Chữ ký số của hộ kinh doanh, dù là USB token cắm vào máy hay chữ ký số từ xa ký qua điện thoại, có giá trị như con dấu và chữ ký của chủ hộ trên môi trường điện tử. Ai cầm được token kèm mã PIN, hoặc vào được ứng dụng ký từ xa, là có thể ký hóa đơn, nộp tờ khai, thay đổi thông tin thuế nhân danh bạn. Bảo vệ nó gồm bốn việc: chỉ chủ hộ hoặc một người được giao rõ ràng giữ token và PIN, không đưa token hay mật khẩu phần mềm hóa đơn cho "dịch vụ làm hộ" không rõ ràng, nhận diện chiêu lừa gia hạn chữ ký số giả, và biết báo nhà cung cấp tạm dừng chứng thư ngay khi mất token.
Chữ ký số đang mở được những cánh cửa nào
Với một hộ kinh doanh bán hàng online, chữ ký số thường gắn với:
- Phần mềm hóa đơn điện tử: ký và phát hành hóa đơn cho khách, điều chỉnh, thay thế hóa đơn.
- Cổng thuế điện tử: nộp tờ khai, tra cứu nghĩa vụ, nộp thuế qua tài khoản ngân hàng liên kết.
- Một số giao dịch ngân hàng, bảo hiểm xã hội của hộ, tùy nơi đăng ký.
Hóa đơn ký sai, tờ khai bị nộp bậy hay thông tin đăng ký thuế bị đổi đều để lại hậu quả kéo dài, và việc chứng minh "không phải tôi ký" thường khó hơn nhiều so với lấy lại một fanpage. Vì vậy chữ ký số đáng được giữ chặt ngang với tài khoản ngân hàng của shop.
USB token và chữ ký số từ xa khác nhau ở chỗ cần bảo vệ
| USB token | Chữ ký số từ xa | |
|---|---|---|
| Thứ cần giữ | Thiết bị vật lý và mã PIN | Tài khoản ứng dụng ký, điện thoại xác nhận, mật khẩu hoặc sinh trắc học |
| Rủi ro chính | Để token cắm sẵn trên máy, dán PIN lên token, đưa token cho người khác | Lộ mật khẩu ứng dụng, mất điện thoại, bấm xác nhận yêu cầu ký mà không đọc |
| Khi mất | Báo nhà cung cấp tạm dừng hoặc thu hồi chứng thư | Khóa tài khoản qua nhà cung cấp, đổi mật khẩu, gỡ thiết bị lạ |
Với chữ ký số từ xa, thói quen quan trọng nhất là đọc nội dung yêu cầu ký trước khi xác nhận. Nếu điện thoại báo có yêu cầu ký mà bạn không đang làm gì trên phần mềm hóa đơn hay cổng thuế, từ chối và kiểm tra ngay.
Ai giữ token và mã PIN
Hộ kinh doanh nhỏ thường có một trong ba cách: chủ hộ tự giữ, giao cho người nhà làm sổ sách, hoặc giao cho kế toán dịch vụ bên ngoài. Cách nào cũng được, miễn là rõ ràng:
- Ghi ra ai đang giữ token, từ ngày nào, để làm việc gì. Nghe có vẻ thừa với cửa hàng gia đình, nhưng khi có tranh chấp hoặc nhân viên nghỉ, tờ giấy này rất có ích.
- Đổi mã PIN mặc định ngay khi nhận token. PIN mới không phải ngày sinh, số điện thoại hay dãy số liền nhau.
- Không dán PIN lên token, không ghi PIN vào túi đựng token, không lưu trong ghi chú điện thoại không khóa.
- Rút token khỏi máy khi ký xong. Token cắm sẵn trên máy tính quầy là lời mời cho bất kỳ ai, kể cả phần mềm điều khiển từ xa.
- Cất token như cất chìa khóa két: ở chỗ cố định, có khóa, không mang theo lung tung.
Máy tính dùng để ký cũng cần sạch: không cài phần mềm bẻ khóa, không có ứng dụng điều khiển từ xa để sẵn. Chiêu "nhân viên hỗ trợ cài giúp phần mềm ký" là con đường quen thuộc để kẻ gian chiếm máy, như bài bị dụ cài phần mềm điều khiển từ xa "hỗ trợ kỹ thuật" đã phân tích.
Giao cho "dịch vụ làm hộ": khi nào nên dừng lại
Thuê kế toán dịch vụ làm thuế cho hộ kinh doanh là chuyện bình thường. Vấn đề nằm ở những bên không rõ danh tính, thường chào mời qua tin nhắn, nhóm mạng xã hội hoặc gọi điện, với lời hứa như "lo trọn gói thuế bán hàng online", "xử lý hồ sơ nhanh", "giảm thuế". Dấu hiệu nên dừng:
- Yêu cầu gửi token qua đường bưu điện, xe ôm, kèm luôn mã PIN, cho một địa chỉ không có văn phòng rõ ràng.
- Xin mật khẩu cổng thuế, phần mềm hóa đơn, tài khoản ngân hàng chỉ qua tin nhắn, không có hợp đồng.
- Không có tên đơn vị, mã số thuế, địa chỉ, hoặc từ chối ký hợp đồng dịch vụ.
- Đề nghị phát hành hóa đơn "giúp" cho bên khác hay ký những chứng từ bạn không hiểu.
Nếu thuê dịch vụ, ưu tiên cách để họ làm việc qua tài khoản được phân quyền trên phần mềm hóa đơn (nhiều phần mềm cho tạo tài khoản người dùng phụ), còn bước ký thì chủ hộ tự làm hoặc tự xác nhận. Có hợp đồng ghi rõ phạm vi công việc và trách nhiệm bảo mật. Khi kết thúc hợp tác, lấy lại token, đổi PIN, đổi mật khẩu các tài khoản liên quan. Nguyên tắc "mỗi người một lối vào riêng" giống như khi chia quyền tài khoản shop cho nhân viên.
Chiêu lừa gia hạn chữ ký số giả
Chứng thư chữ ký số có thời hạn, nên tin "sắp hết hạn chữ ký số" là cái cớ rất dễ tin. Các kịch bản hay gặp:
- Cuộc gọi tự xưng nhà cung cấp hoặc cơ quan thuế, nói chữ ký số sắp bị khóa, yêu cầu chuyển khoản phí gia hạn vào tài khoản cá nhân.
- Tin nhắn, email kèm đường link tới trang "gia hạn trực tuyến" giả, đòi nhập mật khẩu cổng thuế, mã PIN, thông tin thẻ.
- Yêu cầu cài ứng dụng "để cập nhật chứng thư", thực chất là phần mềm điều khiển từ xa hoặc ứng dụng đánh cắp dữ liệu.
- Người đến tận nơi xin mang token về "nạp gia hạn".
Cách kiểm chứng: xem hạn chứng thư trên chính phần mềm quản lý token hoặc ứng dụng ký của bạn, gọi lại nhà cung cấp theo số in trên hợp đồng, hóa đơn hoặc website chính thức mà bạn tự tìm, không theo số trong tin nhắn. Gia hạn thật không bao giờ cần bạn đọc mã PIN qua điện thoại. Cơ quan thuế cũng không gọi điện thu phí gia hạn chữ ký số. Bài cuộc gọi mạo danh thuế lừa hộ kinh doanh online có thêm các kịch bản cùng họ.
Bảo vệ tài khoản phần mềm hóa đơn và cổng thuế
Ngoài token, các tài khoản đăng nhập cũng cần chăm sóc:
- Mật khẩu riêng, dài, không dùng chung với email hay fanpage. Lưu trong trình quản lý mật khẩu.
- Email và số điện thoại khôi phục là của chủ hộ, không phải của người làm dịch vụ.
- Bật thêm lớp xác thực nếu phần mềm có hỗ trợ.
- Thường xuyên xem danh sách hóa đơn đã phát hành và lịch sử nộp tờ khai. Hóa đơn lạ, tờ khai lạ là tín hiệu cần xử lý ngay.
- Không đăng nhập trên máy dùng chung ở tiệm in hay máy của người quen.
Mất token hoặc nghi bị dùng trái phép
- Liên hệ ngay nhà cung cấp chữ ký số qua kênh chính thức để yêu cầu tạm dừng hoặc thu hồi chứng thư. Đây là bước quan trọng nhất, càng sớm càng tốt.
- Đổi mật khẩu phần mềm hóa đơn, cổng thuế, và các tài khoản liên quan, từ một thiết bị sạch.
- Kiểm tra hóa đơn, tờ khai, thông tin đăng ký đã có thay đổi gì từ thời điểm nghi ngờ.
- Báo cho cơ quan thuế quản lý và đơn vị cung cấp phần mềm hóa đơn nếu thấy hóa đơn hay tờ khai không phải do mình thực hiện; hỏi họ thủ tục cụ thể cần làm vì cách xử lý có thể khác nhau theo từng trường hợp.
- Giữ bằng chứng: thời điểm mất, tin nhắn, cuộc gọi đáng ngờ, ảnh chụp các thay đổi lạ. Nếu có dấu hiệu lừa đảo hoặc bị lấy cắp, trình báo công an.
- Đăng ký chứng thư mới theo hướng dẫn của nhà cung cấp, và đổi cách cất giữ để không lặp lại.
Một danh sách kiểm tra mỗi quý
- Token đang ở đâu, ai giữ, PIN đã đổi khỏi mặc định chưa.
- Hạn chứng thư còn bao lâu, xem trên phần mềm của chính bạn.
- Ai đang có tài khoản trên phần mềm hóa đơn; ai đã nghỉ nhưng chưa bị gỡ.
- Email, số điện thoại khôi phục còn đúng của chủ hộ không.
- Máy tính dùng để ký có phần mềm lạ, phần mềm điều khiển từ xa không.
Câu hỏi thường gặp
Có nên đưa token cho kế toán dịch vụ giữ luôn không?
Có thể, nếu đó là đơn vị có hợp đồng, địa chỉ và trách nhiệm rõ ràng. Nên ghi lại việc bàn giao, đổi PIN khi lấy lại, và định kỳ tự xem hóa đơn, tờ khai đã nộp. Nếu phần mềm hỗ trợ tài khoản phân quyền, để kế toán dùng tài khoản riêng sẽ an toàn hơn.
Nhập sai mã PIN nhiều lần thì token có bị khóa không?
Nhiều loại token sẽ khóa sau một số lần nhập sai liên tiếp để chống dò mã. Khi đó cần liên hệ nhà cung cấp theo kênh chính thức để được hướng dẫn mở khóa, không nhờ người lạ "mở khóa nhanh".
Chữ ký số từ xa có an toàn hơn USB token không?
Mỗi loại có điểm mạnh riêng. Chữ ký số từ xa tránh được việc mất thiết bị vật lý nhưng phụ thuộc vào an toàn của điện thoại và tài khoản ứng dụng. Loại nào cũng an toàn nếu bạn giữ kỹ yếu tố xác thực và đọc kỹ từng yêu cầu ký.
Lưu ý: Tên menu và tính năng của sàn, mạng xã hội, ngân hàng có thể thay đổi theo phiên bản. Khi có nghi ngờ, hãy kiểm tra trực tiếp trong ứng dụng hoặc kênh hỗ trợ chính thức của nền tảng, không làm theo hướng dẫn từ tin nhắn hay cuộc gọi lạ.
