Tem chống giả có thể bị làm giả về hình thức không: vì sao bảo mật thật nằm ở hệ thống dữ liệu, không phải miếng dán

Một chủ xưởng gọi cho tôi sau khi phát hiện tem của mình bị bán trên chợ mạng

Cách đây không lâu, một khách hàng làm nông sản sấy ở Đắk Lắk gọi điện, giọng khá hoảng: anh vừa thấy trên một hội nhóm buôn bán có người rao bán "tem chống giả in theo yêu cầu, giống 99%, giao trong 3 ngày". Anh gửi ảnh cho tôi xem — đúng là tem của một thương hiệu khác, có hologam 7 màu, có cả mã QR trông rất thật. Câu hỏi anh đặt ra không phải là "tem có bị làm giả không", mà là "vậy giờ tôi dán tem lên sản phẩm của mình để làm gì, nếu ai cũng in được tem y hệt".

Đó là câu hỏi đúng, chỉ tiếc là phần lớn nội dung anh đọc được trước đó không trả lời thẳng vào nó. Câu trả lời ngắn gọn là: có, gần như mọi loại tem chống giả đều có thể bị sao chép về mặt hình thức — kể cả hologram, mực phát sáng UV, hay chính mã QR. Nhưng việc sao chép được cái vỏ bên ngoài không đồng nghĩa với việc vô hiệu hóa được hệ thống. Vì bảo mật thật sự không nằm trên miếng decal, nó nằm trong cách dữ liệu đứng sau miếng decal đó được thu thập, đối chiếu và phát hiện bất thường.

Vì sao in tem không còn là rào cản kỹ thuật

Mười năm trước, một xưởng in phải đầu tư máy móc riêng, khuôn dập hologram riêng, mới ra được một mẫu tem khó nhái. Bây giờ thì khác. Công nghệ in offset, in UV, ép nhũ đã phổ biến đến mức gần như xưởng in quy mô vừa nào cũng làm được tem trông "như thật". Đã có không ít trường hợp tem hologram bị làm giả với độ giống mắt thường lên tới 90%. Còn với mã QR thì việc sao chép đơn giản hơn nhiều: chỉ cần chụp lại mã QR thật trên một sản phẩm chính hãng, in ra hàng loạt rồi dán lên hàng giả. Người mua quét vào vẫn ra đúng trang thông tin thật, vì bản chất đó chính là mã thật — chỉ là bị dùng lại trái phép.

Cái đáng nói là chuyện tem chống giả bị bán công khai trên các sàn thương mại điện tử và hội nhóm không còn hiếm. Có những gian hàng nhận in tem chống giả theo mẫu, theo yêu cầu, không hỏi giấy tờ chứng minh quyền sở hữu thương hiệu, không gắn với bất kỳ hệ thống xác thực nào phía sau. Với xưởng in đó, tem chỉ là một sản phẩm in ấn — giống như in card visit hay in tem nhãn thường. Họ bán con tem, không bán một hệ thống chống giả.

Đây chính là chỗ nhiều doanh nghiệp hiểu nhầm. Họ nghĩ mình đang mua "giải pháp chống giả", nhưng thực ra chỉ đang mua một tờ giấy in đẹp. Nếu tờ giấy đó không được gắn với một cơ sở dữ liệu sống — nơi ghi nhận từng lượt quét, từng vị trí, từng thời điểm — thì về bản chất nó chẳng khác gì một logo được in đẹp hơn bình thường.

Ba cách một con tem "thật" vẫn bị vô hiệu hóa

Điều khiến nhiều chủ doanh nghiệp bất ngờ là: kể cả khi tem được in đúng chuẩn, đúng xưởng, có mã QR riêng cho từng sản phẩm, nó vẫn có thể bị lợi dụng theo ba cách phổ biến.

Cách thứ nhất là sao chép hình ảnh thuần túy — làm giả cả con tem, cả mã QR, dẫn về một trang giả mạo giao diện giống hệt trang thật. Cách này dễ phát hiện nhất nếu doanh nghiệp có kiểm soát tên miền và biết cách hướng dẫn khách hàng nhận diện đúng địa chỉ trang xác thực.

Cách thứ hai tinh vi hơn: mua tem thật, phôi thật từ chính xưởng in được doanh nghiệp ủy quyền, nhưng đặt số lượng vượt quá số lượng sản phẩm thực tế sản xuất. Đây là lỗ hổng nằm ở quy trình cấp phát tem, không nằm ở công nghệ in. Một xưởng in không kiểm soát chặt số serial phát ra so với số lượng hàng xuất xưởng sẽ vô tình trở thành nguồn cung tem thật cho hàng giả.

Cách thứ ba — và đây là cách khó nhận ra nhất bằng mắt thường — là lấy đúng một mã QR thật trên một sản phẩm chính hãng, nhân bản nó lên hàng trăm, hàng nghìn sản phẩm giả khác nhau. Người tiêu dùng quét vào vẫn thấy thông tin hợp lệ, vẫn thấy "Xác thực thành công", vì hệ thống backend không có cách nào phân biệt "quét lần đầu" với "quét lần thứ 500" nếu bản thân hệ thống đó không được thiết kế để đếm và đối chiếu việc này.

Cả ba tình huống trên đều không phải lỗi của "con tem". Chúng là lỗi của hệ thống đứng sau nó — hoặc vì không có, hoặc vì có nhưng không đủ chặt.

Vậy bảo mật thật nằm ở đâu

Mỗi lượt quét phải là một sự kiện có thể đối chiếu, không chỉ là một lần mở trang

Điểm khác biệt cốt lõi giữa một tem "trang trí có mã QR" và một tem thuộc một hệ thống truy xuất nguồn gốc thật sự nằm ở chỗ: mỗi đơn vị sản phẩm có một mã định danh duy nhất, không trùng lặp, được cấp phát và ghi nhận ngay từ lúc sản xuất — tương tự cách chuẩn GS1 quốc tế gán mã GTIN và số serial riêng cho từng lô, từng đơn vị hàng hóa. Khi một khách hàng quét mã, hệ thống không chỉ hiển thị một trang thông tin tĩnh, mà ghi lại thời điểm quét, khu vực địa lý ước tính, và đối chiếu với lịch sử quét trước đó của chính mã đó.

Sự khác biệt nghe có vẻ kỹ thuật, nhưng hệ quả lại rất thực tế: nếu một mã QR thật bị chụp lại và dán lên 300 sản phẩm giả rải khắp ba tỉnh, hệ thống sẽ ghi nhận 300 lượt quét trùng một mã, xảy ra trong thời gian ngắn, từ nhiều vị trí cách xa nhau về mặt địa lý mà một sản phẩm vật lý không thể nào tự di chuyển tới kịp. Đây là một dấu hiệu toán học, không cần con người ngồi soi từng cái tem để phát hiện.

Phát hiện bất thường không thay thế được, cảnh báo mới là giá trị thật

Tôi từng thấy nhiều doanh nghiệp lầm tưởng rằng có hệ thống là xong, trong khi phần việc quan trọng nhất là phải có ai đó nhận cảnh báo và hành động. Một hệ thống chống giả đúng nghĩa phải chủ động đẩy cảnh báo cho doanh nghiệp khi phát hiện lượt quét bất thường — quét trùng lặp bất thường, quét từ những khu vực chưa từng có đại lý phân phối, hoặc tốc độ quét tăng đột biến so với tốc độ bán hàng thực tế. Từ cảnh báo đó, doanh nghiệp mới có cơ sở để khoanh vùng, kiểm tra thị trường, và phối hợp với đơn vị quản lý thị trường nếu cần.

Nói cách khác, giá trị không nằm ở việc "tem có xác thực được hay không" tại một thời điểm quét đơn lẻ, mà nằm ở việc hệ thống có nhìn thấy được bức tranh tổng thể của hàng nghìn lượt quét cộng dồn theo thời gian hay không.

Ai giữ dữ liệu mới là người thật sự kiểm soát con tem

Một câu hỏi ít doanh nghiệp hỏi trước khi ký hợp đồng in tem: dữ liệu quét nằm ở đâu, ai có quyền chỉnh sửa nó? Có những mô hình mà xưởng in vừa in tem, vừa vận hành luôn trang xác thực, nhưng lại không tách bạch vai trò giữa "người in phôi" và "người quản lý dữ liệu xác thực". Nếu cùng một đơn vị vừa bán phôi tem, vừa có quyền chỉnh sửa dữ liệu xác thực, thì về lý thuyết họ hoàn toàn có thể cấp thêm mã, sửa lịch sử quét, hoặc "làm sạch" các cảnh báo bất thường mà doanh nghiệp không hề hay biết.

Đây là lý do vì sao một hệ thống chống giả nghiêm túc cần có cơ chế để dữ liệu, một khi đã ghi nhận, không thể bị sửa lặng lẽ — ví dụ bằng cách băm và neo (anchor) định kỳ dấu vết audit lên một cấu trúc dữ liệu bất biến kiểu blockchain. Cần nói rõ: bản thân con tem không được "đưa lên blockchain" như nhiều bài quảng cáo hay nói — cái được neo là nhật ký sự kiện của hệ thống, để sau này nếu có tranh chấp, doanh nghiệp có thể chứng minh dữ liệu chưa từng bị chỉnh sửa hồi tố.

Chi phí thật của một hệ thống chống giả tử tế nằm ở đâu

Khi báo giá, nhiều chủ doanh nghiệp so sánh giá tem theo con, tính theo đồng trên mỗi tem — tem hologram giá này, tem QR giá kia. Cách tính đó đúng cho phần vật lý, nhưng lại bỏ sót phần chiếm phần lớn giá trị thật: hạ tầng cấp phát mã, hệ thống ghi nhận và phân tích lượt quét, cơ chế cảnh báo, và khả năng xuất được báo cáo, nhật ký phục vụ cho cơ quan chức năng khi cần.

Trong 6 tháng đầu năm 2023, lực lượng quản lý thị trường đã xử lý khoảng 87.000 vụ vi phạm liên quan đến hàng giả, hàng nhái, với giá trị hàng hóa vi phạm hơn 10.000 tỷ đồng. Với quy mô đó, một xưởng in tem dù có đầu tư công nghệ hologram đắt tiền đến đâu cũng không thể một mình ngăn được làn sóng làm giả — vì kẻ làm giả không cần đánh bại công nghệ in, họ chỉ cần đánh bại khâu yếu nhất, mà thường là khâu con người và quy trình cấp phát.

Đầu tư đúng chỗ, vì vậy, không phải là đổ tiền vào một loại mực đắt hơn hay một lớp hologram cầu kỳ hơn. Nó là đầu tư vào việc mỗi đơn vị sản phẩm có một danh tính số riêng biệt, được theo dõi xuyên suốt từ sản xuất đến tay người tiêu dùng, và có người thật sự đọc báo cáo bất thường mỗi tuần thay vì để hệ thống chạy một mình.

Những câu nên hỏi trước khi chọn đơn vị làm tem chống giả

Từ kinh nghiệm làm việc với các doanh nghiệp sản xuất vừa và nhỏ, tôi thường gợi ý họ hỏi thẳng vài câu trước khi ký hợp đồng, thay vì chỉ xem mẫu tem đẹp hay xấu. Mỗi đơn vị sản phẩm có được cấp một mã định danh duy nhất, không trùng với bất kỳ sản phẩm nào khác hay không, hay chỉ dùng chung một mẫu QR cho cả lô hàng. Khi một mã bị quét lặp lại bất thường, hệ thống có cảnh báo chủ động hay im lặng, chỉ hiển thị "xác thực thành công" như bình thường. Dữ liệu lượt quét ai là người sở hữu và có quyền chỉnh sửa, và doanh nghiệp có thể tự xuất báo cáo, nhật ký quét bất cứ lúc nào hay phải xin phép đơn vị cung cấp. Và cuối cùng, nếu doanh nghiệp cần cung cấp bằng chứng cho cơ quan quản lý thị trường khi phát hiện hàng giả, hệ thống có xuất được dữ liệu đủ chi tiết, đủ tin cậy để làm căn cứ hay không.

Nếu câu trả lời cho phần lớn các câu hỏi trên là "không" hoặc "tôi không chắc", thì nhiều khả năng doanh nghiệp đang trả tiền cho một tờ giấy in đẹp, chứ chưa phải một hệ thống chống giả.

Khi hàng giả thật sự xuất hiện, thứ đứng vững không phải là con tem

Có một tình huống tôi từng chứng kiến rất rõ giá trị của dữ liệu so với hình thức: khi một doanh nghiệp phát hiện hàng giả trên thị trường và làm việc với quản lý thị trường tại địa phương, thứ có giá trị pháp lý và thuyết phục nhất không phải là việc chỉ ra "con tem này giả, con tem kia thật" bằng mắt thường — vì bản thân tem giả nhiều khi đẹp không kém tem thật. Thứ có giá trị là nhật ký hệ thống: mã này được cấp cho lô nào, xuất xưởng ngày nào, giao cho đại lý nào, và lượt quét bất thường được ghi nhận từ đâu, vào lúc nào. Đó là bằng chứng bằng dữ liệu có dấu thời gian, khó chối cãi hơn nhiều so với việc tranh luận xem lớp hologram nào là thật.

Đây cũng là lý do vì sao câu hỏi "tem có bị làm giả không" nên được đặt lại thành một câu hỏi khác: nếu tem của tôi bị làm giả — mà gần như chắc chắn nó sẽ bị nhắm tới nếu sản phẩm bán chạy — thì hệ thống của tôi có đủ khả năng phát hiện, khoanh vùng và chứng minh điều đó hay không.

Tem là giao diện, dữ liệu mới là hệ thống

Quay lại câu chuyện của anh chủ xưởng nông sản ở Đắk Lắk, sau khi trao đổi kỹ, chúng tôi không đi thay đổi mẫu tem hay tìm một lớp bảo mật vật lý mới. Việc quan trọng hơn là rà lại quy trình cấp mã — đảm bảo mỗi bao sản phẩm có một mã serial ứng đúng một lượt xuất xưởng, thiết lập cảnh báo khi một mã bị quét quá một số lần nhất định trong thời gian ngắn, và có kênh để anh nhận thông báo ngay khi có dấu hiệu bất thường thay vì tự đi rà từng đơn hàng.

Con tem, suy cho cùng, chỉ là cánh cửa để người tiêu dùng bước vào. Ai cũng có thể vẽ lại một cánh cửa giống hệt. Nhưng thứ nằm phía sau cánh cửa đó — dữ liệu được cấp phát có kiểm soát, được ghi nhận trung thực, và được giám sát liên tục — mới là thứ quyết định một doanh nghiệp có thực sự bảo vệ được thương hiệu của mình hay không.