Tại sao các chốt kiểm soát tài chính truyền thống thất bại trong việc ngăn chặn gian lận hiện đại tinh vi

Trong nhiều thập kỷ, kiểm soát nội bộ luôn là nền tảng của quản trị tài chính doanh nghiệp. Các tổ chức đã và đang dựa vào các chốt bảo vệ truyền thống—như phân tách nhiệm vụ (segregation of duties), phân cấp phê duyệt nhiều bước và đối chiếu sau thanh toán—để ngăn ngừa sai sót, nâng cao trách nhiệm giải trình và ngăn chặn các hoạt động độc hại. Trong kỷ nguyên của các quy trình thủ công và sổ sách kế toán bằng giấy, các chốt kiểm soát này từng mang lại hiệu quả cực kỳ cao.

Tuy nhiên, môi trường kinh doanh số hóa với tốc độ chóng mặt ngày nay đã không còn giống với bối cảnh mà các hệ thống cũ này được thiết kế để bảo vệ. Các doanh nghiệp hiện đại phải xử lý khối lượng giao dịch điện tử khổng lồ trên các nền tảng đám mây, mạng lưới nhà cung cấp toàn cầu và các hệ sinh thái tài chính kết nối lẫn nhau. Khi các khoản thanh toán được thực hiện nhanh hơn và mối quan hệ với nhà cung cấp trở nên linh hoạt hơn, những kẻ gian lận cũng đã thích ứng. Thay vì tìm cách phá vỡ các bức tường bảo mật truyền thống, chúng đang khai thác những lỗ hổng mang tính hệ thống giữa các chốt kiểm soát lỗi thời và các hoạt động vận hành hiện đại.

Sự thật phũ phàng là các chốt kiểm soát vốn được thiết kế cho các quy trình tuần tự dựa trên giấy tờ đang thất bại trong việc bắt kịp với các thủ đoạn tội phạm ưu tiên kỹ thuật số (digital-first).

Từ thao túng trực tiếp đến khai thác quy trình làm việc

Trước đây, gian lận tài chính doanh nghiệp thường liên quan đến các hành vi vật lý: giả mạo chữ ký trên séc giấy, chỉnh sửa hồ sơ giấy hoặc trộm cắp tài sản vật chất. Các chốt kiểm soát truyền thống đã ngăn chặn thành công các mối đe dọa này bằng cách phân tách nhiệm vụ—đảm bảo nhân viên nhập hóa đơn không phải là người phê duyệt thanh toán—và thực hiện kiểm toán thủ công sau khi giao dịch đã hoàn tất.

Tuy nhiên, những kẻ gian lận hiện đại không cần phải vượt qua các chốt kiểm soát của doanh nghiệp. Thay vào đó, chúng sử dụng các kỹ thuật thao túng tâm lý (social engineering), tài khoản nhân viên bị rò rỉ, danh tính giả (synthetic identities) và thao túng dữ liệu để trà trộn vào các hoạt động kinh doanh bình thường. Thay vì phá vỡ hệ thống, chúng thao túng các quy trình làm việc hợp pháp để các hoạt động gian lận của mình trông hoàn toàn như một hoạt động thường nhật.

Điều này tạo ra một điểm mù khổng lồ cho các quy trình tuân thủ nội bộ tiêu chuẩn. Hầu hết các chốt kiểm soát cũ chỉ xác minh xem một quy trình cụ thể đã được tuân thủ đúng hay chưa, thay vì đánh giá xem bản thân giao dịch cốt lõi đó có hợp pháp và đáng tin cậy hay không.

Hình thức tấn công thỏa hiệp email doanh nghiệp (BEC) chiếm đoạt quyền phê duyệt như thế nào

Thỏa hiệp email doanh nghiệp (BEC – Business Email Compromise) vẫn là một trong những hình thức gian lận doanh nghiệp gây thiệt hại tài chính nặng nề nhất. Sự thành công của hình thức này hoàn toàn dựa vào việc khai thác các kênh giao tiếp sẵn có và các quy trình phê duyệt nội bộ đáng tin cậy.

Trong một cuộc tấn công BEC điển hình, kẻ gian lận sẽ mạo danh một cấp quản lý cao cấp, một nhà cung cấp trọng yếu hoặc một đối tác kinh doanh đáng tin cậy bằng cách sử dụng một địa chỉ email giả mạo hoặc bị hack. Chúng gửi đi một yêu cầu khẩn cấp—chẳng hạn như yêu cầu thanh toán nhanh hoặc cập nhật thông tin định tuyến ngân hàng khẩn cấp—mô phỏng theo các hoạt động kinh doanh thường nhật.

Bởi vì yêu cầu trông có vẻ hợp pháp và thường nằm dưới các ngưỡng hạn mức tiền tệ được chỉ định, bộ phận phải trả (accounts payable) sẽ chuyển nó qua quy trình làm việc tiêu chuẩn. Hóa đơn được xử lý, các phê duyệt được thông qua và khoản thanh toán được giải ngân. Trên giấy tờ, quy trình kiểm soát đã được tuân thủ một cách hoàn hảo, nhưng thực chất tổ chức đã bị lừa đảo. Xu hướng chuyển sang làm việc từ xa và làm việc hybrid chỉ càng làm trầm trọng thêm lỗ hổng này, khi việc xác minh bằng lời nói phần lớn đã được thay thế bằng các xác nhận kỹ thuật số nhanh chóng.

Sự gia tăng của các nhà cung cấp giả mạo và quy trình thiết lập thông tin ban đầu yếu kém

Quy trình thiết lập thông tin nhà cung cấp mới (vendor onboarding) từ lâu đã bị coi là một thủ tục hành chính tẻ nhạt hơn là một chốt chặn phòng chống gian lận quan trọng. Lỗ hổng này đã biến nó thành mục tiêu hàng đầu cho các chiêu trò tạo dựng nhà cung cấp giả mạo (synthetic vendor).

Trong các cuộc tấn công này, tội phạm thành lập các nhà cung cấp ảo hoặc thay đổi dữ liệu của các nhà cung cấp hợp pháp để chuyển hướng dòng tiền của doanh nghiệp. Chúng nộp các hồ sơ đăng ký trông rất chuyên nghiệp bằng cách sử dụng danh tính giả, trang web giả mạo và các tài liệu được ngụy tạo.

Điểm gãy cốt lõi xảy ra vì các chốt kiểm soát quy trình thiết lập thông tin truyền thống chỉ tập trung vào việc thu thập tài liệu thay vì xác minh độc lập. Một bộ phận phải trả có thể thu thập các biểu mẫu thuế W-9 và các bản kê khai thông tin ngân hàng, nhưng họ hiếm khi đối chiếu chéo các tài liệu đó với các cơ sở dữ liệu độc lập theo thời gian thực. Một khi nhà cung cấp giả mạo đã được nhập vào hệ thống Hoạch định Nguồn lực Doanh nghiệp (ERP), tất cả các hóa đơn và khoản thanh toán tiếp theo sẽ dễ dàng vượt qua các chốt kiểm soát hạ nguồn vì nhà cung cấp đó đã được gắn nhãn “đã phê duyệt”.

Định tuyến lại khoản thanh toán: Giao dịch thật, đích đến lừa đảo

Gian lận định tuyến lại khoản thanh toán (payment rerouting fraud) đặc biệt nguy hiểm vì giao dịch kinh doanh cốt lõi hoàn toàn là thật. Nhà cung cấp là có thật, hàng hóa hoặc dịch vụ đã được bàn giao và hóa đơn là hợp lệ. Hành vi gian lận chỉ xảy ra duy nhất tại điểm đến của dòng tiền.

Bằng cách sử dụng các email bị xâm nhập hoặc thao túng tâm lý, tin tặc thuyết phục nhân viên bộ phận phải trả cập nhật chi tiết thông tin ngân hàng của nhà cung cấp. Trước đây, việc sửa đổi tài khoản ngân hàng thường được coi là các cập nhật dữ liệu có rủi ro thấp. Ngày nay, chúng đại diện cho một trong những điểm tiếp cận có mức độ rủi ro cao nhất trong tài chính doanh nghiệp.

Mười tổ chức vẫn dựa vào các xác nhận qua email dễ bị thao túng hoặc các cuộc gọi phản hồi thủ công để xác minh các thay đổi về thông tin ngân hàng. Với sự tăng tốc của thanh toán kỹ thuật số và việc rút ngắn thời gian quyết toán (settlement window), thời gian để phát hiện và thu hồi các khoản chuyển tiền gian lận này đã bị thu hẹp xuống gần như bằng không.

Thao túng hóa đơn: Che giấu gian lận trong các chi tiết nhỏ

Gian lận hóa đơn hiện đại đã vượt xa hình thức xuất hóa đơn trùng lặp đơn giản. Các thủ đoạn ngày nay liên quan đến các vi thao túng (micro-manipulations) dữ liệu giao dịch được thiết kế để lọt qua các đợt kiểm tra quy trình tiêu chuẩn. Kẻ gian lận lồng ghép các khoản phí không được phép, thổi phồng nhẹ số lượng, thao túng các danh mục chi tiết (line items) hoặc chia nhỏ các khoản phí trùng lặp thành nhiều hóa đơn nhỏ hơn.

Chiến thuật này khai thác một lỗ hổng phổ biến của doanh nghiệp: thiếu sự giám sát ở cấp độ giao dịch. Khi khối lượng giao dịch tăng vọt, các quản lý bộ phận phải trả thường tập trung vào việc xác thực tổng số tiền và đối chiếu đơn đặt hàng (purchase order) hơn là kiểm toán từng danh mục chi tiết riêng lẻ. Tốc độ thực hiện được ưu tiên hơn việc phân tích chuyên sâu, cho phép các khoản phí gian lận dễ dàng trà trộn vào các hoạt động vận hành bình thường.

Hiện đại hóa các chốt kiểm soát tài chính cho kỷ nguyên số

Các chốt kiểm soát truyền thống thường đặt câu hỏi: Quy trình chính xác đã được thực hiện chưa? Mặc dù câu hỏi này vẫn quan trọng, nhưng nó không còn đủ để ngăn chặn các hình thức gian lận hiện đại. Các nhà lãnh đạo tài chính, kiểm toán và tuân thủ phải hiện đại hóa các khung quản trị của mình để đặt ra một câu hỏi sâu sắc hơn: Giao dịch này có hợp lý hay không?

Để phòng chống các hình thức gian lận hiện đại tinh vi, các tổ chức nên ưu tiên một số chiến lược cốt lõi sau:

• Nâng cao năng lực quản trị nhà cung cấp: Coi quy trình thiết lập thông tin và duy trì dữ liệu nhà cung cấp là các hoạt động có tính bảo mật cao. Triển khai xác thực độc lập, theo thời gian thực đối với các tài khoản ngân hàng, mã số thuế và quyền sở hữu doanh nghiệp.
• Triển khai phân tích hành vi và ngữ cảnh: Nhìn xa hơn các quy tắc tĩnh đơn giản. Phân tích các mô hình giao dịch, dữ liệu cấp độ giao dịch và các bất thường về hành vi để phát hiện các điểm bất thường vượt qua được các quy trình làm việc tiêu chuẩn.
• Chuẩn hóa quy trình xác minh ngoại băng (Out-of-Band Verification): Đào tạo các đội ngũ tài chính sử dụng các phương pháp xác minh độc lập, hai yếu tố đối với tất cả các hành động có rủi ro cao, chẳng hạn như thay đổi thông tin định tuyến thanh toán của nhà cung cấp.

Lời kết: Việc ngăn ngừa gian lận hiệu quả giờ đây đòi hỏi sự hiểu biết sâu sắc về ngữ cảnh. Khi các quy trình tài chính doanh nghiệp ngày càng trở nên số hóa và nhanh chóng, những tổ chức được bảo vệ an toàn sẽ là những tổ chức biết nhìn xa hơn việc tuân thủ quy trình và xây dựng năng lực phân tích vận hành thông minh cần thiết để xác minh tính toàn vẹn của giao dịch theo thời gian thực.

Nguồn: thefinancialbrand.com