Cách hướng dẫn nhân viên nhận biết lừa đảo qua mạng

Với doanh nghiệp nhỏ, một email giả danh sếp yêu cầu chuyển tiền hoặc một file đính kèm lạ cũng đủ gây thiệt hại lớn. Phần mềm bảo mật chỉ là một lớp phòng thủ; lớp quan trọng không kém là chính nhân viên. Bài này gợi ý cách hướng dẫn nhân viên nhận biết lừa đảo qua mạng sao cho ngắn gọn, dễ nhớ và áp dụng được ngay, không cần ngân sách lớn.

Mục tiêu không phải biến mọi người thành chuyên gia an ninh mạng, mà là tạo ra thói quen: dừng lại, kiểm tra, rồi mới hành động và quy trình báo cáo rõ ràng, không ai bị trách mắng khi báo sớm.

Bước 1: Xác định những rủi ro thực tế của doanh nghiệp

Trước khi đào tạo, hãy liệt kê các tình huống dễ xảy ra với chính công việc của công ty bạn:

• Kế toán, thu ngân: email giả danh đối tác đổi số tài khoản nhận tiền, hoặc giả danh lãnh đạo yêu cầu chuyển khoản gấp.
• Nhân sự: hồ sơ ứng viên chứa file đính kèm lạ, tin nhắn xin việc kèm link.
• Bán hàng, chăm sóc khách: khách lạ gửi link thanh toán hoặc file 'đơn hàng', 'báo giá' để dụ mở.
• Quản trị, IT: thông báo giả từ nhà cung cấp tên miền, hosting, email yêu cầu đăng nhập lại.
• Mọi người: tin nhắn Zalo, Facebook từ tài khoản của đồng nghiệp bị chiếm quyền, nhờ chuyển tiền hoặc mua thẻ.

Việc gắn ví dụ vào đúng vị trí công việc giúp nhân viên thấy bài học liên quan tới mình.

Bước 2: Dạy 6 dấu hiệu nhận biết

Bạn có thể in thành một tờ giấy A4 dán gần khu làm việc hoặc gửi vào nhóm chat nội bộ:

1. Khẩn cấp bất thường: 'chuyển ngay', 'trong 15 phút', 'đừng nói ai'.
2. Địa chỉ gửi lạ: tên hiển thị là sếp nhưng địa chỉ email là địa chỉ cá nhân hoặc sai một ký tự so với tên miền công ty.
3. Link lạ hoặc rút gọn: rê chuột (không bấm) để xem địa chỉ thật; nếu khác với nội dung hiển thị thì nghi ngờ.
4. File đính kèm không báo trước: đặc biệt file nén, file có đuôi lạ, hoặc file Office yêu cầu 'bật nội dung' hoặc 'bật macro'.
5. Yêu cầu thông tin nhạy cảm: mật khẩu, mã OTP, số thẻ, CCCD.
6. Thay đổi thông tin thanh toán của đối tác mà không có xác nhận qua kênh khác.

Bước 3: Đặt quy tắc xác minh đơn giản

Quy tắc rõ ràng giúp nhân viên không phải tự quyết trong lúc bị thúc ép:

• Mọi yêu cầu chuyển tiền hoặc đổi tài khoản nhận tiền phải được xác nhận qua kênh thứ hai, ví dụ gọi điện bằng số đã lưu từ trước, không dùng số trong email.
• Không ai trong công ty được yêu cầu OTP hay mật khẩu của người khác, kể cả cấp trên hay bộ phận IT.
• Khoản chuyển lớn cần hai người duyệt nếu quy mô công ty cho phép.
• Chỉ tải phần mềm từ nguồn chính thức hoặc qua người phụ trách IT. Xem thêm cách tải và cài đặt phần mềm an toàn.
• Bật xác minh 2 bước cho email công ty, tài khoản ngân hàng và các tài khoản quan trọng. Tham khảo cách bảo vệ tài khoản bằng mật khẩu mạnh và xác minh 2 bước.
• Dùng trình quản lý mật khẩu thay vì ghi mật khẩu ra giấy dán màn hình. Xem cách quản lý mật khẩu bằng trình quản lý mật khẩu.

Bước 4: Tổ chức buổi đào tạo ngắn, thực hành

Buổi đào tạo dài và nhiều lý thuyết thường bị quên. Thay vào đó:

1. Họp 20–30 phút, mỗi người xem 4–5 ví dụ email, tin nhắn lừa đảo có thật (che thông tin nhạy cảm) và đoán đâu là dấu hiệu.
2. Cho nhân viên thực hành: cho xem hai email, một thật một giả, và yêu cầu chỉ ra điểm khác biệt.
3. Hướng dẫn thao tác cụ thể: cách xem địa chỉ người gửi đầy đủ, rê chuột xem link, cách báo cáo email lừa đảo cho người phụ trách.
4. Nhắc lại định kỳ, khoảng vài tháng một lần hoặc khi xuất hiện kịch bản lừa đảo mới đang phổ biến.
5. Hướng dẫn riêng cho người mới ngay trong tuần đầu làm việc.

Bước 5: Xây dựng quy trình báo cáo không đổ lỗi

Nhiều vụ việc nghiêm trọng xảy ra vì nhân viên lỡ bấm vào link rồi sợ bị quở trách nên im lặng. Hãy làm ngược lại:

• Chỉ định một người đầu mối (chủ doanh nghiệp, quản lý hoặc IT) để nhân viên báo ngay khi nghi ngờ.
• Nói rõ: báo sớm được khen, giấu mới bị nhắc nhở.
• Quy trình xử lý nhanh khi lỡ bấm: ngắt mạng máy đó, đổi mật khẩu các tài khoản liên quan, thông báo ngân hàng nếu có liên quan đến tiền, giữ lại bằng chứng.
• Ghi chép lại sự việc để rút kinh nghiệm và chia sẻ cho cả nhóm.

Bước 6: Bổ sung lớp bảo vệ kỹ thuật

Đào tạo con người cần đi cùng bảo vệ kỹ thuật cơ bản:

• Cập nhật Windows và phần mềm thường xuyên, dùng bản quyền hợp lệ.
• Dùng bộ lọc thư rác của dịch vụ email, nên dùng email tên miền riêng cho doanh nghiệp để dễ quản lý.
• Sao lưu dữ liệu định kỳ để dù bị mã hóa dữ liệu vẫn có bản dự phòng.
• Phân quyền: nhân viên chỉ có quyền với dữ liệu cần thiết cho công việc.

Cần hỗ trợ thêm?

Nếu doanh nghiệp bạn chưa có người phụ trách CNTT, Cường Tech có thể hỗ trợ rà soát thiết lập bảo mật cơ bản, sao lưu và vận hành hệ thống thông qua dịch vụ IT và vận hành hệ thống CNTT. Bạn cũng có thể gọi hotline/Zalo 0943.847.333 để trao đổi nhu cầu cụ thể.