Đọc đúng thông tin thật để dựng kịch bản giả

Trên các các hội nhóm mua sắm, các bài cảnh báo giả danh shipper xuất hiện dày đặc. Kẻ gian không còn gọi điện phán đoán chung chung mà chúng nắm trọn hành trình đơn hàng, đọc đúng tên cuốn sách, bộ quần áo hay đồ gia dụng bạn vừa bấm đặt vài ngày trước.

Cuối tháng 5 vừa qua, một khách hàng tại Tây Ninh đặt cuốn sách giá 102.000 đồng qua sàn thương mại điện tử. Ba ngày sau, một cuộc gọi tự xưng shipper tới giao hàng. Vẫn thói quen thanh toán trước cho tiện, vị khách chuyển ngay 105.000 đồng.

Chỉ vài phút sau, điện thoại báo tin nhắn: Khách hàng đã đăng ký "thẻ hội viên" của hệ thống giao nhận, chuẩn bị trừ tự động 4 triệu đồng mỗi tháng. Muốn hủy thì phải làm thủ tục. Đây mới là lúc cái bẫy thực sự sập xuống. Kẻ gian dùng khoản tiền nhỏ ban đầu để tạo ra sự cố giả, gây hoang mang rồi dụ nạn nhân click vào link độc hoặc đọc mã OTP.

Mới đây, vào đầu tháng 8/2026, một phụ nữ tại Hưng Yên nhận cuộc gọi của “shipper” thông báo đã gửi nhầm tài khoản nhận tiền, đề nghị khách vào một trang Facebook để gửi khiếu nại. Một “nhân viên chăm sóc khách hàng” khác tiếp tục hướng dẫn hoàn tiền và đưa dãy số được giới thiệu là mã xác nhận. Khi nhập dãy số vào ứng dụng ngân hàng, người phụ nữ phát hiện đó thực chất là số tiền chuyển hơn 28 triệu đồng nên dừng giao dịch và trình báo.

Công an tỉnh Hưng Yên khẳng định doanh nghiệp chuyển phát không yêu cầu khách nhập “mã hoàn tiền”, cung cấp OTP, xác thực sinh trắc học hoặc chuyển tiền để được nhận lại tiền.

Mức độ nguy hiểm không nằm ở khoản thanh toán ban đầu. Đầu năm 2026, Truyền hình Công an Nhân dân (ANTV) thông tin về một đường dây lừa đảo xuyên quốc gia sử dụng nhiều kịch bản, trong đó có giả danh shipper. Nhóm này bị xác định đã chiếm đoạt khoảng 300 tỷ đồng của hơn 8.000 nạn nhân. Sau khi khách trả tiền hàng, đối tượng thông báo nạn nhân đã chuyển nhầm vào tài khoản đăng ký làm shipper, rồi dẫn dắt sang các bước chiếm đoạt lớn hơn.

Rò rỉ dữ liệu từ đâu?

Một đơn hàng từ lúc bấm "mua" đến khi tới tay người nhận phải đi qua hàng loạt mắt xích: người bán, phần mềm quản lý, kho đóng gói, đơn vị vận chuyển, shipper và cả những bình luận công khai trên livestream bán hàng. Thông tin lộ ra từ đâu rất khó quy trách nhiệm ngay tức thì.

Tuy nhiên, bảo mật dữ liệu không phải là việc làm cho có. Nghị định 24/2025/NĐ-CP đã quy định rõ, doanh nghiệp không có biện pháp bảo vệ thông tin hoặc tự ý chia sẻ dữ liệu người tiêu dùng cho bên thứ ba sẽ đối mặt mức phạt 30-40 triệu đồng, thậm chí cao hơn nhiều nếu liên quan đến nền tảng lớn.

Đơn cử như mới đây, Ủy ban Cạnh tranh Quốc gia đã ra quyết định xử phạt Grab 1,36 tỷ đồng do nhiều vi phạm, trong đó có việc thiếu tùy chọn cho phép người dùng từ chối chia sẻ thông tin cá nhân. Điều này cho thấy tính pháp lý nghiêm ngặt đang dần siết chặt nghĩa vụ bảo mật của các bên cầm dữ liệu.

Làm gì để không thành nạn nhân?

Nguyên tắc quan trọng nhất người tiêu dùng cần nhớ, đó là không coi tên, địa chỉ, loại hàng và số tiền là bằng chứng xác thực người đang gọi, vì đây chính là những dữ liệu kẻ gian đã có để dựng cuộc gọi. Muốn kiểm tra, người mua phải sử dụng một kênh độc lập, không dùng số điện thoại, đường link hay fanpage do người gọi cung cấp.

Trước hết, hãy mở ứng dụng hoặc website nơi đã đặt hàng bằng đường dẫn tự nhập hoặc ứng dụng cài sẵn. Cần đối chiếu mã đơn, trạng thái vận chuyển, đơn vị giao hàng, số tiền và hình thức thanh toán. Nếu đơn đã thanh toán trực tuyến, mọi yêu cầu nộp thêm tiền để “xác nhận”, “giữ đơn” hay “lấy hàng khỏi kho” đều cần được xem là bất thường.

Nếu đơn hàng không hiển thị đầy đủ, hãy liên hệ người bán, sàn hoặc tổng đài của doanh nghiệp vận chuyển qua số công khai trên ứng dụng và website chính thức. Không gọi lại số do “shipper” gửi trong tin nhắn. Người mua có quyền lùi thời gian nhận hàng để xác minh. Hãy nhớ rằng, một đơn hàng thật không buộc khách phải chuyển tiền ngay trong vài phút vì lý do “chạy chỉ tiêu” hoặc “sắp hoàn về kho”.

Khi hàng được mang tới, cần đối chiếu mã vận đơn, tên người gửi và số tiền trên nhãn với đơn đã đặt. Nếu phát hiện hai người cùng gọi cho một đơn hàng, đơn đã trả trước nhưng tiếp tục bị thu tiền, hoặc gói hàng không đúng nơi gửi, nên từ chối nhận và báo ngay cho người bán. Với đơn thanh toán khi nhận hàng, hình thức an toàn hơn là trả sau khi đã xác định đúng kiện hàng, trong phạm vi chính sách đồng kiểm của người bán và đơn vị vận chuyển.

Các cụm từ “chuyển nhầm tài khoản tổng”, “đăng ký hội viên”, “bảo hiểm hàng hóa”, “phí hủy shipper”, “mã hoàn tiền” thường xuất hiện ở bước tiếp theo của kịch bản. Người mua cần nhớ, không ngân hàng hay doanh nghiệp chuyển phát nào yêu cầu khách đưa OTP, mật khẩu, mã PIN, chia sẻ màn hình, cài ứng dụng lạ hoặc xác thực khuôn mặt để hủy một dịch vụ không đăng ký. Dãy số được yêu cầu nhập vào ô số tiền trên ứng dụng ngân hàng chính là số tiền chuẩn bị chuyển, không phải mã xác nhận.

Nếu đã chuyển một khoản nhỏ, người mua cần dừng ngay, không tiếp tục làm theo hướng dẫn để “lấy lại tiền”. Hãy gọi ngân hàng bằng số hotline chính thức, đề nghị kiểm tra, tra soát hoặc hỗ trợ phong tỏa giao dịch nếu còn khả năng. Trường hợp đã bấm đường link, cài ứng dụng hoặc chia sẻ thông tin đăng nhập, nên ngắt kết nối thiết bị và liên hệ ngân hàng từ một máy khác để khóa tài khoản, thẻ và các dịch vụ có nguy cơ bị chiếm quyền.

Đồng thời, cần giữ lại lịch sử đặt hàng, số điện thoại, tin nhắn, đường link, tên tài khoản nhận tiền, biên lai và nội dung làm việc với người bán. Người tiêu dùng có thể yêu cầu doanh nghiệp giải trình bằng văn bản về việc bảo vệ dữ liệu, xác định những bên đã tiếp cận thông tin đơn hàng và đề nghị khắc phục, bồi thường nếu có căn cứ về thiệt hại.

Nếu không được giải quyết, người mua có thể phản ánh tới Sở Công Thương, Hội Bảo vệ người tiêu dùng tại địa phương hoặc Tổng đài tư vấn, hỗ trợ người tiêu dùng 1800.6838 do Ủy ban Cạnh tranh Quốc gia (thuộc Bộ Công Thương) vận hành. Khi có dấu hiệu lừa đảo, đặc biệt sau khi đã chuyển tiền, cung cấp OTP hoặc cài ứng dụng theo hướng dẫn, cần trình báo cơ quan công an càng sớm càng tốt.

Trong một cuộc gọi giao hàng, thông tin đúng có thể chỉ là chiếc vỏ của một kịch bản giả. Điều giúp phân biệt shipper thật không phải là người đó biết gì về khách, mà là thông tin có khớp trên kênh đặt hàng chính thức và yêu cầu thanh toán có đúng với thỏa thuận ban đầu hay không.