Một nhân viên tài chính tham gia cuộc họp video quen thuộc, nhìn thấy giám đốc tài chính và vài đồng nghiệp trên màn hình, rồi duyệt một loạt lệnh chuyển tiền gấp. Toàn bộ khuôn mặt trong cuộc gọi đó đều do AI tạo ra. Đây không phải dự báo về tương lai; đó là cách lừa đảo đang vận hành trong năm 2026, và kẻ gian không còn chỉ nhắm vào tập đoàn lớn. Doanh nghiệp vừa và nhỏ giờ nằm ngay trong tầm ngắm, nhưng tin đáng mừng là một phương án phòng thủ thực tế tốn kém ít hơn nhiều so với hình dung của phần lớn chủ doanh nghiệp.

Lừa đảo deepfake AI trông như thế nào trong năm 2026

Lừa đảo deepfake là việc dùng âm thanh, video hoặc hình ảnh tổng hợp để mạo danh một người mà nạn nhân tin tưởng. Năm 2026, các hình thức phổ biến nhất nhắm vào doanh nghiệp là giả giọng lãnh đạo yêu cầu nhân viên chuyển tiền, cuộc gọi video giả với hình ảnh sếp xuất hiện trực tiếp trên màn hình, và chiêu lừa email doanh nghiệp (BEC) kinh điển được AI tăng lực để soạn tin nhắn hoàn hảo và sao chép đúng văn phong. Theo Vectra AI, một vụ được đưa tin rộng rãi ghi nhận nhân viên tài chính đã thực hiện 15 giao dịch trị giá 25,6 triệu đô la sau một cuộc họp video mà mọi người tham gia, kể cả người được cho là giám đốc tài chính, đều là deepfake.

Thủ đoạn ngày càng tinh vi. Tại một hội thảo gần đây do Hiệp hội An ninh mạng quốc gia và Mobifone tổ chức, được báo Công an TP.HCM đưa tin, các chuyên gia mô tả việc mạo danh đã đi từ so khớp ảnh đơn giản, sang video quay sẵn, và giờ là tấn công tiêm video đưa luồng giả thẳng vào hệ thống xác thực. Kẻ gian hiếm khi cố đánh bại toàn bộ hàng phòng thủ. Chúng tìm mắt xích yếu nhất, thường là một nhân viên vội vàng hoặc cả tin, rồi dùng sự cấp bách để đẩy giao dịch trôi qua trước khi có ai kịp xác minh.

Vì sao doanh nghiệp vừa và nhỏ giờ là mục tiêu chính

Nhiều năm qua, lừa đảo deepfake bị xem là vấn đề của công ty lớn. Điều đó đã thay đổi. Các tập đoàn lớn đã đầu tư đội chống gian lận và xác thực nhiều lớp, nên tội phạm dịch chuyển xuống nhóm doanh nghiệp có dòng tiền thật nhưng bảo mật mỏng. Một chuỗi nhà hàng, một sàn bất động sản, một phòng khám hay một cửa hàng online có thể luân chuyển hàng chục nghìn đô la mỗi tuần, thường chỉ do một hai người duyệt qua chat và điện thoại. Đó đúng là chân dung mà kẻ gian muốn.

Mô hình ransomware dạng dịch vụ và công cụ giả giọng giá rẻ còn hạ thấp rào cản hơn nữa. Một bản giả giọng thuyết phục có thể dựng từ một đoạn âm thanh công khai ngắn, và đội ngũ của bạn để lại âm thanh đó khắp nơi: webinar, video mạng xã hội, tin nhắn thoại. Ngân hàng Nhà nước đã đẩy mạnh xác thực sinh trắc học và hệ thống giám sát rủi ro SIMO, và cho biết các cảnh báo sớm đã giúp hơn 831.000 lượt khách hàng tạm dừng giao dịch rủi ro và ngăn chặn ước tính 3.060 tỉ đồng nguy cơ thất thoát. Đó là tín hiệu tốt ở tầng ngân hàng, nhưng khoảng trống bên trong doanh nghiệp bình thường, nơi một nhân viên chỉ đơn giản tin vào một giọng nói quen, vẫn mở toang.

Những con số nói lên tất cả

Quy mô không còn nhỏ. Trung tâm Dịch vụ Tài chính của Deloitte dự báo tổn thất gian lận nhờ AI tại Mỹ có thể lên tới 40 tỉ đô la mỗi năm vào 2027. Trung tâm Khiếu nại Tội phạm Internet của FBI ghi nhận hơn 22.000 khiếu nại liên quan gian lận AI trong báo cáo 2025, với hơn 893 triệu đô la thiệt hại, riêng lừa đảo email doanh nghiệp đã khiến nạn nhân Mỹ mất hơn 3 tỉ đô la. Keepnet Labs đo được lừa đảo giả giọng deepfake tăng hơn 1.600 phần trăm chỉ trong một quý.

Thiệt hại rơi vào doanh nghiệp bình thường, không chỉ ngân hàng. Trong khảo sát IRONSCALES 2025, hơn một nửa tổ chức báo cáo thiệt hại tài chính do deepfake hoặc giả giọng AI trong năm qua, với mức thiệt hại trung bình trên 280.000 đô la và gần một phần năm mất từ 500.000 đô la trở lên. Gartner dự báo đến 2026 khoảng 30 phần trăm doanh nghiệp sẽ không còn tin vào xác thực danh tính đơn lẻ. Tại Việt Nam, các tín hiệu cảnh báo đã rất rõ: tin gần đây mô tả một chủ tịch ngân hàng bị deepfake lừa chuyển hơn 100 triệu đô la ra nước ngoài, và một vụ deepfake khác rút mất 95 triệu euro, cả hai nổi lên đúng lúc mùa lừa đảo cận Tết bắt đầu.

Ở Webie, chúng tôi đã xử lý hơn 100 vụ website bị hack, bị truy cập trái phép, dính spam traffic và chịu áp lực DDoS, thời gian khôi phục kéo dài từ 24 giờ đến 7 ngày tùy mức độ. Quy trình của chúng tôi luôn cố định: kiểm tra, khoanh vùng khu vực bị ảnh hưởng, xác định lỗi, backup, triển khai sửa lỗi, rồi tạo một bản backup sạch trước khi handover lại cho khách. Tinh thần đó cũng áp dụng cho rủi ro deepfake và giả mạo. Chúng tôi luôn cảnh giác với các đường link lạ từ domain không uy tín, với những lời lẽ dò hỏi thông tin cá nhân hay thông tin bảo mật, và với yêu cầu gấp gửi ngoài giờ hành chính. Với một SME, bước đầu tiên rất đơn giản: tăng cường bảo mật cho mọi tài khoản, và luôn giữ một bản backup offline cho dữ liệu quan trọng để dùng khi khẩn cấp. (Duy Tran, Webie)

Cẩm nang phòng thủ bạn có thể bắt đầu ngay tuần này

Bạn không cần ngân sách bảo mật cấp tập đoàn để giảm mạnh rủi ro. Phần lớn biện pháp hiệu quả là chuyện quy trình và thói quen, không phải phần mềm đắt tiền. Dưới đây là kế hoạch theo từng lớp, tổng hợp từ khuyến nghị của Forbes Technology Council và được các chuyên gia an ninh Việt Nam đồng tình, mà một SME có thể triển khai trong vài ngày.

Biện pháp không tốn chi phí

• Thống nhất một mật khẩu xác minh cho mọi yêu cầu chuyển tiền hoặc cấp quyền, giữ nó ngoài email và chat, và xác nhận mọi thay đổi thanh toán qua số điện thoại bạn đã biết sẵn.
• Bắt buộc xác nhận kênh thứ hai: nếu yêu cầu đến qua email thì xác minh bằng điện thoại hoặc gặp trực tiếp, và không bao giờ làm ngược lại theo điều kiện của kẻ gian.
• Đề nghị ngân hàng áp dụng duyệt hai cấp cho lệnh chuyển tiền đi, đặt hạn mức chuyển, và thêm bộ lọc ghi nợ, những thứ thường miễn phí.
• Đặt quy tắc rõ cho yêu cầu bất thường: mọi đòi hỏi giữ bí mật, cấp bách quá mức, diễn ra ngoài giờ, hoặc đột ngột đổi số tài khoản đều bị coi là đáng ngờ theo mặc định.

Biện pháp kỹ thuật chi phí thấp

• Bật xác thực đa yếu tố ở mọi nơi, và ưu tiên passkey thay cho mã SMS cho email, ngân hàng và nhà đăng ký tên miền của bạn.
• Thêm bản ghi SPF, DKIM và DMARC cho tên miền công ty để kẻ gian khó gửi email giả danh bạn.
• Tự động gắn nhãn email bên ngoài và rà soát quy tắc chuyển tiếp hộp thư hàng tháng để phát hiện chuyển hướng ngầm.
• Áp dụng đặc quyền tối thiểu: gỡ quyền quản trị không ai cần và tách tài khoản thường ngày khỏi tài khoản đặc quyền.

Con người và ứng phó

• Đào tạo mọi nhân viên, không chỉ phòng tài chính, nhận diện chiêu gây áp lực của deepfake, và khen thưởng người dừng lại để xác minh thay vì người hành động nhanh.
• Viết một bản kế hoạch ứng phó dài một trang với đường dây chống gian lận của ngân hàng và đầu mối IT lưu ngoài email công ty, rồi diễn tập báo cáo sai sót mà không đổ lỗi.
• Thu hẹp mức lộ diện công khai: hạn chế lượng giọng nói và video của lãnh đạo đặt công khai trên mạng, nơi chúng có thể nuôi một bản giả giọng.

Yêu cầu này có phải deepfake không? Bảng quyết định nhanh

Khi một yêu cầu chuyển tiền hay cung cấp dữ liệu khiến bạn thấy dù chỉ hơi gợn, hãy chạy nó qua bảng này trước khi hành động.

Dấu hiệu đỏ	Biểu hiện	Việc cần làm
Cấp bách quá mức	Chuyển ngay, thương vụ chốt trong vài phút, sếp sắp lên máy bay	Chậm lại và xác minh qua kênh đã biết
Đòi giữ bí mật	Giữ kín chuyện này, đừng báo cả nhóm	Coi việc đòi bí mật là lý do để báo cấp trên, không phải để làm theo
Tài khoản mới	Cùng nhà cung cấp nhưng bỗng đổi số tài khoản khác	Gọi nhà cung cấp qua số đã lưu trước khi thanh toán
Kênh lạ	Yêu cầu đến qua một ứng dụng hoặc số chưa dùng bao giờ	Xác nhận qua kênh thông thường đã xác thực của bạn
Ngoài giờ	Yêu cầu chuyển tiền vào ban đêm hoặc ngày lễ	Áp dụng đủ quy trình xác minh, không ngoại lệ

Điều này có ý nghĩa gì với SME Việt Nam khi Tết cận kề

Lừa đảo luôn tăng vọt quanh Tết, khi tiền luân chuyển nhanh và đội ngũ bị căng mỏng, và năm 2026 còn thêm mạo danh bằng AI vào cơn lũ hóa đơn giả và giấy mời thuế giả thường thấy. Doanh nghiệp an toàn không phải là nơi chi mạnh cho bảo mật nhất; đó là nơi có thói quen đơn giản và được thực thi. Ở Webie, chúng tôi giúp SME gia cố đúng lớp thực tế mà kẻ gian hay đánh vào: bảo mật website và WordPress, hosting và bảo trì, cùng quy trình và công cụ nội bộ giữ cho việc duyệt chi luôn minh bạch. Nếu bạn muốn một ý kiến thứ hai bình tĩnh về chỗ doanh nghiệp đang hở, đó đúng là phần nền tảng chuyển đổi số mà đội ngũ chúng tôi làm mỗi ngày. Bạn có thể xem toàn cảnh những gì Webie cung cấp tại trang dịch vụ của chúng tôi.

Câu hỏi thường gặp

Doanh nghiệp nhỏ nhận biết cuộc gọi video deepfake bằng cách nào?

Hãy để ý những khoảng ngập ngừng bất thường, chuyển động môi lệch với âm thanh, ánh sáng phẳng lì trên khuôn mặt, và sự né tránh khi được yêu cầu làm một động tác trực tiếp đơn giản như quay đầu hoặc giơ tay. Cách kiểm tra đáng tin nhất lại hoàn toàn không liên quan hình ảnh: hãy kết thúc cuộc gọi và xác nhận yêu cầu qua một kênh bạn đã tin tưởng sẵn trước khi chuyển bất kỳ khoản tiền nào.

Chúng tôi có cần phần mềm phát hiện đắt tiền mới được bảo vệ không?

Không. Biện pháp phòng thủ hiệu quả nhất là một thói quen xác minh không tốn chi phí: xác nhận mọi yêu cầu nhạy cảm qua một kênh thứ hai đã biết. Công cụ phát hiện có thể hữu ích cho đội lớn, nhưng với phần lớn SME, một quy trình rõ ràng, xác thực đa yếu tố và nhận thức của nhân viên đã chặn được đại đa số cuộc tấn công.

Nếu nghi đã bị nhắm tới, chúng tôi nên làm gì đầu tiên?

Hãy dừng giao dịch và liên hệ ngay đường dây chống gian lận của ngân hàng, vì hành động nhanh làm tăng khả năng thu hồi tiền. Sau đó giữ lại bằng chứng như bản ghi cuộc gọi và tin nhắn, trình báo cơ quan chức năng, rồi rà soát xem yêu cầu đã lọt tới bạn qua đâu để bịt khoảng hở đó.

Muốn được hỗ trợ biến checklist này thành một quy trình mà đội của bạn thật sự tuân theo? Hãy trò chuyện với Webie để được tư vấn miễn phí về bảo mật website, hệ thống và luồng thanh toán. Gọi +84 969 838 467 hoặc email huyen.dang@webie.com.vn.