Tóm tắt: AI khiến email lừa đảo, giọng nói và khuôn mặt giả tự nhiên tới mức mắt người không phân biệt được. Cách chặn hiệu quả là quy trình: yêu cầu chuyển tiền hoặc đổi tài khoản phải được xác minh qua kênh thứ hai và có hai người duyệt. Nửa đầu năm 2026, Nhật Bản ghi nhận 127 vụ giả danh giám đốc.
Bài 2/6 của loạt bài "Tấn công mạng bằng AI tại Nhật Bản". Bản đồ tổng thể ở bài 1: khái niệm và 3 nhóm rủi ro.
Mục lục
- AI đã thay đổi điều gì ở phishing và lừa đảo giả danh?
- Những hình thức giả danh nào đang phổ biến tại Nhật Bản?
- Vì sao đào tạo nhân viên "nhìn kỹ email" không còn đủ?
- Quy trình nào chặn được lừa đảo giả danh bằng AI?
- Làm việc với vendor nước ngoài cần thống nhất thêm điều gì?
- Những gì quy trình không chặn được?
1. AI đã thay đổi điều gì ở phishing và lừa đảo giả danh?
AI thay đổi hai thứ ở phishing và lừa đảo giả danh: chất lượng tiếng Nhật và chi phí cho mỗi lần thử. Trước đây, câu chữ gượng gạo là dấu hiệu dễ thấy nhất của email lừa đảo từ nước ngoài. Dấu hiệu đó đang mất dần.
Cảnh sát Nhật ghi nhận xu hướng này. Báo cáo nửa đầu năm 2026 của 警察庁 (Cơ quan Cảnh sát Quốc gia) nêu khoảng 730.000 báo cáo phishing trong 6 tháng (số của フィッシング対策協議会). Báo cáo nhận định rằng nhờ sự phát triển của AI, độ tự nhiên của câu chữ và độ chính xác của việc giả mạo tăng mạnh, nên phishing khó bị nhìn ra hơn trước.
Có cả bằng chứng từ điều tra. Trong một vụ lừa đảo hỗ trợ kỹ thuật nhắm vào người Nhật, cảnh sát Nhật phối hợp với cơ quan điều tra CBI của Ấn Độ. Theo báo cáo năm 2025 của 警察庁, nhóm nghi phạm đã dùng AI tạo sinh để chọn mục tiêu, tạo cửa sổ popup và dịch sang tiếng Nhật.
2. Những hình thức giả danh nào đang phổ biến tại Nhật Bản?
Tại Nhật Bản đang phổ biến 4 hình thức giả danh nhắm vào doanh nghiệp, khác nhau ở kênh liên lạc và thứ bị giả mạo.
| Hình thức | Kênh | Thứ bị giả | Mục đích | Ví dụ đã công bố |
|---|---|---|---|---|
| Phishing | Email, SMS, trang web giả | Thương hiệu ngân hàng, sàn EC, dịch vụ cloud | Lấy ID, mật khẩu | Nghi phạm dùng AI tạo sinh chỉnh sửa trang phishing giả một sàn EC lớn, bị cảnh sát Osaka bắt 06/2025 |
| BEC (lừa đảo qua email doanh nghiệp) | Đối tác, vendor, lãnh đạo | Chuyển tiền, đổi tài khoản nhận | Hạng 10 ở khối tổ chức trong 10大脅威 2026 của IPA, năm thứ 9 liên tiếp có mặt trong danh sách | |
| ニセ社長詐欺 (giả danh giám đốc) | Email, sau đó nhóm SNS | Tên giám đốc và tên công ty thật | Chuyển tiền gấp | 127 vụ, khoảng 3,88 tỷ yên từ 01 đến 06/2026 |
| Deepfake | Video call, điện thoại | Khuôn mặt, giọng nói | Chuyển tiền, lấy lòng tin | Nhóm giả cảnh sát dùng khuôn mặt do AI tạo trong video call, bị bắt 08/2025 |
ニセ社長詐欺 đáng chú ý nhất với doanh nghiệp vừa và nhỏ. Theo 警察庁, thủ đoạn này xuất hiện từ khoảng tháng 01/2026 và đi theo 4 bước:
- Email giả danh giám đốc gửi tới địa chỉ email công khai của công ty.
- Người nhận được yêu cầu lập một nhóm SNS, với lý do "cho dự án mới".
- Trong nhóm, "giám đốc" hỏi số dư tài khoản công ty.
- "Giám đốc" yêu cầu chuyển tiền gấp vào tài khoản chỉ định.
Mỗi vụ thành công gây thiệt hại trung bình khoảng 31 triệu yên. 警察庁 lưu ý rằng vì tên giám đốc và tên công ty là thật, người nhận khó nhận ra.
Một lưu ý về độ chính xác: báo cáo của 警察庁 không khẳng định các vụ ニセ社長詐欺 dùng AI. Bài này đưa vào vì đây là loại thủ đoạn mà AI làm cho rẻ hơn và khó nhận ra hơn: viết email đúng giọng, đúng ngữ cảnh, với số lượng lớn.
Về deepfake, vụ được nhắc nhiều nhất được đưa tin ở Hồng Kông đầu năm 2024. Một nhân viên tài chính được cho là đã chuyển khoảng 200 triệu đô la Hồng Kông sau một cuộc họp video mà những người tham dự còn lại là hình ảnh giả. Tại Nhật Bản, vụ đã được 警察庁 công bố là nhóm lừa đảo giả cảnh sát, hoạt động từ tháng 10/2024 đến tháng 05/2025.
3. Vì sao đào tạo nhân viên "nhìn kỹ email" không còn đủ?
Đào tạo nhân viên nhìn kỹ email không còn đủ vì dấu hiệu để nhìn đã bị AI xoá đi. Bài tập nhận diện phishing truyền thống dạy tìm lỗi chính tả, kính ngữ sai, tên miền lạ. AI xử lý được hai dấu hiệu đầu. Ở ニセ社長詐欺, cả tên người gửi lẫn tên công ty đều là thật.
Với giọng nói và hình ảnh, khoảng cách còn lớn hơn. Người có chức vụ càng cao thì càng có nhiều video, bài phát biểu công khai, tức là càng nhiều nguyên liệu để giả. Yêu cầu nhân viên kế toán phân biệt giọng giám đốc thật với giọng giả là đặt trách nhiệm vào chỗ không thể làm được.
Biện pháp kỹ thuật cũng có giới hạn. 警察庁 viết rằng để ngăn thiệt hại từ phishing, chỉ dựa vào biện pháp kỹ thuật như xác thực email và xác thực đa yếu tố là chưa đủ.
Kết luận thực tế là chuyển câu hỏi. Thay vì hỏi "email này thật hay giả", công ty quy định "yêu cầu loại này phải qua bước nào thì mới được làm". Khi đó nhân viên không cần thắng AI trong việc nhận diện.
4. Quy trình nào chặn được lừa đảo giả danh bằng AI?
Quy trình chặn được lừa đảo giả danh là quy trình không phụ thuộc vào việc người nhận tin vào kênh liên lạc. Năm quy tắc dưới đây áp dụng được ngay, không cần công cụ mới.
- Xác minh qua kênh thứ hai. Yêu cầu chuyển tiền đến qua email thì gọi lại số điện thoại đã lưu từ trước. Không gọi số ghi trong chính email đó.
- Hai người duyệt. Khoản chuyển vượt một ngưỡng nhất định cần người thứ hai phê duyệt, để không ai một mình vừa nhận yêu cầu vừa hoàn tất việc chuyển.
- Đổi tài khoản nhận tiền là một việc riêng. Mọi thông báo đổi tài khoản của đối tác được xử lý như yêu cầu rủi ro cao, có thời gian chờ và xác minh riêng.
- "Gấp" và "bí mật" là tín hiệu dừng. Yêu cầu vừa gấp vừa cấm hỏi người khác thì tự động chuyển cho cấp trên.
- Không chuyển việc công ty sang nhóm SNS cá nhân. 警察庁 khuyến nghị đặc biệt cảnh giác khi bị yêu cầu lập nhóm SNS, và rà lại quy định chuyển tiền trong công ty.
Xác thực đa yếu tố vẫn cần, vì mục đích của phần lớn phishing là lấy mật khẩu. Nó làm mật khẩu bị lộ kém giá trị hơn nhiều, nhưng không thay được các quy tắc trên.
Điều quan trọng nhất là quy tắc phải áp dụng cho cả giám đốc. Nếu giám đốc thật thường xuyên yêu cầu "chuyển gấp, khỏi cần xác nhận", nhân viên không có cách nào phân biệt với giám đốc giả.
5. Làm việc với vendor nước ngoài cần thống nhất thêm điều gì?
Khi làm việc với vendor nước ngoài, hai bên nên thống nhất kênh liên lạc và cách xác minh thanh toán ngay từ đầu, vì quan hệ này có đủ điều kiện cho lừa đảo qua email. Phần lớn trao đổi diễn ra qua email và chat, hai bên ít gặp trực tiếp, và có chuyển tiền quốc tế định kỳ.
VAON là một vendor như vậy: đội phát triển ở Việt Nam, khách hàng ở Nhật Bản. Vì thế đây là rủi ro VAON phải tính tới ở cả hai phía. Kịch bản cụ thể nhất là một email giả danh vendor, báo "từ tháng này vui lòng chuyển vào tài khoản mới".
Ba điều nên ghi vào hợp đồng hoặc biên bản buổi khởi động dự án:
- Danh sách người và kênh liên lạc chính thức. Ai được gửi hoá đơn, từ địa chỉ nào. Yêu cầu từ người hoặc kênh ngoài danh sách không có hiệu lực.
- Thủ tục đổi tài khoản nhận tiền. Chỉ có hiệu lực khi được xác nhận qua một kênh khác, bởi người đã có tên trong danh sách.
- Người liên hệ khi nghi ngờ. Một số điện thoại gọi được ngay khi nhận yêu cầu bất thường.
Ở VAON, CEO trực tiếp dự buổi trao đổi đầu tiên với mọi khách hàng và mọi dự án đều có báo cáo hằng tuần. Hai việc này tạo ra kênh liên lạc đều đặn mà khách hàng đã biết. Một yêu cầu bất thường xuất hiện ngoài nhịp đó sẽ dễ bị nhận ra hơn.
6. Những gì quy trình không chặn được?
Quy trình xác minh không chặn được mọi thứ, và có 3 giới hạn nên biết trước.
- Tài khoản email thật bị chiếm. Nếu kẻ tấn công đã đăng nhập được hộp thư của đối tác, email đến từ đúng địa chỉ thật. Xác minh qua điện thoại vẫn có tác dụng, nhưng kiểm tra tên miền thì không.
- Phishing lấy mật khẩu. Quy trình chuyển tiền không liên quan tới việc nhân viên nhập mật khẩu vào trang giả. Phần này cần xác thực đa yếu tố và giám sát đăng nhập.
- Sự mệt mỏi với quy trình. Quy trình quá nặng sẽ bị bỏ qua khi bận. Chỉ nên áp bước xác minh cho yêu cầu rủi ro cao: chuyển tiền, đổi tài khoản, cấp quyền, gửi dữ liệu khách hàng.
Quy trình cũng không thay được việc báo cáo. Khi đã chuyển tiền nhầm, thời gian là yếu tố quyết định. Hãy liên hệ ngân hàng và cảnh sát ngay.
Bạn đang chuẩn bị làm việc với một đội phát triển ở nước ngoài? VAON cùng bạn thống nhất kênh liên lạc, người có thẩm quyền và thủ tục thanh toán ngay từ buổi đầu. Đăng ký tư vấn miễn phí
Bài tiếp theo: Mã độc do AI viết và lỗ hổng bị khai thác nhanh hơn
Tài liệu tham khảo (kiểm tra ngày 10/10/2026)
- 警察庁, 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について (09/2026): https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
- 警察庁, 令和7年におけるサイバー空間をめぐる脅威の情勢等について (03/2026): https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
- IPA, 情報セキュリティ10大脅威 2026: https://www.ipa.go.jp/security/10threats/10threats2026.html
