Kiểm soát gian lận thay đổi ngân hàng trong dữ liệu gốc nhà cung cấp: Xác minh thay đổi thông tin chi tiết ngân hàng của nhà cung cấp

Gian lận thay đổi tài khoản ngân hàng trong dữ liệu gốc nhà cung cấp (vendor master) là gì?

Gian lận thay đổi tài khoản ngân hàng trong dữ liệu gốc nhà cung cấp khiến người mua thay đổi tài khoản ngân hàng của nhà cung cấp thực tế thành tài khoản do kẻ gian kiểm soát. Trong thông báo ngày 4 tháng Năm năm 2017 của FBI, dựa trên các khiếu nại tính đến hết năm 2016, IC3 đã báo cáo các trường hợp mà một yêu cầu có vẻ như bị giả mạo đã di chuyển địa điểm chuyển tiền của nhà cung cấp, chuyển hướng tất cả các khoản thanh toán hóa đơn đến. Theo thông báo ngày 14 tháng Sáu năm 2016 của FBI, các yêu cầu như vậy đến qua điện thoại, fax hoặc email và rất giống với các yêu cầu chính thống.

Hướng dẫn này đề cập đến các thay đổi đối với hồ sơ nhà cung cấp hiện có. Việc thu thập chi tiết ngân hàng từ nhà cung cấp mới được đề cập trong hướng dẫn phân loại rủi ro khi tiếp nhận nhà cung cấp, và luồng thanh toán mà nó cấp dữ liệu được quy định tại hướng dẫn về kiến trúc quy trình từ mua hàng đến thanh toán (procure-to-pay).

Lỗ hổng quy trình nào bị loại hình gian lận này khai thác?

Trong Báo cáo khảo sát 2026 của AFP, dựa trên mô tả của 465 chuyên gia ngân quỹ về năm 2025, kẻ gian chủ yếu đóng giả làm nhà cung cấp hoặc giám đốc điều hành để yêu cầu thay đổi hướng dẫn thanh toán. Trong cùng báo cáo đó, hai người trả lời giấu tên cho thấy khoảng trống: một tài khoản ngân hàng mới cho một nhà cung cấp quan trọng đã được nhập vào trước khi Bộ phận Ngân quỹ xác nhận, và trong một trường hợp khác, một kẻ mạo danh khách hàng đã gửi thông tin và tài khoản mới, sau đó bộ phận phải trả đã gọi điện đến số điện thoại trong email đó.

Trong bài viết tháng Năm năm 2026 của AFP về các kịch bản gian lận của những người tham gia khảo sát, một số vụ việc liên quan đến các đội ngũ đã bỏ qua bước gọi điện xác nhận hoặc chấp nhận xác nhận qua email, đôi khi ngay trong chính chuỗi hội thoại đã đưa ra yêu cầu đó.

Trong báo cáo khảo sát 2024 của AFP của các chuyên gia quản lý ngân quỹ, đề cập đến 2023, các tác giả lưu ý rằng khoản thanh toán có thể đến từ một nhân viên bị xâm phạm, người thay đổi thông tin ngân hàng của nhà cung cấp mà không có sự xác thực đầy đủ trong quy trình quản lý hồ sơ nhà cung cấp chính, và một người trả lời khảo sát đã báo cáo việc thông tin đăng nhập bị đánh cắp được sử dụng để cố gắng thay đổi thông tin chi tiết ngân hàng.

Một cuộc gọi xác thực nên xác nhận việc thay đổi thông tin chi tiết ngân hàng như thế nào?

Theo thông báo 2016 của FBI, doanh nghiệp nên thiết lập kênh liên lạc qua điện thoại từ sớm trong mối quan hệ, tách biệt với email, đồng thời sử dụng các số điện thoại đã biết từ trước chứ không dùng số trong yêu cầu. Trong Báo cáo khảo sát 2026 của AFP, 94% các tổ chức phản hồi cho biết họ xác minh các yêu cầu chuyển tiền bằng cách gọi điện cho một người liên hệ được ủy quyền của bên thụ hưởng theo số điện thoại từ hồ sơ chính thức, và 63% những người dùng đó đánh giá phương pháp này rất hiệu quả, theo kết quả tự đánh giá.

Theo Bài viết kịch bản tháng 5 năm 2026 của AFP, một nỗ lực sử dụng thông tin ngân hàng đã bị thay đổi của khách hàng đã vượt qua bài kiểm tra qua điện thoại trước khi các điểm bất nhất vạch trần nó, một hộp thư của nhà cung cấp bị xâm phạm đã gửi các tài liệu trông có vẻ hợp lệ và một người gọi giả danh ngân hàng đã sử dụng số điện thoại thực của ngân hàng đó.

Theo quan điểm của hướng dẫn này, cuộc gọi nên là cuộc gọi đi, đến số điện thoại từ hồ sơ của người mua đã được thiết lập từ đầu mối quan hệ hoặc được xác minh lần cuối trước khi có yêu cầu và không thay đổi kể từ đó, được thực hiện bởi người không nhận được yêu cầu và được ghi lại nhật ký. Cũng theo quan điểm này, các thư tín và bảng sao kê hiển thị tài khoản mới hỗ trợ cho hồ sơ nhưng không cho biết ai là người yêu cầu.

Trong thông báo tháng Năm năm 2017 của FBI, FBI lưu ý rằng yêu cầu đột ngột của một đối tác kinh doanh muốn được liên hệ qua địa chỉ email cá nhân có thể là hành vi gian lận. Theo quan điểm của hướng dẫn này, mọi thay đổi đối với số điện thoại, địa chỉ email hoặc tên liên hệ của nhà cung cấp đều cần được áp dụng quy trình giữ lại, gọi lại cho một liên hệ đã được xác minh trước đó, phê duyệt và ghi nhật ký giống như thay đổi tài khoản ngân hàng, vì bất kỳ ai thay thế thông tin liên hệ trong hồ sơ cũng sẽ là người trả lời cuộc gọi sau đó.

Ai nên là người tiếp nhận, xác minh, phê duyệt và phát hành một thay đổi?

Trong một mô hình phân tách trách nhiệm năm 2014 đã được bình duyệt, chỉ đọc phần tóm tắt cho hướng dẫn này, Kevin Kobelsky định nghĩa việc phân tách trách nhiệm là phân chia công việc sao cho không một cá nhân nào có thể vừa thực hiện vừa che giấu một lỗi lầm hoặc hành vi gian lận, và mô hình của ông coi việc cấp quyền và phê duyệt quyền truy cập hệ thống là các nhiệm vụ riêng biệt. Theo cùng bản tóm tắt đó, mô hình này yêu cầu ít nhất ba người để phân tách sơ cấp trong công việc được hỗ trợ bởi CNTT và năm người để phân tách thứ cấp; theo quan điểm của hướng dẫn này, do đó các cơ sở nhỏ cần có một biện pháp rà soát bù đắp.

Trong Bản tóm tắt của Deloitte về khuôn khổ COSO, việc phân tách nhiệm vụ thường là một phần trong cách lựa chọn các hoạt động kiểm soát và ban quản lý sẽ chọn các biện pháp kiểm soát thay thế khi việc phân tách không khả thi. Theo cùng một tóm tắt, việc tách biệt hoạt động nhập dữ liệu khỏi khâu phê duyệt chỉ làm giảm rủi ro nếu những người tham gia không thông đồng với nhau.

Trong hướng dẫn của FBI 2016 về việc thay đổi địa điểm thanh toán, FBI lưu ý rằng việc phê duyệt thứ hai bởi nhân viên công ty có thể đóng vai trò là yếu tố thứ hai. Theo quan điểm của cẩm nang này, người tiếp nhận, người xác minh, người phê duyệt và người phát lệnh thanh toán nên là bốn người khác nhau, và cách các vai trò đó tương tác qua các hệ thống được quy định trong hướng dẫn kiểm soát quy trình từ mua hàng đến thanh toán (procure-to-pay).

Theo quan điểm của hướng dẫn này, một người mua đa địa điểm cần một điểm tiếp nhận tập trung duy nhất: bất kỳ ai nhận được yêu cầu tại một địa điểm hoặc trong hộp thư của bộ phận kế toán phải trả (AP) đều chuyển tiếp yêu cầu đó mà không hề thay đổi, tuyệt đối không tự ý nhập liệu hay trả lời. Khi đó, một quy trình xác minh cho mỗi nhà cung cấp sẽ áp dụng cho mọi bản ghi trong hệ thống ERP và mã công ty, đồng thời các thay đổi trên cổng thông tin, trung tâm dữ liệu chính, giao diện và tính năng tải lên hàng loạt cũng được áp dụng quy trình tạm giữ và gọi điện xác nhận tương tự.

Các yêu cầu thay đổi khẩn cấp nên được xử lý như thế nào?

Trong Báo cáo khảo sát 2026 của AFP, các tác giả khuyến nghị nên có các chính sách rõ ràng về thời gian xử lý thanh toán tiêu chuẩn, vì thời gian trước khi thanh toán kéo dài hơn có thể giúp ngăn ngừa gian lận, đồng thời cần kiểm tra kỹ lưỡng các khoản thanh toán ngay lập tức hoặc thanh toán khẩn cấp. Trong thông báo 2017 của FBI, các yêu cầu giữ kín thông tin hoặc hành động gấp là những dấu hiệu cảnh báo, và một số ngân hàng cho biết họ giữ các yêu cầu chuyển tiền quốc tế trong thời gian lâu hơn để kiểm tra.

Theo quan điểm của hướng dẫn này, tính khẩn cấp nên kéo dài quy trình: không có khoản tiền nào được thanh toán cho tài khoản mới cho đến khi hoàn tất việc gọi điện xác minh và phê duyệt, đồng thời tính khẩn cấp sẽ kích hoạt một cuộc gọi thứ hai đến một người liên hệ khác có trong hồ sơ. Theo quan điểm tương tự, các hóa đơn đến hạn trong thời gian đó sẽ phải chờ, hoặc được chuyển vào tài khoản đã được xác minh trước đó sau khi người liên hệ đã được xác minh của nhà cung cấp xác nhận rằng tài khoản đó vẫn hoạt động; không có nguồn tài liệu nào được xem xét đặt ra thời gian giữ lại.

Việc xác thực tài khoản ngân hàng tự động có thể hiển thị những gì?

Trên trang xác thực tài khoản của Nacha, đọc vào ngày 14 tháng Mười Một năm 2026, việc xác thực được gọi là thực tiễn tốt nhất cho bất kỳ ai gửi thanh toán. Theo cùng trang Nacha đó, quy tắc yêu cầu điều đó, có hiệu lực từ ngày 19 tháng Ba năm 2021, bao gồm chi tiết tài khoản người tiêu dùng lần đầu sử dụng đối với các khoản ghi nợ trực tuyến của người tiêu dùng; về phạm vi đó, theo cách hiểu của hướng dẫn này, nó không áp dụng cho tài khoản mới của nhà cung cấp. Theo phương pháp tiếp cận trung lập về phương thức của quy tắc đó, các tùy chọn bao gồm thông báo trước, khoản tiền gửi siêu nhỏ và các dịch vụ thương mại sử dụng dữ liệu gộp hoặc thông tin xác thực ngân hàng trực tuyến.

Theo quan điểm của hướng dẫn này, kết quả xác thực không cho biết ai là người yêu cầu thay đổi, do đó không thể thay thế cho việc gọi điện xác nhận (callback); hãy lưu trữ kết quả này như một hồ sơ bổ sung.

Nên xử lý các bản ghi nhà cung cấp không hoạt động và trùng lặp như thế nào?

Không có nguồn chính thức hoặc nguồn nghiên cứu nào được xem xét đề cập đến các bản ghi không hoạt động hoặc trùng lặp, vì vậy phần này là phân tích riêng của cẩm nang. Hãy chặn các bản ghi không có thanh toán trong một khoảng thời gian do người mua thiết lập, để việc kích hoạt lại cần sự xác minh giống như thay đổi ngân hàng, đồng thời hợp nhất hoặc chặn các bản ghi trùng lặp có chứa thông tin chi tiết ngân hàng khác khi chủ sở hữu có tên xác nhận thông tin chính xác. Thực hiện các biện pháp kiểm tra này theo lịch trình như một phần của quản trị vòng đời nhà cung cấp sau khi gia nhập hệ thống.

Nhật ký thay đổi phải chứng minh được điều gì với kiểm toán viên?

Theo Bản tóm tắt COSO của Deloitte, các chính sách kiểm soát cần được lập thành văn bản, đánh giá định kỳ và xem xét lại khi phát sinh nhu cầu cụ thể, đồng thời hệ thống CNTT cần được thiết lập để hạn chế quyền truy cập và hỗ trợ phân tách trách nhiệm. Theo quan điểm của hướng dẫn này, nhật ký thay đổi là hồ sơ mà người mua nên có khả năng trình ra cho kiểm toán viên; giao thức dưới đây liệt kê những gì mỗi bước để lại.

Điều gì nên xảy ra nếu một tài khoản đã thay đổi bị phát hiện là gian lận?

Trên trang web về gian lận email doanh nghiệp BEC của IC3, đọc vào ngày 14 tháng Mười Một năm 2026, FBI khuyên nên yêu cầu ngân hàng gốc ngay lập tức thu hồi hoặc đảo ngược giao dịch cùng thư miễn trừ trách nhiệm hoặc bồi hoàn, đồng thời nộp đơn khiếu nại chi tiết lên IC3. Theo quan điểm của cẩm nang này, bộ phận ngân quỹ sẽ thực hiện cuộc gọi ngân hàng đó; bộ phận thu mua sẽ chặn thanh toán đối với nhà cung cấp trong mọi hệ thống ERP, loại bỏ nhà cung cấp đó khỏi các đợt thanh toán đang chờ xử lý, gọi điện cho nhà cung cấp thực sự theo thông tin liên hệ đã xác minh của họ và lưu giữ bằng chứng cho bộ phận tài chính, an ninh và pháp lý, những bộ phận chịu trách nhiệm thu hồi và mọi lập trường pháp lý.

Các tác nhân AI sẽ thay đổi việc xác minh thay đổi chi tiết ngân hàng như thế nào?