Một hoá đơn điện tử thật gửi qua thư thường đi kèm tệp dữ liệu gốc (định dạng XML) có chữ ký số của người bán, thêm bản thể hiện để đọc (thường là PDF) hoặc một mã tra cứu. Dù thư trông thật tới đâu, cách chắc chắn để biết hoá đơn có tồn tại là tra trên cổng hoá đơn điện tử của cơ quan thuế bằng mã số thuế người bán, ký hiệu, số hoá đơn và số tiền — không bấm đường dẫn trong thư để tra.
Nguy hiểm lớn hơn hoá đơn giả là thư giả đội lốt hoá đơn: tệp đính kèm là chương trình độc, hoặc đường dẫn dẫn tới trang giống cổng thuế để lấy mật khẩu. Hộp thư kế toán là mục tiêu ưa thích vì nhận nhiều thư lạ mỗi ngày và người nhận có thói quen mở ngay. Phần dưới đi từ dấu hiệu nhận ra, tới cách kiểm tra tệp, rồi cách tra hoá đơn.
Một thư hoá đơn thật thường có những gì
- Người gửi là người bán hoặc đơn vị cung cấp dịch vụ hoá đơn mà người bán dùng, từ một địa chỉ thư ổn định qua các tháng.
- Nội dung nêu tên người bán, số hoá đơn, ngày lập, tổng tiền — khớp với giao dịch mình đang có.
- Tệp đính kèm: tệp XML (dữ liệu gốc, có chữ ký số) và thường thêm tệp PDF (bản thể hiện). Có nơi gửi đường dẫn và mã tra cứu để tải tệp.
- Không đòi đăng nhập tài khoản thuế, không đòi mật khẩu, không đòi cài phần mềm để xem.
Pháp lý nằm ở tệp XML. Tệp PDF chỉ là bản để người đọc xem; hai tệp phải khớp nội dung, nhưng khi lệch thì XML mới là hoá đơn. Kế toán lưu PDF mà không lưu XML là lưu thiếu.
Dấu hiệu thư lừa đảo đội lốt hoá đơn
| Dấu hiệu | Vì sao đáng ngờ |
|---|---|
| Hoá đơn từ người bán mình không hề mua hàng | Kẻ gian gửi hàng loạt, trông chờ người nhận tò mò mở |
| Tệp nén (.zip, .rar), nhất là nén có mật khẩu ghi ngay trong thư | Mật khẩu giúp tệp độc lọt qua bộ lọc thư |
| Tệp có đuôi chạy được (.exe, .scr, .js, .bat) hoặc đuôi kép kiểu “hoadon.pdf.exe” | Hoá đơn không bao giờ là một chương trình |
| Tệp HTML mở ra trang đăng nhập | Trang đăng nhập giả để lấy mật khẩu |
| Thúc giục: “quá hạn”, “sẽ bị phạt”, “xác nhận trong 24 giờ” | Tạo áp lực để bỏ qua bước kiểm tra |
| Địa chỉ gửi gần giống tên nhà cung cấp quen, lệch một hai ký tự | Giả mạo tên miền để đánh lừa mắt |
Một thư có hai dấu hiệu trở lên thì không mở tệp, không bấm đường dẫn. Hỏi lại người bán qua số điện thoại mình đã có sẵn, không dùng số ghi trong thư.
Kiểm tra tệp trước khi mở
- Bật hiển thị đuôi tệp trên máy tính để thấy đầy đủ tên tệp, kể cả đuôi thật.
- Chỉ mở XML và PDF. Tệp XML mở bằng phần mềm đọc hoá đơn hoặc trình xem thông thường; PDF mở bằng trình đọc PDF đã cập nhật.
- Không bật “cho phép nội dung”, “bật macro” nếu tệp văn bản yêu cầu. Hoá đơn không cần những thứ đó.
- Tệp nén: nếu đến từ người bán quen và được báo trước, giải nén và kiểm tra bên trong chỉ có XML, PDF. Có tệp khác thì dừng.
- Đường dẫn tải hoá đơn: di chuột xem địa chỉ thật trước khi bấm; nếu trang mở ra đòi đăng nhập tài khoản thuế, đóng lại ngay.
Các bước này tốn ít hơn một phút mỗi thư. Với doanh nghiệp nhận nhiều hoá đơn, nên để một người phụ trách hộp thư hoá đơn và làm quen với danh sách người gửi thường xuyên; thư lạ sẽ tự nổi lên.
Tra hoá đơn trên cổng hoá đơn điện tử
Mở cổng hoá đơn điện tử của cơ quan thuế bằng cách tự gõ hoặc dùng dấu trang đã lưu, không đi qua đường dẫn trong thư. Có hai cách tra:
- Tra từng tờ, không cần đăng nhập: nhập mã số thuế người bán, loại hoá đơn, ký hiệu, số hoá đơn, tổng tiền theo yêu cầu của trang. Kết quả cho biết hoá đơn có trên hệ thống không và đang ở trạng thái nào.
- Tra trong tài khoản doanh nghiệp: đăng nhập, xem danh sách hoá đơn mua vào. Hoá đơn thật gửi cho mình, đúng mã số thuế người mua, sẽ hiện trong danh sách này (có độ trễ nhất định với một số loại hoá đơn).
Kết quả đáng tin khi: có trên cổng, đúng người bán, đúng người mua, đúng số tiền, trạng thái bình thường. Không thấy trên cổng thì chưa kết luận ngay là giả — có thể do nhập sai một thông tin hoặc dữ liệu chưa kịp đồng bộ; tra lại sau một hai ngày và hỏi người bán.
Một mẹo thực tế: so danh sách hoá đơn mua vào trên cổng với hộp thư mỗi cuối tuần. Hoá đơn nào có trên cổng mà không có thư, xin người bán gửi lại. Thư nào có mà cổng không có, xem kỹ — đó là chỗ thư giả hay nấp.
Đọc tệp XML và chữ ký số
Tra trên cổng cho biết hoá đơn có tồn tại. Đọc tệp XML cho biết tệp mình đang giữ có đúng là bản đó không:
- Mở bằng phần mềm đọc hoá đơn, xem chữ ký số của người bán có hợp lệ, đúng tên người bán không.
- Với hoá đơn có mã, xem có mã của cơ quan thuế trong dữ liệu không.
- So nội dung XML với PDF: tên hàng, số lượng, đơn giá, thuế suất, tổng tiền. Lệch thì tin XML và hỏi người bán vì sao bản thể hiện khác.
Hoá đơn giả kiểu cũ thường là một tệp PDF “đẹp” không có XML đi kèm, hoặc XML không có chữ ký hợp lệ. Chỉ nhận PDF mà không tra, không có XML, là để lọt đúng loại này.
Tổ chức hộp thư nhận hoá đơn để thư giả khó lọt
Phần lớn thư giả lọt qua không phải vì kế toán kém, mà vì hoá đơn đổ về quá nhiều chỗ: thư riêng của kế toán, thư của nhân viên mua hàng, thư của giám đốc, rồi chuyển tiếp qua lại. Mỗi lần chuyển tiếp là một lần mất dấu người gửi gốc. Cách tổ chức gọn hơn:
- Một hộp thư chung của doanh nghiệp chỉ để nhận hoá đơn, đăng ký địa chỉ này với mọi nhà cung cấp và ghi vào hợp đồng.
- Một người chịu trách nhiệm chính, một người dự phòng; không ai khác mở tệp đính kèm trong hộp thư đó.
- Danh sách người gửi quen cập nhật khi thêm nhà cung cấp mới; thư ngoài danh sách tự động vào một thư mục riêng để kiểm tra.
- Lưu tệp XML theo tháng vào kho lưu trữ của doanh nghiệp ngay sau khi tra xong, không để hoá đơn chỉ nằm trong hộp thư.
- Nhân viên nhận hoá đơn ở thư riêng thì yêu cầu người bán gửi lại vào hộp thư chung, thay vì chuyển tiếp.
Khi kế toán nghỉ việc, hộp thư chung được bàn giao nguyên vẹn; thư riêng thì không. Đó cũng là lý do nên làm việc này từ sớm, không chờ tới lúc bị thư giả.
Lỡ mở tệp lạ hoặc lỡ nhập mật khẩu: làm gì ngay
- Ngắt mạng máy tính đó nếu đã mở tệp chạy được hoặc tệp nén lạ.
- Báo người phụ trách công nghệ hoặc đơn vị hỗ trợ để quét máy trước khi dùng lại.
- Đổi mật khẩu tài khoản thuế điện tử, tài khoản hoá đơn, hộp thư — từ một máy khác sạch.
- Kiểm tra chữ ký số: nếu thiết bị ký số cắm trên máy bị nhiễm, rút ra và hỏi nhà cung cấp chữ ký số về việc tạm khoá nếu nghi bị dùng trái phép.
- Theo dõi tài khoản thuế vài ngày: có tờ khai, hoá đơn, thay đổi thông tin nào mình không làm thì báo ngay cơ quan thuế.
Đừng ngại báo. Giấu một lần mở nhầm để rồi tài khoản thuế bị dùng lập hoá đơn là cái giá lớn hơn nhiều.
Bước tiếp theo
- Lập danh sách người gửi hoá đơn thường xuyên; thư ngoài danh sách phải kiểm tra trước khi mở.
- Bật hiển thị đuôi tệp trên các máy kế toán; chỉ mở XML và PDF.
- Tra mọi hoá đơn đầu vào trên cổng hoá đơn điện tử, mở cổng bằng dấu trang đã lưu.
- Lưu tệp XML cùng PDF; đọc chữ ký số của người bán trên XML.
- Mỗi tuần so danh sách hoá đơn mua vào trên cổng với hộp thư nhận hoá đơn.
Câu hỏi thường gặp
Chỉ có tệp PDF, không có XML thì hoá đơn có hợp lệ không?
Dữ liệu gốc của hoá đơn điện tử là tệp XML có chữ ký số. PDF chỉ là bản thể hiện. Xin người bán gửi XML, và tra hoá đơn trên cổng; chỉ lưu PDF là lưu thiếu.
Thư ghi là từ cơ quan thuế, báo có hoá đơn cần xác nhận, có thật không?
Cơ quan thuế không gửi thư yêu cầu bấm đường dẫn để xác nhận hoá đơn hay nhập mật khẩu. Thông báo chính thức nằm trong tài khoản thuế điện tử; tự đăng nhập để xem thay vì bấm trong thư.
Tra trên cổng không thấy hoá đơn, có phải hoá đơn giả?
Chưa chắc. Có thể nhập sai một thông tin hoặc dữ liệu chưa đồng bộ. Kiểm tra lại từng trường, chờ một hai ngày rồi tra lại, và hỏi người bán. Vẫn không thấy thì không hạch toán tờ đó.
Có nên cài phần mềm mà thư hoá đơn yêu cầu để đọc tệp?
Không. Hoá đơn điện tử đọc được bằng phần mềm đọc hoá đơn thông dụng hoặc qua cổng tra cứu. Thư đòi cài phần mềm lạ là dấu hiệu lừa đảo rõ nhất.
Nhận được hoá đơn thật nhưng của một giao dịch mình không hề có thì làm gì?
Không hạch toán tờ đó. Tra trên cổng để xem hoá đơn có ghi đúng mã số thuế của công ty mình không, rồi báo người bán bằng văn bản. Nếu hoá đơn đúng là ghi tên mình mà không có giao dịch, giữ thư trao đổi làm bằng chứng mình đã từ chối.
Người bán quen gửi thư từ địa chỉ mới, có nên tin?
Gọi lại người bán qua số điện thoại đã có để xác nhận họ có đổi địa chỉ gửi không. Kẻ gian hay giả danh chính nhà cung cấp quen, vì thư từ họ ít bị nghi.
