Lệnh chuyển tiền: Bảo mật với chữ ký điện tử

Tại sao các lệnh chuyển tiền lại là mục tiêu của những kẻ gian lận?

Các lệnh chuyển tiền là một trong những điểm dễ bị tấn công nhất bởi tội phạm mạng. Theo báo cáo thường niên năm 2025 của Ngân hàng Pháp về bảo mật các phương tiện thanh toán, gian lận chuyển tiền ngân hàng gây thiệt hại ước tính 1,2 tỷ euro cho các doanh nghiệp Pháp. Kỹ thuật gọi là "lệnh chuyển tiền giả mạo" (FOVI) hoặc gian lận giả mạo chủ tịch nhắm trực tiếp vào chuỗi phê duyệt tài liệu: một lệnh chuyển tiền không được bảo mật tốt, ký bằng quét đơn giản hoặc gửi qua email mà không xác thực, trở thành một cánh cửa vào lý tưởng.

Đối mặt với thực tế này, chữ ký điện tử cho các doanh nghiệp trở thành một giải pháp kỹ thuật và pháp lý mạnh mẽ. Nó không chỉ đơn thuần là đặt hình ảnh chữ ký lên PDF: nó tạo ra một vân tay mã hóa duy nhất, có dấu thời gian, gắn liền với danh tính được xác minh của người ký. Trong hướng dẫn này, chúng tôi phân tích các vấn đề riêng biệt liên quan đến lệnh chuyển tiền, các cấp độ chữ ký cần sử dụng, vai trò của xác thực ngân hàng và triển khai vận hành trong các dịch vụ tài chính và kế toán.

---

Các loại lệnh chuyển tiền khác nhau và những rủi ro tương ứng của chúng

Lệnh chuyển tiền một lần vs lệnh chuyển tiền thường xuyên

Một lệnh chuyển tiền một lần ủy quyền cho một lần chuyển duy nhất đến một người thụ hưởng được xác định, cho một khoản tiền và ngày cụ thể. Một lệnh chuyển tiền thường xuyên (còn gọi là lệnh định kỳ) cho phép chuyển tiền lặp đi lặp lại theo tần suất đã thỏa thuận. Rủi ro không đối xứng: một lệnh chuyển tiền thường xuyên chưa được hủy, hoặc người thụ hưởng đã bị sửa đổi do gian lận, có thể gây ra thiệt hại trong nhiều tháng trước khi được phát hiện.

Các lệnh rút tiền SEPA (SDD — SEPA Direct Debit) tạo thành một trường hợp đặc biệt: chúng cho phép một chủ nợ rút tiền trực tiếp từ tài khoản của người nợ sau khi ký một lệnh phù hợp với các quy tắc của Scheme SEPA. Quy định SEPA yêu cầu lệnh này phải được lưu trữ trong toàn bộ thời gian mối quan hệ thương mại cộng 14 tháng sau lần rút tiền cuối cùng — một ràng buộc tài liệu mạnh mẽ ủng hộ việc phi vật lý hóa an toàn.

Các vectơ gian lận tài liệu

Ba vectơ tập trung phần lớn các sự cố được báo cáo:

1. Giả mạo sau khi ký: sửa đổi RIB hoặc số tiền trên tài liệu ký tay và truyền qua email, mà không có niêm phong mã hóa.
2. Mạo danh người ký: một lệnh được gửi từ địa chỉ email bị xâm phạm, mà không xác minh danh tính trong thời gian thực.
3. Thiếu hỗ trợ kiểm toán: không thể chứng minh ai đã ký cái gì và khi nào, trong trường hợp tranh chấp với ngân hàng hoặc bên thứ ba.

Giá trị pháp lý của chữ ký điện tử nằm chính xác trong khả năng trung hòa cả ba vectơ đó cùng một lúc.

---

Cấp độ chữ ký điện tử nào cho lệnh chuyển tiền?

Quy định eIDAS (số 910/2014) xác định ba cấp độ chữ ký điện tử: đơn giản (SES), nâng cao (AdES) và có tính hợp pháp (QES). Đối với các lệnh chuyển tiền, việc lựa chọn cấp độ phải tương xứng với số tiền, tần suất và hồ sơ rủi ro của hoạt động.

Chữ ký điện tử nâng cao (AdES): tiêu chuẩn vận hành

Đối với phần lớn các lệnh chuyển tiền doanh nghiệp sang doanh nghiệp, chữ ký điện tử nâng cao tạo thành sự cân bằng tối ưu giữa bảo mật và khả năng thực hiện. Nó đáp ứng các yêu cầu sau được xác định bởi eIDAS:

• Được liên kết một cách duy nhất với người ký
• Có khả năng xác định người ký
• Được tạo từ dữ liệu dưới quyền kiểm soát độc quyền của người ký
• Được liên kết với dữ liệu ký theo cách có thể phát hiện bất kỳ sửa đổi nào sau đó

Cụ thể, điều này được biểu thị bằng xác thực đa yếu tố (OTP SMS, ứng dụng di động TOTP hoặc chứng chỉ cấp độ thực chất), niêm phong PDF phù hợp với tiêu chuẩn PAdES (ETSI EN 319 132), và dấu thời gian điện tử có tính hợp pháp sửa chữa ngày và giờ ký theo cách không thể giả mạo.

Chữ ký có tính hợp pháp (QES): cho các hoạt động có mức độ rủi ro cao

Các lệnh chuyển tiền vượt quá ngưỡng nội bộ nhất định (thường là 50.000 € hoặc 100.000 € tùy theo chính sách kiểm soát nội bộ của các nhóm lớn) hoặc liên quan đến các đối tác nhạy cảm (nhà cung cấp nước ngoài ở các vùng có rủi ro cao, người thụ hưởng mới được đăng ký) xứng đáng có chữ ký có tính hợp pháp. Điều này cần xác minh danh tính trực tiếp hoặc qua xác thực video từ một nhà cung cấp dịch vụ tin cậy đủ tiêu chuẩn (QTSP) được ANSSI công nhận.

QES là chữ ký duy nhất có giá trị tương đương với chữ ký viết tay trong toàn bộ Liên minh châu Âu, mà không thể tranh chấp trên cơ sở này một mình. Đối với một kế toán hoặc CFO, đó là một bảo đảm không thể phủ nhận trước hội đồng quản trị hoặc kiểm toán viên bên ngoài.

Xác thực ngân hàng mạnh mẽ như một lớp bổ sung

Chỉ thị DSP2 (được sửa đổi thành DSP3 vào năm 2026) yêu cầu xác thực khách hàng mạnh mẽ (SCA — Strong Customer Authentication) để xác thực chuyển tiền ở phía ngân hàng. Xác thực này dựa trên ít nhất hai yếu tố trong số: thứ gì đó người dùng biết (mật khẩu), sở hữu (điện thoại) hoặc là (sinh trắc học).

Điều quan trọng là phân biệt hai cấp độ can thiệp:

• Ký lệnh chuyển tiền (hành động pháp lý tài liệu): thuộc về eIDAS và luật hợp đồng.
• Xác thực lệnh thanh toán (hướng dẫn ngân hàng): thuộc về DSP2/DSP3 và hợp đồng ngân hàng.

Hai lớp này bổ sung cho nhau, không thay thế được. Một nền tảng như Certyneo bảo mật lớp thứ nhất; ngân hàng của bạn bảo mật lớp thứ hai. Cùng nhau, họ tạo thành một chuỗi bằng chứng hoàn chỉnh, từ quyết định phát hành chuyển tiền cho đến khi thực hiện.

---

Triển khai vận hành: tích hợp chữ ký điện tử vào mạch xác thực lệnh chuyển tiền

Lập bản đồ các dòng tài liệu hiện có

Trước bất kỳ triển khai nào, cần phải lập bản đồ các dòng: ai khởi tạo lệnh? Ai xác thực nó? Ai lưu trữ nó? Trong nhiều doanh nghiệp vừa và nhỏ, mạch này vẫn diễn ra qua một tập hợp các email, tệp được chia sẻ trên mạng nội bộ và các xác thực bằng lời nói. Sự thiếu minh bạch này bản thân nó là một rủi ro vận hành được báo cáo trong các khuyến nghị của COSO (Committee of Sponsoring Organizations of the Treadway Commission) về kiểm soát nội bộ.

Một so sánh các giải pháp chữ ký điện tử sẽ giúp bạn xác định nền tảng phù hợp với khối lượng và ràng buộc tích hợp của bạn (ERP, TMS, cổng thông tin nhà cung cấp).

Định cấu hình các quy trình làm việc phê duyệt đa ký

Quy tắc bốn mắt (xác thực kép) là một thực tiễn kiểm soát nội bộ tốt được khuyến nghị bởi AMF và các kiểm toán viên độc lập cho các lệnh chuyển tiền. Các nền tảng ký hiện đại cho phép định cấu hình:

• Các chuỗi ký (người ký A phải xác thực trước người ký B)
• Các ngưỡng ủy quyền (giám đốc tài chính ký một mình cho đến X €, đồng chữ ký giám đốc điều hành trên khoảng đó)
• Các cảnh báo và nhắc nhở tự động với nhật ký có dấu thời gian của mỗi hành động
• Các thỏa thuận ủy quyền điện tử cho các khoảng thời gian vắng mặt, với quản lý chi tiết trong hướng dẫn của chúng tôi về ủy quyền và lệnh

Lưu trữ và hỗ trợ kiểm toán: các yêu cầu tài liệu

Mỗi lệnh chuyển tiền ký điện tử phải được lưu trữ với bằng chứng ký của nó (chuỗi chứng chỉ, báo cáo kiểm toán, hash SHA-256 của tài liệu). Lưu trữ này phải có giá trị pháp lý: có thể đọc được, toàn vẹn và có thể truy cập trong toàn bộ thời gian bảo quản pháp lý (10 năm cho các tài liệu kế toán theo điều L. 123-22 của Bộ luật Thương mại).

Các giải pháp tuân thủ tự động tạo tệp bằng chứng (LTV — Long Term Validation) được tích hợp vào PDF ký, cho phép xác minh tính hợp lệ của chữ ký ngay cả sau khi chứng chỉ ban đầu hết hạn. Đây là yêu cầu của các tiêu chuẩn ETSI EN 319 132 (PAdES-LTV).

---

Những lợi ích có thể đo lường được cho các bộ phận tài chính

Giảm rủi ro gian lận và chi phí liên quan

Theo một nghiên cứu của Hiệp hội các Kiểm toán viên Gian lận Có chứng chỉ (ACFE) năm 2024, các tổ chức có kiểm soát tài liệu kỹ thuật số ghi nhận trung bình 52% ít tổn thất liên quan đến gian lận nội bộ và bên ngoài hơn những tổ chức dựa vào quy trình giấy. Chữ ký điện tử nâng cao đặc biệt loại bỏ khả năng sửa đổi tài liệu sau khi ký, loại bỏ thực tế giả mạo sau khi gửi.

Tăng tốc độ chu kỳ phê duyệt

Một mạch xác thực giấy cho một lệnh chuyển tiền mất trung bình 3 đến 7 ngày làm việc trong một doanh nghiệp có quy mô trung bình (theo một cuộc khảo sát Kyriba/Ipsos năm 2025 về tài chính doanh nghiệp). Chuyển sang kỹ thuật số giảm độ trễ này xuống vài giờ, thậm chí vài phút đối với các hoạt động thường xuyên với quy trình được cấu hình trước. Đối với một kế toán quản lý nhu cầu thanpay khoá thời gian thực, mức lợi ích này có tính chiến lược.

Tuân thủ được tạo điều kiện thuận lợi và kiểm toán đơn giản

Trong quá trình kiểm tra thuế hoặc kiểm toán pháp lý, việc tái cấu trúc các xác thực nội bộ trên các lệnh chuyển tiền là một công việc tốn thời gian. Với một hệ thống chữ ký điện tử, mỗi lệnh đi kèm với một nhật ký kiểm toán bất biến: ngày, giờ, địa chỉ IP, tên người ký, kết quả xác thực. Mức độ truy tìm này trực tiếp đáp ứng các kỳ vọng của các kiểm toán viên độc lập và kỳ vọng của DGFiP về piste kiểm toán đáng tin cậy (PAF).

Khung pháp lý áp dụng cho các lệnh chuyển tiền ký điện tử

Luật hợp đồng chung và giá trị pháp lý

Theo luật Pháp, điều 1366 của Bộ luật Dân sự đặt ra nguyên tắc chung: "Tài liệu điện tử có cùng giá trị pháp lý như tài liệu in trên giấy, với điều kiện rằng danh tính của người phát hành có thể được xác định đúng cách và nó được thiết lập và bảo quản dưới những điều kiện có tính chất bảo đảm tính toàn vẹn của nó." Điều 1367 làm rõ rằng chữ ký điện tử bao gồm việc sử dụng một quy trình xác định đáng tin cậy bảo đảm liên kết của nó với hành động mà nó gắn liền.

Những quy định này được bổ sung bởi sắc lệnh số 2017-1416 ngày 28 tháng 9 năm 2017 liên quan đến chữ ký điện tử, xác định rằng tính đáng tin cậy của quy trình chữ ký điện tử được giả định cho đến khi có bằng chứng ngược lại khi nó triển khai chữ ký điện tử có tính hợp pháp theo nghĩa của quy định eIDAS.

Quy định eIDAS số 910/2014 và sửa đổi eIDAS 2.0

Quy định eIDAS số 910/2014 tạo thành nền tảng pháp lý châu Âu. Nó thiết lập một khuôn khổ duy nhất để công nhận lẫn nhau các chữ ký điện tử trong 27 quốc gia thành viên. Điều 25(1) quy định rằng chữ ký điện tử không thể bị từ chối hiệu lực pháp lý chỉ vì nó có dạng điện tử. Điều 25(2) cấp cho chữ ký có tính hợp pháp cùng giá trị pháp lý như chữ ký viết tay. Vào năm 2024, quy định eIDAS 2.0 (quy định UE 2024/1183) đã tăng cường khuôn khổ bằng cách giới thiệu ví danh tính kỹ thuật số châu Âu (EUDIW) và mở rộng danh sách các nhà cung cấp dịch vụ tin cậy đủ tiêu chuẩn.

Đối với các lệnh rút tiền SEPA, Quy tắc Scheme EPC (Hội đồng Thanh toán châu Âu) yêu cầu một lệnh ký bởi người nợ, được giữ bởi chủ nợ, phù hợp với các tiêu chuẩn nhận dạng. Chữ ký điện tử nâng cao được các hướng dẫn EPC công nhận rõ ràng là chế độ ký hợp lệ.

Chỉ thị DSP2 / DSP3 và xác thực mạnh mẽ

Chỉ thị DSP2 (2015/2366/UE), chuyển thể thành luật Pháp trong điều L. 133-44 của Bộ luật Tiền tệ và Tài chính, yêu cầu xác thực mạnh mẽ (SCA) để xác thực các lệnh chuyển tiền trực tuyến vượt quá 30 €. Sửa đổi thành DSP3 (gói lập pháp được thông qua năm 2024, áp dụng dần năm 2025-2026) tăng cường các yêu cầu bảo mật và mở rộng trách nhiệm của các nhà cung cấp dịch vụ thanh toán trong trường hợp gian lận không được phát hiện.

GDPR và xử lý dữ liệu xác thực

Xử lý dữ liệu sinh trắc học và dữ liệu xác thực được thu thập trong quá trình ký liên quan đến điều 9 của GDPR số 2016/679 (dữ liệu nhạy cảm) và cần có cơ sở pháp lý rõ ràng. Các nhà cung cấp đủ tiêu chuẩn (QTSP) phải có phân tích tác động (AIPD/DPIA) được ghi chép. Dữ liệu ký phải được giảm thiểu, mã hóa lúc nghỉ ngơi và đang truyền, và bị xóa phù hợp với thời hạn lưu giữ được xác định.

Tiêu chuẩn kỹ thuật ETSI

Các định dạng ký được công nhận ở châu Âu được xác định bởi các tiêu chuẩn ETSI EN 319 132 (PAdES cho PDF), ETSI EN 319 122 (CAdES) và ETSI EN 319 162 (XAdES). Đối với các lệnh chuyển tiền được lưu trữ trong thời gian dài, định dạng PAdES-LTV (Long Term Validation) được khuyến nghị vì nó tích hợp thông tin xác thực cần thiết để xác minh chữ ký trong tương lai, độc lập với tuổi thọ của chứng chỉ.

Kịch bản sử dụng: các lệnh chuyển tiền được bảo mật bằng chữ ký điện tử

Kịch bản 1 — Một doanh nghiệp vừa ngành sản xuất quản lý 400 lệnh chuyển tiền nhà cung cấp mỗi quý

Một doanh nghiệp vừa ngành sản xuất, khoảng 350 nhân viên và khoảng 120 nhà cung cấp hoạt động, xử lý các lệnh chuyển tiền của nó thông qua một quy trình lai: khởi tạo trong ERP, in PDF, ký viết tay của giám đốc tài chính hoặc người phó của anh ta, quét và lưu trữ trên máy chủ được chia sẻ.

Sau một nỗ lực gian lận chuyển tiền giả được phát hiện kịp thời (sửa đổi RIB trên tệp PDF không được niêm phong được truyền qua email), ban lãnh đạo đã triển khai giải pháp chữ ký điện tử nâng cao được tích hợp với ERP qua API. Kết quả quan sát sau 6 tháng:

• Thời gian xác thực trung bình: từ 4,2 ngày đến 6 giờ
• Chi phí xử lý mỗi lệnh: giảm 38% (loại bỏ các bản in, quét, thư nội bộ)
• Hỗ trợ kiểm toán hoàn chỉnh: có sẵn trong thời gian thực cho kiểm toán viên độc lập, mà không cần tái cấu trúc thủ công
• Không có sự cố gian lận tài liệu trong giai đoạn theo dõi

Kịch bản 2 — Một liên minh các cơ sở công cộng địa phương và các lệnh chuyển tiền trợ cấp của nó

Một liên minh liên thế giới trị thị gồm khoảng mười thị xã quản lý các lệnh chuyển tiền trợ cấp cho các hiệp hội địa phương, với khối lượng hàng năm khoảng 2.000 hoạt động. Ký của các nhân viên chính phủ có trách nhiệm xảy ra trong các hội đồng cộng đồng, với các nguy cơ chậm trễ bởi lịch biểu của nhân viên chính phủ và mất tài liệu.

Phi vật lý hóa các lệnh với chữ ký điện tử nâng cao, được tích hợp vào phần mềm quản lý kế toán công, cho phép:

• Ký từ xa bởi các nhân viên chính phủ từ không gian cá nhân được bảo mật của họ, không cần có mặt thực tế bắt buộc
• Tuân thủ với khuôn khổ Hélios (tương thích với giao thức trao đổi của Nhà nước cho các cơ sở công)
• Giảm 60% thời gian thực hiện thanh toán trợ cấp (từ trung bình 22 ngày xuống 9 ngày)
• Lưu trữ tự động phù hợp với các yêu cầu của các phòng kế toán địa phương

Kịch bản 3 — Một công ty quản lý tài sản và các lệnh chuyển tiền của các khách hàng

Một công ty quản lý tài sản độc lập (khoảng 25 nhân viên, 800 khách hàng hoạt động) phải thu thập các lệnh chuyển tiền ký của khách hàng để thực hiện các sự phân bổ lại trên tài khoản chứng chỉ và hợp đồng bảo hiểm nhân thọ. Quy trình bưu điện mất trung bình 8 ngày, với tỷ lệ trả lại không đầy đủ 15% (chữ ký bị thiếu, ngày vắng mặt, v.v.).

Sau khi triển khai một giải pháp chữ ký điện tử với hành trình nhận dạng được tăng cường (xác minh chứng minh thư nhân dân + OTP), các chỉ báo đã được chuyển đổi:

• Thời gian thu thập lệnh ký: rút gọn xuống dưới 2 giờ trung bình
• Tỷ lệ lệnh không đầy đủ: giảm xuống dưới 1% nhờ các kiểm tra tính đầy đủ tự động trước khi ký
• Sự hài lòng của khách hàng được đo lường bằng NPS: tăng +18 điểm trên tiêu chí "sự đơn giản của các thủ tục hành chính"
• Tuân thủ được tăng cường các yêu cầu AMF về truy tìm các hướng dẫn của khách hàng (điều 16 MiFID II)

Kết luận

Các lệnh chuyển tiền ký điện tử không còn là xa xỉ dành riêng cho các doanh nghiệp lớn: ngày nay chúng tạo thành tiêu chuẩn bảo mật và tuân thủ tối thiểu cho bất kỳ tác nhân nào quản lý dòng tiền