Dũng Virgo
Một vụ lừa tình tại Thái Lan đang được xem là một trong những vụ việc gây thiệt hại lớn nhất từng được ghi nhận. Nạn nhân không phải người thiếu kinh nghiệm tài chính mà là một giám đốc tài chính có quyền phê duyệt và hạch toán giao dịch cho doanh nghiệp.
Trong khoảng ba tháng cuối năm 2019, một mối quan hệ bắt đầu từ tin nhắn trên LinkedIn đã dẫn tới 251 lệnh chuyển tiền, được gửi tới 112 tài khoản tại 17 quốc gia. Khoản thiệt hại được các nguồn khác nhau ước tính từ hơn 6,2 tỷ baht đến khoảng 272 triệu USD. Vụ việc cho thấy lừa đảo tình cảm không chỉ gây tổn thất cho cá nhân mà còn có thể trở thành rủi ro nghiêm trọng đối với hệ thống kiểm soát doanh nghiệp.
Màn kịch bắt đầu bằng một danh tính không có thật
Năm 2019, một tài khoản LinkedIn tự nhận là bác sĩ quân y Mỹ đang làm việc tại Afghanistan đã chủ động liên hệ với Chamanun Phetporee, khi đó là giám đốc tài chính của Công ty TNHH Sản xuất Essilor Thái Lan (EMTC). Người đàn ông sử dụng tên Andrew Chang, nhưng danh tính này được xác định là giả.
Hai bên sau đó trao đổi khoảng 50.000 tin nhắn qua WhatsApp. Nhân vật này kể rằng mình sắp nhận khoản thừa kế trị giá 58 triệu USD từ người cha quá cố và muốn đưa tiền sang Thái Lan để mua nhà, xây dựng cuộc sống với Chamanun.
Kịch bản được xây dựng theo từng bước thay vì yêu cầu một khoản tiền lớn ngay từ đầu. Khi người phụ nữ tìm được một căn nhà trị giá 30 triệu baht, người đàn ông nói rằng mình gặp khó khăn khi rút tiền từ tài khoản tại Thụy Sĩ. Chamanun đã tự bỏ 1,5 triệu baht để đặt cọc.
Sau đó, nhóm lừa đảo tiếp tục lấy tiền từ tài khoản cá nhân của bà bằng nhiều lý do khác nhau. Khi nguồn tiền riêng cạn kiệt, mục tiêu của chúng chuyển sang tài khoản doanh nghiệp nơi bà đang nắm quyền kiểm soát tài chính.
Giấy tờ giả và những “bằng chứng” được dàn dựng
Điểm đáng chú ý của vụ việc nằm ở mức độ công phu của màn kịch. Khi Chamanun bắt đầu nghi ngờ, nhóm lừa đảo gửi giấy chứng tử giả của người cha, được phát đi từ Anh, đúng địa điểm mà nhân vật này nói rằng ông đã qua đời.
Trong một lần khác, nạn nhân được đưa tới một căn phòng để xem một chiếc vali chứa đầy tiền mặt USD. Nhóm này cho bà kiểm tra bằng một tờ 100 USD thật, trong khi cảnh sát nghi ngờ phần lớn số tiền còn lại là tiền giả. Ảnh đại diện của người đàn ông cũng không phải ảnh của hắn mà thuộc về một người vô can đang sống tại Malaysia.
Những chi tiết trên khiến vụ việc khác xa kiểu lừa đảo chỉ dựa vào email đáng ngờ hoặc đường link giả mạo. Kẻ gian đã kết hợp tin nhắn, hồ sơ giả, cuộc gặp trực tiếp và đạo cụ vật lý để tạo cảm giác đáng tin. Đây là lý do các chương trình đào tạo an toàn thông tin trong doanh nghiệp không nên chỉ tập trung vào mã độc hay tấn công mạng.
Từ chuyện tình cảm đến 251 lệnh chuyển tiền
Không còn tiền cá nhân, Chamanun bị thuyết phục “vay tạm” tiền của công ty. Theo lời khai được cảnh sát Thái Lan công bố, nhóm lừa đảo hứa sẽ hoàn trả ngay khi khoản thừa kế được chuyển tới Thái Lan. Chúng cũng lợi dụng vị trí giám đốc tài chính của bà để tạo cảm giác rằng giao dịch có thể được che giấu.
Từ giữa tháng 9 đến giữa tháng 12/2019, Chamanun bị cáo buộc đã lập hóa đơn khống và bút toán giả, qua đó thực hiện 251 lệnh chuyển tiền. Dòng tiền được chuyển tới 112 tài khoản ngân hàng tại 17 quốc gia.
Về mặt pháp lý, bà bị truy tố với 251 tội danh trộm cắp tài sản của người sử dụng lao động. Mỗi tội danh có khung hình phạt lên tới 4 năm tù. Tuy nhiên, tòa án xác định bà đồng thời là nạn nhân của một vụ lừa đảo và đã hợp tác với cơ quan điều tra. Mức án được tuyên là 2 năm cho mỗi tội danh, tương đương 502 năm trên giấy tờ. Do quy định của Thái Lan, thời gian chấp hành thực tế tối đa là 20 năm.
Vụ án cũng cho thấy một lỗ hổng quan trọng: quyền phê duyệt thanh toán và quyền hạch toán sổ sách gần như tập trung vào một người. Dù quy trình nội bộ yêu cầu chữ ký đồng phê duyệt, người đồng ký là Sakchai nói rằng ông đã thực hiện đúng thủ tục và không biết các giao dịch có dấu hiệu gian lận.
Nếu chữ ký thứ hai chỉ được xem như bước hoàn thiện hồ sơ, thay vì một hoạt động kiểm tra độc lập, doanh nghiệp vẫn đang vận hành theo mô hình “một người quyết định”.
Vì sao các giao dịch bất thường không bị phát hiện sớm?
Essilor International SAS và EMTC sau đó khởi kiện JP Morgan tại tòa án liên bang ở New York. Trong đơn kiện, nguyên đơn cho rằng ngân hàng đã không ngăn chặn ít nhất 243 lệnh chuyển tiền gian lận và đáng lẽ phải phát hiện, báo cáo hoặc tạm dừng các giao dịch bất thường.
Các dấu hiệu được nêu trong hồ sơ gồm:
- Khối lượng giao dịch trung bình mỗi tháng tăng từ khoảng 15 triệu USD lên hơn 100 triệu USD.
- Nhiều khoản chuyển có giá trị tròn, khác với thói quen giao dịch trước đó.
- Tiền được gửi tới các pháp nhân hoạt động trong lĩnh vực cà phê, nội thất và chăm sóc tóc, không liên quan rõ ràng tới ngành quang học.
- Dòng tiền đi qua Thái Lan, Malaysia, Trung Quốc, Hong Kong, Dubai và Indonesia.
- Nhiều khoản tiền lớn rời tài khoản theo từng đợt trong cùng một ngày.
- Một số tài khoản nhận tiền được mở tại các ngân hàng khu vực hoặc thuộc những vùng tài phán có rủi ro cao.
Nhìn riêng lẻ, một lệnh chuyển tiền có thể trông hợp lệ. Nhưng khi đặt toàn bộ chuỗi giao dịch cạnh lịch sử thanh toán, ngành nghề của bên nhận và địa lý dòng tiền, sự bất thường trở nên rõ ràng hơn nhiều.
Đây là điểm yếu phổ biến của hệ thống giám sát tài chính. Nhiều công cụ được thiết kế để phát hiện một giao dịch vượt ngưỡng, trong khi gian lận thực tế thường được chia nhỏ hoặc thực hiện liên tục để tránh tạo ra cảnh báo tức thời.
Thiệt hại được ước tính theo nhiều cách
Các cơ quan và hồ sơ pháp lý đưa ra những con số không hoàn toàn giống nhau. Cảnh sát Thái Lan công bố thiệt hại hơn 6,2 tỷ baht. Bangkok Post dẫn nguồn từ Cục Điều tra Trung ương ghi nhận con số khoảng 6,3 tỷ baht. Trong khi đó, đơn kiện tại New York cho biết khoảng 272 triệu USD đã bị rút khỏi một tài khoản đứng tên EMTC tại chi nhánh JP Morgan ở New York.
Sự chênh lệch có thể đến từ tỷ giá quy đổi và phạm vi thống kê khác nhau. EssilorLuxottica từng ước tính tác động tài chính tối đa 190 triệu euro trước bảo hiểm. Công ty cũng cho biết chưa thể thu hồi khoảng 100 triệu USD trong số tiền chuyển đi vào quý IV/2019.
Doanh nghiệp phát hiện dấu hiệu bất thường sau khoảng bốn tháng và phải thuê điều tra viên tư nhân để lần theo dòng tiền. Khi bị đối chất bằng nhiều tài liệu, Chamanun thừa nhận hành vi. Hồ sơ sau đó mới được chuyển cho cảnh sát.
Vụ kiện với ngân hàng kéo dài nhiều năm
Vụ kiện giữa các công ty thuộc EssilorLuxottica và JP Morgan tiếp tục diễn ra trong nhiều năm. Tháng 1/2023, thẩm phán liên bang Lewis J. Liman chấp nhận một phần và bác một phần yêu cầu loại bỏ vụ kiện của ngân hàng. Điều này cho phép đơn vị Thái Lan tiếp tục theo đuổi lập luận liên quan tới quy định của bang New York về việc hoàn trả các lệnh thanh toán không được ủy quyền.
Đến tháng 10/2024, tòa án chấp thuận yêu cầu loại bỏ phiên xử có bồi thẩm đoàn. Hồ sơ tòa liên bang ghi nhận vụ việc kết thúc tại tòa quận vào ngày 13/12/2024, nhưng các bên không công bố chi tiết kết quả.
Về phía điều tra hình sự, 22 người đã bị bắt và lệnh truy nã vẫn còn hiệu lực với 8 người khác. Tháng 2/2025, một phụ nữ Thái Lan 52 tuổi bị bắt tại sân bay quốc tế Hat Yai với các cáo buộc liên quan tới rửa tiền, tổ chức tội phạm xuyên quốc gia và lừa đảo bằng danh tính giả.
Bài học an toàn cho doanh nghiệp
Vụ việc không chỉ là câu chuyện về một nạn nhân bị thao túng cảm xúc. Nó còn là bài kiểm tra thất bại của nhiều lớp kiểm soát tài chính. Doanh nghiệp có thể tham khảo một số biện pháp sau:
- Tách quyền phê duyệt và hạch toán: Không để một nhân sự vừa tạo chứng từ, vừa ghi sổ và có ảnh hưởng quyết định tới việc chuyển tiền.
- Kiểm tra theo chuỗi giao dịch: Hệ thống cần phân tích biến động theo tuần, tháng và quý thay vì chỉ kiểm tra từng lệnh riêng lẻ.
- Xác minh bên thụ hưởng: Ngành nghề, quốc gia, lịch sử hoạt động và mối liên hệ với chuỗi cung ứng phải được đối chiếu trước khi thanh toán.
- Buộc đồng phê duyệt phải kiểm tra thực chất: Chữ ký thứ hai cần đi kèm trách nhiệm xác minh hóa đơn, hợp đồng và nguồn yêu cầu thanh toán.
- Đào tạo về thao túng xã hội: Nhân viên cấp cao cũng cần được hướng dẫn nhận diện các mối quan hệ trực tuyến có dấu hiệu bất thường, không chỉ email giả mạo hay phần mềm độc hại.
Trong bối cảnh các cuộc tấn công ngày càng tận dụng yếu tố con người, doanh nghiệp cũng cần quan tâm tới tốc độ và phương thức tấn công mới. AI đang rút ngắn thời gian tấn công và buộc doanh nghiệp thay đổi cách bảo mật, nhưng công nghệ chỉ phát huy hiệu quả khi đi cùng quy trình kiểm soát độc lập.
Điểm cốt lõi của vụ án là một quyết định cá nhân sai lầm không nên có khả năng biến thành hàng trăm giao dịch hợp lệ trên hệ thống. Khi quyền lực tài chính tập trung, một khoảng trống trong quy trình có thể khiến toàn bộ lớp phòng vệ mất tác dụng.
Cảnh báo chiêu lừa thu hồi đơn hàng để chiếm tiền hoàn
Người Việt xem video trên YouTube, TikTok nhiều hơn hẳn OTT
Wi-Fi sân bay tiềm ẩn rủi ro, hành khách cần làm gì?
KOL Summit 2026 phủ sóng với 25 triệu lượt xem
Áp lực cải tổ Meta tăng mạnh sau thỏa thuận 18 tỷ USD
Cảnh báo thủ đoạn giả danh người quen để lừa tiền qua Zalo
Công khai thông tin chưa đủ để tạo minh bạch trên mạng xã hội
