theo nội dung chia sẻ, một doanh nghiệp mới thành lập với khoản vốn điều lệ 500 triệu đồng, thời hạn góp vốn 90 ngày và hàng loạt thủ tục thuế đang cần hoàn thiện. Chủ doanh nghiệp nhận được cuộc gọi của kẻ lừa đảo tự xưng là “cơ quan chức năng” đọc ra từng chi tiết chính xác về VNeID, eTax Mobile, thuế, Công an xã, vốn điều lệ và Kho bạc Nhà nước mà doanh nghiệp đang cần phải làm việc để hoàn thiện thủ tục cho doanh nghiệp hoạt động. Và dù là một thương nhân có kinh nghiệm, tự tin bước vào thương trường, nạn nhân gần như không có lý do để nghĩ rằng mình đang là một con mồi.

Sau gần hai giờ làm việc trên điện thoại, 250 triệu đồng của doanh nghiệp mới thành lập biến mất trong nỗi bàng hoàng của nạn nhân khi không hiểu điều gì vừa xảy ra.

Điều đáng nói trong vụ việc không chỉ là thủ đoạn giả danh, mà là cách tội phạm lấy những thông tin phân mảnh về một doanh nghiệp để ghép thành một câu chuyện giả đủ sức đánh lừa chính chủ doanh nghiệp.

Theo các chuyên gia an ninh mạng, doanh nghiệp mới thành lập là “miếng mồi ngon” không phải vì doanh nghiệp yếu, mà là ở giai đoạn ban đầu, doanh nghiệp hội tụ một loạt điều kiện khiến việc lừa đảo dễ được cá nhân hóa, dễ tạo áp lực và dễ khiến nạn nhân tin rằng đối phương biết những thông tin nội bộ và bị cuốn hút làm theo điều hướng của thủ phạm.

Tội phạm không còn đi tìm một nạn nhân ngẫu nhiên. Chúng đi tìm một “hồ sơ dễ tấn công”, rồi dựng một câu chuyện đủ giống với cuộc sống thật của nạn nhân để khiến chính nạn nhân mở cửa cho chúng chiếm đoạt tài sản của mình.

Yếu tố khách quan và điểm yếu tâm lý

Thứ nhất: Nhiều thủ tục phải hoàn tất, chủ doanh nghiệp dễ quá tải

Những tháng đầu sau khi thành lập là giai đoạn doanh nghiệp phải xử lý đồng thời hàng loạt thủ tục: đăng ký, thuế, hóa đơn điện tử, tài khoản ngân hàng, chữ ký số, bảo hiểm, lao động, vốn điều lệ, kê khai, báo cáo và các yêu cầu liên quan hoạt động tại địa phương…

Một điểm yếu rất đời thường nhưng dễ bị bỏ qua là sự tập trung quá nhiều vai trò vào một người. Ở doanh nghiệp mới, người đại diện có thể đồng thời là người nhận cuộc gọi, làm việc với kế toán, sử dụng VNeID, quản lý tài khoản ngân hàng, ký hồ sơ và trực tiếp quyết định chuyển tiền. Khi mọi hoạt động đều được thực hiện trên một chiếc điện thoại, tội phạm chỉ cần kiểm soát được sự chú ý của người này là có thể dẫn dắt cả chuỗi thao tác

Với những người lần đầu bước vào thương trường, không phải quy định nào cũng quen thuộc. Đây chính là khoảng trống để tội phạm bước qua “cánh cửa đề phòng” thứ nhất một cách “nhẹ nhàng”. Chúng không cần dựng một câu chuyện hoàn toàn bịa đặt, mà chỉ cần lấy một nghĩa vụ có thật rồi “cài” thêm yêu cầu giả. Trong vụ việc trên, quy định về vốn điều lệ và thời hạn góp vốn trở thành cái cớ để các đối tượng dựng lên thủ tục mang tên “ký quỹ vốn tại Kho bạc Nhà nước”. “Lấy cái thật làm nền cho cái giả” là thủ đoạn khéo léo khiến nạn nhân khó nhận ra điểm bất thường, bởi càng nhiều chi tiết đúng, chiếc bẫy càng dễ được tin là một quy trình chính thống.

Thứ 2, doanh nghiệp mới thành lập thường có nhiều thông tin trên môi trường mạng

Đây có lẽ là mắt xích đáng chú ý nhất trong cả kịch bản lừa đảo dành cho doanh nghiệp mới thành lập. Một doanh nghiệp vừa ra đời không chỉ xuất hiện trong hồ sơ đăng ký kinh doanh, mà trong quá trình vận hành còn để lại nhiều “dấu vết thông tin” trên môi trường số.

Tên doanh nghiệp, mã số doanh nghiệp, người đại diện, địa chỉ trụ sở, ngành nghề, thời điểm thành lập… có thể xuất hiện trong các nguồn thông tin đăng ký, tra cứu doanh nghiệp và các nền tảng cung cấp dữ liệu kinh doanh. Sau đó, những dữ liệu này có thể được ghép nối với thông tin từ website, mạng xã hội, quảng cáo tuyển dụng, đối tác, đơn vị cung cấp dịch vụ kế toán - thuế, hóa đơn điện tử, chữ ký số, ngân hàng, bảo hiểm hoặc các bên trung gian khác mà doanh nghiệp giao dịch trong những ngày đầu hoạt động. Mỗi nơi có thể chỉ cung cấp một mảnh thông tin. Nhưng khi được ghép lại, chúng tạo thành một hồ sơ khá hoàn chỉnh về doanh nghiệp. Từ đó, kẻ lừa đảo không cần gọi điện một cách ngẫu nhiên. Chúng có thể lựa chọn đúng doanh nghiệp mới thành lập, đúng người đại diện, đúng thời điểm doanh nghiệp đang phải hoàn tất thủ tục và dựng nên một kịch bản phù hợp.

Nguy hiểm hơn, việc kẻ gọi điện biết chính xác thông tin doanh nghiệp dễ tạo cho nạn nhân cảm giác rằng đó là cán bộ thuế, công an hay cơ quan quản lý. Vì vậy, doanh nghiệp cần nhớ: biết thông tin không đồng nghĩa với có thẩm quyền. Do vậy, một cuộc gọi nói đúng vài thông tin về doanh nghiệp không phải là bằng chứng cho thấy người gọi là cán bộ của cơ quan Nhà nước.

Thứ ba, doanh nghiệp mới thành lập thường sợ sai

Với một doanh nghiệp đã vận hành ổn định, những vấn đề về thuế, pháp lý, kế toán hay thủ tục hành chính thường đã có người phụ trách và quy trình xử lý tương đối rõ ràng. Ngược lại, doanh nghiệp mới thành lập nhiều khi chỉ có một chủ doanh nghiệp, một kế toán thuê ngoài và vài nhân sự, trong khi hàng loạt quy định vẫn đang phải tìm hiểu, hoàn thiện. Chính sự thiếu kinh nghiệm ấy tạo ra một khoảng trống tâm lý mà tội phạm dễ dàng khai thác. Những cụm từ tưởng như khô khan ấy lại có sức gây áp lực rất lớn với người mới bước vào kinh doanh. Khi nỗi lo vi phạm quy định, chậm thủ tục hoặc ảnh hưởng đến hoạt động của doanh nghiệp xuất hiện, nạn nhân dễ chuyển từ trạng thái kiểm chứng sang trạng thái tìm cách khắc phục.

Khi nhận được cuộc gọi thông báo: “Doanh nghiệp của anh/chị đang thiếu thủ tục này”, phản ứng đầu tiên của người mới kinh doanh có thể không phải là nghi ngờ, mà là lo lắng: “Có phải mình đã bỏ sót quy định nào không?” Từ nỗi sợ làm sai, nạn nhân dễ chấp nhận hướng dẫn, làm theo yêu cầu và dần bị dẫn khỏi một thủ tục thật sang một kịch bản giả.

Thứ tư, tội phạm biết khi nào nên tiếp cận với nạn nhân

Với doanh nghiệp mới thành lập, tội phạm sử dụng công nghệ cao thường tập trung cao độ theo dõi những dấu mốc và thủ tục mà doanh nghiệp đang phải hoàn tất để lựa chọn thời điểm “ra tay”. Khi thông tin đúng, thời điểm đúng, người gọi lại khoác lên mình danh nghĩa cơ quan có thẩm quyền, một cuộc điện thoại dễ dàng được biến thành một “quy trình xử lý” kéo dài hàng giờ. Càng bị cuốn vào quy trình, nạn nhân càng ít có thời gian dừng lại để kiểm chứng. Đây không còn là kiểu lừa đảo gọi đại trà và chờ người mắc bẫy. Tội phạm đang cố gắng lựa đúng mục tiêu, đúng nhu cầu và đúng thời điểm để gia tăng khả năng thành công. Nói cách khác, chúng đã “nhắm” vào doanh nghiệp và dày công lên một kịch bản được “đo ni đóng giầy”cho doanh nghiệp.

Thứ năm, doanh nghiệp mới thường chưa hình thành “hệ thống phòng thủ”

Doanh nghiệp mới có thể dành nhiều nguồn lực để xây dựng website, marketing, bán hàng, kế toán, nhân sự,… nhưng lại bỏ quên một lớp bảo vệ quan trọng: quy trình xác minh các yêu cầu bất thường. Nếu một người tự xưng là cán bộ thuế, công an hay cơ quan Nhà nước gọi đến, ai là người kiểm tra và bằng cách nào? Khi chưa có quy tắc rõ ràng, quyết định có thể phụ thuộc hoàn toàn người nhận cuộc gọi. Trong khi đó, doanh nghiệp trưởng thành thường đã hình thành nguyên tắc: không chuyển tiền theo yêu cầu qua điện thoại; mọi yêu cầu phải có văn bản và được xác minh qua kênh chính thức. Một quy trình tưởng đơn giản nhưng có thể trở thành “hàng rào” ngăn cả một chuỗi lừa đảo. Với doanh nghiệp mới, lỗ hổng không chỉ nằm ở công nghệ, mà có thể nằm ngay trong quy trình vận hành.

Các doanh nghiệp mới thành lập chính là mục tiêu di động đầy tiềm năng của tội phạm sử dụng công nghệ cao. Sự kết hợp giữa vô số thủ tục pháp lý ban đầu, kinh nghiệm quản trị non trẻ và hệ thống phòng vệ bảo mật gần như bằng không khiến họ rơi vào thế báo động. Trong cơn lốc áp lực thời gian, việc phát sinh vô số dấu vết dữ liệu số trên môi trường mạng đã vô tình mở ra lỗ hổng chết người.

Kẻ lừa đảo không cần mất công xâm nhập sâu vào hệ thống nội bộ, chúng chỉ cần thu thập vừa đủ các mảnh ghép thông tin công khai để thiết lập một kịch bản mạo danh hoàn hảo. Chính sự giao thoa của 5 yếu tố cốt lõi trên đã bị đối tượng xấu biến thành một “hồ sơ nạn nhân” lý tưởng, khiến doanh nhân trẻ mắc bẫy ngay từ bước khởi nghiệp.

Vừa mở cửa kinh doanh, doanh nghiệp đã phải chạy đua với thủ tục, dòng tiền và áp lực tồn tại. Nhưng có một cuộc đua khác mà ít doanh nghiệp chuẩn bị: cuộc đua với những kẻ đang âm thầm “đọc vị” họ trên không gian mạng. Khi tội phạm biết doanh nghiệp đang cần gì, một thủ tục tưởng như bình thường cũng có thể trở thành chiếc bẫy lấy đi hàng trăm triệu đồng.

Căn cứ pháp lý để xử lý hành vi lừa đảo doanh nghiệp trên mạng

Theo Luật sư Nguyễn Xuân Sang (Đoàn Luật sư Thành phố Hà Nội), các đối tượng lừa đảo, chiếm đoạt tài sản luôn chuẩn bị sẵn một kịch bản lừa đảo hoàn hảo nhất có thể dựa trên cả nghĩa vụ pháp lý cũng như trách nhiệm của một doanh nghiệp mới thành lập. Cụ thể, trong những hạn chế của các doanh nghiệp mới thành lập được nêu ở trên thì các đối tượng lừa đảo thường tập trung khai thác triệt để yếu tố chủ doanh nghiệp “quá tải” bởi quá nhiều thủ tục phải hoàn tất; doanh nghiệp mới thành lập thường “sợ sai”. Bởi hai yếu tố này không chỉ đánh “đúng” và “trúng”, mà còn dễ dàng thao túng tâm lý chủ các doanh nghiệp mới thành lập.

Trường hợp hành vi lừa đảo, chiếm đoạt tài sản đối với doanh nghiệp của các đối tượng thành công thì theo mức độ, tính chất sự việc và giá trị tài sản bị lừa đảo, chiếm đoạt mà một hoặc nhiều tội danh được xác định. Cụ thể, Điều 174 Bộ luật Hình sự quy định, hành vi dùng thủ đoạn gian dối chiếm đoạt tài sản, kể cả thông qua mạng internet, ứng dụng, website, mạng xã hội hoặc ví điện tử, sẽ bị xử lý hình sự với mức án từ 06 tháng đến 20 năm tù, tùy theo giá trị tài sản và hậu quả gây ra, đồng thời tăng nặng nếu có tổ chức, nhiều người bị hại hoặc sử dụng công nghệ cao.

Bên cạnh đó, để xử phạt, truy cứu trách hình sự hành vi nêu trên có thể căn cứ các điều 288, 291 và 343, Bộ luật Hình sự. Ngoài Bộ luật Hình sự, đối với hành vi lừa đảo, chiếm đoạt tài sản trên không gian mạng, nhất là đối với những doanh nghiệp mới có thể căn cứ các Luật An ninh mạng. Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật Giao dịch điện tử cùng các nghị định liên quan để có các chế tài xử phạt tương xứng. Như vậy, hệ thống pháp luật Việt Nam không chỉ xử lý hành vi lừa đảo, chiếm đoạt tài sản trên mạng bằng hình thức phạt tù, phạt tiền…, mà còn tăng cường phòng ngừa, bảo vệ dữ liệu, từ đó tạo cơ sở pháp lý vững chắc để đấu tranh với tội phạm công nghệ cao.