Vụ lừa tình đắt nhất lịch sử Thái Lan: 50.000 tin nhắn, 251 lệnh chuyển tiền và gần 300 triệu USD

Chamanun Phetporee, Giám đốc Tài chính Công ty TNHH Sản xuất Essilor Thái Lan (EMTC), bị truy tố 251 tội danh trộm cắp tài sản của người sử dụng lao động, mỗi tội danh khung hình phạt tới 4 năm tù. Vì tòa xác định cô đồng thời là nạn nhân của một vụ lừa đảo và đã hợp tác điều tra, thẩm phán chỉ tuyên 2 năm cho mỗi tội danh.

Tổng cộng 502 năm, mức án thi hành thực tế tối đa 20 năm do luật Thái Lan cho phép chấp hành đồng thời một phần. Cô đang ở Trại giam nữ Trung ương thuộc nhà tù Klong Prem, Bangkok.

Con số thiệt hại có ba phiên bản.

Cảnh sát Thái Lan công bố hơn 6,2 tỷ baht. Bangkok Post dẫn nguồn Cục Điều tra Trung ương ghi 6,3 tỷ baht. Còn đơn kiện tại tòa liên bang New York ghi khoảng 272 triệu USD bị rút khỏi một tài khoản đứng tên EMTC tại chi nhánh JP Morgan ở New York. Chênh lệch đến từ tỷ giá quy đổi và phạm vi thống kê của từng cơ quan.

Tất cả bắt đầu bằng một tin nhắn LinkedIn.

Năm 2019, một tài khoản xưng là bác sĩ quân y Mỹ đang công tác tại Afghanistan, tên Andrew Chang, nhắn tin cho nữ CFO khi đó 50 tuổi. Hai người sau đó trao đổi khoảng 50.000 tin nhắn WhatsApp, theo cảnh sát Thái Lan. Nhân vật ảo nói muốn chuyển khoản thừa kế 58 triệu USD từ người cha quá cố về Thái Lan, mua một căn nhà sang trọng để hai người chung sống.

Cô đi tìm nhà thật. Đến lúc đặt cọc, anh ta viện cớ không rút được tiền từ tài khoản ngân hàng Thụy Sĩ và nhờ cô ứng trước. Căn nhà trị giá 30 triệu baht, cô bỏ tiền túi đặt cọc 1,5 triệu baht. Sau đó nhóm lừa đảo vét sạch tài khoản cá nhân của cô rồi bắt đầu dựng thêm những tình huống mới để moi tiền, theo một nguồn tin của CIB.

Chi tiết đáng chú ý ở đây không phải là sự cả tin, mà là mức độ đầu tư của phía lừa đảo vào giấy tờ. Khi cô bắt đầu nghi ngờ, nhóm này gửi cho cô giấy chứng tử giả của người cha, phát đi từ Anh, đúng nơi ông ta được cho là đã qua đời, khiến cô tin đó là tài liệu thật. Có lần cô được đưa lên một căn phòng và cho xem chiếc vali đầy tiền mặt USD, kèm một tờ 100 USD thật để tự kiểm chứng, phần còn lại cảnh sát tin là tiền giả. Ảnh đại diện mà cô tin tưởng suốt nhiều tháng là ảnh của một người vô can sống tại Malaysia.

Đây chính là điểm mà mọi chương trình đào tạo nhận diện lừa đảo trong doanh nghiệp thường bỏ sót. Nhân sự được dạy nhận diện email giả mạo và đường link lạ, nhưng không được dạy rằng một bộ hồ sơ có dấu bưu điện quốc tế, một cuộc hẹn ngoài đời và một vali tiền cũng có thể là đạo cụ.

Không còn tiền riêng sau khoản đặt cọc, cô bị thuyết phục "vay tạm" tiền của chính công ty mình. Ban đầu cô từ chối, nói rằng không thể làm như vậy. Theo Trung tá Korkiat, kẻ lừa đảo cuối cùng thuyết phục được bằng lập luận rằng khi tiền thừa kế về tới Thái Lan thì sẽ hoàn trả và không ai biết, bởi chính cô là CFO của công ty.

Câu nói đó là toàn bộ mô hình rủi ro của vụ án gói trong một dòng. Không ai biết, vì người duy nhất có thể biết cũng chính là người đang ký.

Từ giữa tháng 9 đến giữa tháng 12/2019, cô tạo hóa đơn khống và bút toán giả để thực hiện 251 lệnh chuyển tiền tới 112 tài khoản ngân hàng tại 17 quốc gia. Quyền phê duyệt thanh toán và quyền hạch toán sổ sách nằm trong tay một người, nên chứng từ giả không bao giờ bị đối chiếu ngược với thực tế.

Trên giấy tờ, EMTC có chốt kiểm soát thứ hai. Quy trình yêu cầu người đồng ký, ở đây là ông Sakchai. Ông này sau đó phủ nhận cáo buộc, khẳng định đã ký theo đúng thủ tục công ty mà không biết đó là giao dịch gian lận. Lời khai ấy, dù đúng hay sai, mô tả chính xác một dạng thất bại phổ biến: chữ ký đồng phê duyệt tồn tại như thủ tục hành chính chứ không đi kèm nghĩa vụ kiểm tra chứng từ gốc. Một hệ thống như vậy về bản chất vẫn là hệ thống một người quyết.

Trong lúc dòng tiền chảy ra gần như hằng ngày, tuyến phòng thủ thứ ba cũng im lặng. Tháng 4/2022, Essilor International SAS và EMTC khởi kiện JP Morgan tại tòa liên bang New York, cáo buộc ngân hàng không ngăn chặn ít nhất 243 lệnh chuyển tiền gian lận và lẽ ra phải phát hiện, báo cáo, chặn các giao dịch đáng ngờ.

Danh sách dấu hiệu bất thường mà nguyên đơn liệt kê đọc như giáo trình phòng chống rửa tiền. Khối lượng giao dịch bình quân tháng nhảy từ 15 triệu USD lên hơn 100 triệu USD, và theo đơn kiện, ngân hàng không hề yêu cầu giải trình. Tiền chảy vào các công ty vỏ bọc mở tài khoản tại ngân hàng khu vực, phần lớn ở những vùng tài phán rủi ro cao. Toàn bộ lệnh chuyển đều là số tròn không lẻ xu, khác hẳn giai đoạn trước đó khi giao dịch số tròn tương đối hiếm. Người thụ hưởng là những pháp nhân xa lạ hoạt động trong lĩnh vực cà phê, nội thất và chăm sóc tóc, không liên quan gì đến ngành quang học.

Tiền đi tới Thái Lan, Malaysia, Trung Quốc, Hong Kong (Trung Quốc), Dubai và Indonesia, thường rời tài khoản theo từng đợt lớn trong cùng một ngày. Nguyên đơn còn cho rằng JP Morgan biết một trong những kẻ phối hợp đã nộp báo cáo sai lệch cho Ngân hàng Trung ương Thái Lan để che giấu danh tính người thụ hưởng.

Nói cách khác, cả ba lớp bảo vệ đều được thiết kế để bắt giao dịch bất thường đơn lẻ, trong khi thứ đang diễn ra là một chuỗi giao dịch nhìn từng cái thì hợp lệ, chỉ bất thường khi nhìn tổng thể.

Công ty chỉ phát hiện bất thường sau khoảng bốn tháng, phải thuê điều tra viên tư nhân để lần theo dòng tiền. Khi bị đặt trước hàng chục trang bằng chứng và không giải thích được các giao dịch, Chamanun thừa nhận hành vi. Công ty mới chuyển hồ sơ sang cảnh sát. Theo lời Trung tá Korkiat, cô bật khóc, và cả thế giới của cô sụp xuống.

Cuối tháng 12/2019, EssilorLuxottica ra thông cáo. Tác động tài chính ước tính tối đa 190 triệu euro trước bảo hiểm, chưa tính các hành động pháp lý và khả năng thu hồi thêm số tiền đang bị phong tỏa tại nhiều tài khoản, được ghi nhận vào kết quả kinh doanh 2019 dưới dạng khoản mục điều chỉnh. Cổ phiếu giảm khoảng 1% ngay phiên sáng sau công bố. Toàn bộ nhân sự đã được xác định liên quan bị sa thải, và hội đồng quản trị cho biết đã bổ sung các chốt kiểm soát nội bộ mới trên phạm vi toàn cầu. Đó là phần chi phí mà thị trường nhìn thấy được.

Phần thu hồi tốn kém hơn nhiều. Theo hồ sơ tòa, Essilor lấy lại được một phần qua một quy trình mà chính công ty mô tả là tốn kém và nặng nề, nhưng không thể thu hồi 100 triệu USD trong số các khoản đã chuyển đi quý IV/2019. Vụ kiện với JP Morgan kéo dài hơn hai năm rưỡi. Tháng 1/2023, thẩm phán liên bang Lewis J. Liman chấp nhận một phần và bác một phần yêu cầu bác đơn của ngân hàng, cho phép đơn vị Thái Lan của EssilorLuxottica tiếp tục theo đuổi lập luận rằng JP Morgan đã vi phạm quy định bang New York về hợp đồng thương mại, vốn buộc hoàn trả các lệnh thanh toán không được ủy quyền. Tháng 10/2024, tòa chấp thuận yêu cầu của ngân hàng loại bỏ phiên xử có bồi thẩm đoàn. Theo dữ liệu hồ sơ tòa liên bang, vụ việc được ghi nhận kết thúc tại tòa quận ngày 13/12/2024, các bên không công bố kết quả cụ thể.

Hai mươi hai người đã bị bắt, lệnh truy nã còn hiệu lực với tám người khác. Tháng 2/2025, một phụ nữ Thái 52 tuổi tên Orathai bị bắt tại sân bay quốc tế Hat Yai với các cáo buộc gồm đồng phạm rửa tiền, tham gia tổ chức tội phạm xuyên quốc gia và đồng phạm lừa đảo bằng danh tính giả. Cô này khai đã mở các tài khoản ngân hàng theo yêu cầu của bạn trai người Nigeria.

Dữ liệu cho thấy tuyến tấn công này đang mở rộng chứ không thu hẹp. Theo FTC công bố tháng 4/2026, trong năm 2025 gần 30% người báo mất tiền vì lừa đảo nói vụ việc bắt đầu từ mạng xã hội, thiệt hại báo cáo đạt 2,1 tỷ USD, gấp tám lần so với năm 2020. Riêng lừa đảo tình cảm, gần 60% người báo mất tiền trong năm 2025 cho biết mọi chuyện khởi đầu trên một nền tảng mạng xã hội. Cùng năm, FTC nhận hơn 1 triệu báo cáo về lừa đảo mạo danh với thiệt hại tăng gần 20% lên 3,5 tỷ USD.

Bà Chalidaporn Songsamphan, giáo sư về giới và chính trị tại Đại học Thammasat, nhận định rất nhiều người tìm bạn đời qua mạng, đặc biệt khi họ lớn tuổi và mong muốn một mối quan hệ, và chính điều đó tạo ra một dạng tổn thương dễ bị khai thác. Với doanh nghiệp, câu hỏi đặt ra không phải là làm sao ngăn nhân sự cấp cao yêu nhầm người, mà là làm sao để một quyết định cá nhân sai lầm không thể tự động biến thành 251 lệnh chuyển tiền hợp lệ trên hệ thống.

Câu trả lời nằm ở những thứ rất cũ và rất ít được thực thi đến nơi. Tách bạch quyền phê duyệt và quyền hạch toán. Đặt ngưỡng cảnh báo cho biến động khối lượng giao dịch theo chu kỳ, chứ không chỉ cho từng giao dịch đơn lẻ. Đối chiếu ngành nghề của người thụ hưởng với chuỗi cung ứng thực tế. Và quan trọng nhất, đừng để chữ ký đồng phê duyệt tồn tại chỉ như một ô trống cần điền.