Bảo vệ tài khoản gian hàng trên ứng dụng giao đồ ăn gồm bốn việc: một người chủ giữ tài khoản gốc và thông tin khôi phục, nhân viên dùng tài khoản phụ có quyền giới hạn (nếu ứng dụng hỗ trợ), bật xác thực hai lớp, và khoá chặt chức năng đổi tài khoản nhận tiền. Tài khoản này giữ thực đơn, lịch sử đơn và quan trọng nhất là nơi tiền được chuyển về; ai chiếm được nó có thể đổi số tài khoản và lấy tiền của nhiều kỳ thanh toán trước khi quán phát hiện.
Phần lớn sự cố không do tấn công phức tạp mà do thói quen: dùng chung một mật khẩu dán sau máy, nhân viên nghỉ việc vẫn đăng nhập được, chủ quán đọc mã xác thực cho người gọi điện tự xưng là nhân viên hỗ trợ. Bài này đi qua cách tổ chức tài khoản cho quán nhỏ, quy trình khi nhân viên nghỉ, và dấu hiệu cần hành động ngay.
Tài khoản gian hàng giữ những gì
Một tài khoản gian hàng thường có quyền làm những việc sau: nhận và huỷ đơn, sửa thực đơn và giá, bật tắt gian hàng, xem báo cáo và sao kê, đăng ký chương trình khuyến mãi, mua gói quảng cáo, trả lời đánh giá, và sửa thông tin quán, trong đó có thông tin tài khoản ngân hàng nhận tiền. Mỗi quyền có mức rủi ro khác nhau.
Nhận đơn và tắt món là việc hằng ngày, người trực đơn cần. Sửa giá và đăng ký khuyến mãi ảnh hưởng tới tiền, chỉ người quản lý nên làm. Đổi tài khoản nhận tiền, đổi email đăng nhập, đổi số điện thoại khôi phục là quyền nguy hiểm nhất, chỉ chủ quán nên có. Nếu mọi người dùng chung một tài khoản đầy đủ quyền, thì người trực đơn mới vào làm tuần thứ hai cũng có thể vô tình hoặc cố ý đổi những thứ đó.
Vì vậy việc đầu tiên là liệt kê ai trong quán cần làm việc gì trên ứng dụng, rồi xem ứng dụng có cho tạo tài khoản phụ với quyền giới hạn không. Nhiều ứng dụng có chức năng thêm nhân viên hoặc phân vai trò; tên gọi khác nhau nhưng mục đích giống nhau. Nếu ứng dụng không hỗ trợ, các biện pháp ở phần sau càng quan trọng.
Chia quyền gợi ý cho quán nhỏ
Bảng dưới là cách chia thường hợp với quán có chủ, một quản lý và vài nhân viên. Chỉ áp dụng được phần nào tuỳ ứng dụng hỗ trợ đến đâu:
| Vai trò | Được làm | Không nên được làm |
|---|---|---|
| Chủ quán (tài khoản gốc) | Mọi việc, kể cả đổi tài khoản nhận tiền, thêm bớt nhân viên | Không dùng tài khoản gốc để trực đơn hằng ngày trên máy chung |
| Quản lý | Sửa thực đơn, giá, giờ mở cửa; xem báo cáo, sao kê; phản hồi khiếu nại | Đổi tài khoản nhận tiền, đổi thông tin đăng nhập của chủ |
| Người trực đơn | Nhận đơn, tắt bật món, liên hệ tài xế, khách qua kênh của ứng dụng | Sửa giá, đăng ký khuyến mãi, xem sao kê |
| Kế toán hoặc người đối soát | Xem và tải báo cáo, sao kê | Sửa bất cứ thứ gì trên gian hàng |
Máy tính bảng nhận đơn ở quầy chỉ nên đăng nhập bằng tài khoản người trực đơn. Nếu buộc phải dùng tài khoản gốc trên máy chung vì ứng dụng không có phân quyền, ít nhất phải khoá mục đổi thông tin ngân hàng bằng một lớp xác thực mà chỉ chủ quán có, ví dụ mã gửi về điện thoại riêng của chủ.
Mật khẩu và xác thực hai lớp: những điều cơ bản không được bỏ
Mật khẩu riêng cho tài khoản gian hàng. Không dùng lại mật khẩu email, mạng xã hội hay ngân hàng. Một nơi bị lộ thì mọi nơi dùng chung mật khẩu đều bị lộ theo.
Không dán mật khẩu tài khoản gốc ở quầy. Tài khoản phụ của người trực có thể được ghi ở chỗ kín cho ca sau, nhưng tài khoản gốc thì không. Nhiều quán dùng một trình quản lý mật khẩu trên điện thoại chủ, hoặc tối thiểu là sổ cất riêng.
Bật xác thực hai lớp. Khi có, bật cho tài khoản gốc và tài khoản quản lý. Mã xác thực gửi về điện thoại hoặc email của chính người đó, không gửi về máy chung ở quầy.
Email và số điện thoại khôi phục là của chủ. Không dùng email của nhân viên hay số của người từng giúp đăng ký. Người nắm email khôi phục là người thực sự nắm tài khoản.
Không bao giờ đọc mã xác thực cho người khác. Không nhân viên hỗ trợ thật nào cần quán đọc mã gửi qua tin nhắn. Ai hỏi mã, dù xưng là ứng dụng, ngân hàng hay cơ quan nhà nước, đều là dấu hiệu lừa đảo.
Khi nhân viên nghỉ việc
Đây là lúc tài khoản dễ bị bỏ ngỏ nhất, vì quán bận tìm người mới và quên phần công nghệ. Quy trình gợi ý, làm ngay trong ngày người đó nghỉ:
- Xoá hoặc khoá tài khoản phụ của người đó trên từng ứng dụng. Nếu dùng tài khoản chung, đổi mật khẩu tài khoản chung.
- Đăng xuất tài khoản khỏi các thiết bị lạ nếu ứng dụng có chức năng xem và đăng xuất thiết bị.
- Kiểm lại thông tin tài khoản nhận tiền, email, số điện thoại khôi phục: có bị đổi không.
- Xem lại các chương trình khuyến mãi, gói quảng cáo đang chạy: có cái nào lạ không.
- Đổi mật khẩu các tài khoản khác người đó từng biết: phần mềm bán hàng, Wi-Fi quầy thu ngân, trang mạng xã hội của quán.
- Ghi lại ngày đã làm các việc trên vào sổ nhân sự.
Không cần nghi ngờ người nghỉ việc mới làm những bước này. Đây là thủ tục, giống như thu lại chìa khoá. Làm đều với mọi người thì không ai thấy bị xúc phạm, và quán không phải đoán xem ai còn biết mật khẩu gì.
Những chiêu lừa nhắm vào chủ quán bán qua ứng dụng
Chiêu phổ biến là giả danh nhân viên ứng dụng. Kẻ gian gọi điện hoặc nhắn tin, nói gian hàng sắp bị khoá vì vi phạm, hoặc được chọn tham gia chương trình ưu đãi, cần xác minh ngay. Sau đó họ gửi đường dẫn tới trang đăng nhập giả, hoặc yêu cầu đọc mã vừa gửi về điện thoại. Có mã, họ đăng nhập, đổi tài khoản nhận tiền và email khôi phục.
Chiêu thứ hai là đơn hàng giả kèm yêu cầu chuyển tiền: người tự xưng tài xế hoặc khách nói đã thanh toán nhầm, nhờ quán chuyển khoản trả lại, hoặc nói đơn lớn cần quán ứng tiền trước. Với đơn qua ứng dụng, quán không nhận tiền trực tiếp từ khách hay tài xế nên không có lý do gì phải chuyển trả ai cả; mọi điều chỉnh tiền đi qua ứng dụng.
Chiêu thứ ba là tin nhắn mời cài ứng dụng hỗ trợ hay "công cụ tăng đơn" từ nguồn không rõ. Ứng dụng lạ cài lên máy nhận đơn có thể đọc tin nhắn chứa mã xác thực. Máy nhận đơn chỉ nên cài ứng dụng của các nền tảng quán đang bán và phần mềm bán hàng.
Nguyên tắc chung: mọi thông báo quan trọng về gian hàng đều kiểm bằng cách tự mở ứng dụng hoặc trang quản lý chính thức, không bấm vào đường dẫn trong tin nhắn. Liên hệ hỗ trợ qua kênh có trong ứng dụng, không qua số điện thoại người lạ cung cấp.
Dấu hiệu tài khoản có thể đã bị chiếm và việc làm ngay
Gặp một trong các dấu hiệu dưới đây, coi như khẩn cấp:
- Nhận thông báo đổi mật khẩu, đổi email, đổi số điện thoại mà không ai trong quán làm.
- Thông tin tài khoản nhận tiền trên trang quản lý khác với tài khoản quán khai.
- Kỳ thanh toán không về tài khoản quán dù sao kê báo đã chuyển.
- Xuất hiện chương trình khuyến mãi, gói quảng cáo, món lạ mà không ai tạo.
- Không đăng nhập được bằng mật khẩu đang dùng.
Việc làm ngay: liên hệ bộ phận hỗ trợ đối tác qua kênh chính thức trong ứng dụng hoặc trang web chính thức, báo tài khoản bị chiếm và đề nghị tạm khoá thanh toán; nếu còn đăng nhập được, đổi mật khẩu, đổi lại email và số khôi phục, đăng xuất mọi thiết bị, kiểm và sửa tài khoản nhận tiền. Liên hệ ngân hàng nếu tiền đã bị chuyển đi. Với các vụ chiếm đoạt tài sản, có thể trình báo cơ quan công an nơi gần nhất.
Ghi lại mốc thời gian, ảnh chụp thông báo, trao đổi với hỗ trợ. Những thứ này cần cho cả ứng dụng, ngân hàng và cơ quan chức năng.
Thiết bị nhận đơn cũng là một phần của bảo mật
Máy tính bảng hay điện thoại nhận đơn ở quầy được nhiều người cầm, nằm ở nơi khách qua lại. Nên đặt mã khoá màn hình đơn giản cho nhân viên nhưng không trùng ngày sinh hay số điện thoại quán, tắt hiển thị nội dung tin nhắn trên màn hình khoá để mã xác thực không lộ ra cho người đứng cạnh, và không đăng nhập email cá nhân hay ngân hàng của chủ trên máy này.
Cập nhật hệ điều hành và ứng dụng định kỳ vào giờ vắng, vì bản cập nhật thường vá lỗ hổng bảo mật. Tắt tự động cập nhật trong giờ bán là để tránh mất âm báo giữa giờ đông, không phải để không bao giờ cập nhật. Nếu máy quá cũ không còn nhận được bản cập nhật bảo mật, đã đến lúc thay máy cho việc nhận đơn.
Cuối cùng, có một danh sách thiết bị của quán: máy nào, đặt ở đâu, cài những ứng dụng gì, đăng nhập tài khoản nào. Khi mất máy hoặc máy hỏng, danh sách này cho biết phải đăng xuất, đổi mật khẩu những gì. Phần sao lưu, sự cố thiết bị nói chung có trong danh mục hạ tầng của trang.
Lịch tự kiểm tài khoản mỗi tháng: mười lăm phút đáng bỏ ra
Phần lớn vụ mất tiền được phát hiện muộn vì không ai mở trang thông tin tài khoản sau ngày đăng ký. Đặt một ngày cố định trong tháng, ví dụ ngay sau kỳ đối soát, để chủ quán tự đi qua danh sách sau trên từng ứng dụng:
- Số tài khoản nhận tiền, tên chủ tài khoản và ngân hàng còn đúng như quán khai; so với ảnh chụp lưu lúc đăng ký.
- Email đăng nhập, số điện thoại khôi phục vẫn là của chủ quán, không phải của người cũ.
- Danh sách tài khoản phụ, nhân viên: ai còn làm thì giữ, ai đã nghỉ thì xoá; không có tên lạ.
- Danh sách thiết bị đang đăng nhập (nếu ứng dụng có): chỉ có máy của quán, không có máy lạ ở tỉnh khác.
- Chương trình khuyến mãi, gói quảng cáo đang chạy đều do quán chủ động đăng ký, còn hạn và đúng mức quán chấp nhận.
- Lịch sử thanh toán các kỳ trong tháng đã về đủ tài khoản quán, khớp với sao kê ngân hàng.
Ghi ngày kiểm và người kiểm vào một dòng trong sổ hoặc bảng tính. Mười lăm phút mỗi tháng rẻ hơn rất nhiều so với việc phát hiện tài khoản nhận tiền bị đổi sau ba kỳ thanh toán. Quán bán trên nhiều ứng dụng thì làm lần lượt từng cái theo cùng danh sách, để không bỏ sót ứng dụng ít đơn mà vẫn có tiền chảy về.
Câu hỏi thường gặp
Ứng dụng không có tài khoản phụ cho nhân viên thì làm sao?
Dùng một tài khoản chung cho việc nhận đơn nhưng đặt các thông tin nhạy cảm như email khôi phục, số điện thoại nhận mã về chủ quán. Đổi mật khẩu khi có người nghỉ. Hỏi ứng dụng xem việc đổi tài khoản nhận tiền có cần xác thực thêm không, và nếu có thì đảm bảo mã xác thực gửi về điện thoại riêng của chủ.
Có nên để con cháu trong nhà quản lý tài khoản gian hàng không?
Được, miễn là rõ ràng ai nắm tài khoản gốc và thông tin khôi phục. Nếu người đó đi học xa hay đi làm nơi khác, phải bàn giao lại email, số điện thoại khôi phục cho người ở lại quán. Nhiều quán mất quyền tài khoản chỉ vì người lập tài khoản ban đầu đã đổi số điện thoại.
Nhân viên hỗ trợ của ứng dụng gọi đến hỏi mã xác thực thì làm gì?
Không đọc mã, cúp máy, tự mở ứng dụng hoặc trang quản lý chính thức để kiểm có thông báo gì không, và liên hệ hỗ trợ qua kênh có trong ứng dụng. Nhân viên hỗ trợ thật không cần mã xác thực của quán để giúp. Nhắc toàn bộ nhân viên quy tắc này, vì kẻ gian thường gọi vào giờ chủ vắng.
Mất điện thoại đang nhận mã xác thực thì sao?
Khoá sim qua nhà mạng và làm lại sim càng sớm càng tốt, đổi mật khẩu tài khoản gian hàng từ một thiết bị khác, đăng xuất thiết bị bị mất nếu ứng dụng cho phép. Nếu đã bật xác thực hai lớp bằng cách khác như ứng dụng tạo mã, dùng mã dự phòng đã lưu. Lưu mã dự phòng ở nơi an toàn ngay khi bật xác thực.
Có cần đổi mật khẩu định kỳ không?
Mật khẩu mạnh, riêng, có xác thực hai lớp thì không nhất thiết đổi theo lịch cố định. Nên đổi ngay khi có người biết mật khẩu nghỉ việc, khi nghi lộ, khi máy chứa mật khẩu bị mất hoặc sửa ở tiệm. Thay vì đổi thường xuyên nhưng ghi lung tung, tốt hơn là ít người biết và cất cẩn thận.