Chuyên gia nói gì về thông tin điện thoại "đột tử", tài khoản mất tiền vì quét mã QR?

[Romano]

Trên mạng xã hội lan truyền thông tin về chiêu lừa đảo, nạn nhân quét mã QR sẽ làm điện thoại bị đơ, sập nguồn và mất tiền trong tài khoản. Tuy nhiên, chuyên gia bảo mật cho rằng không thể có chuyện điện thoại "đột tử" vì quét mã QR.

Chiêu thức lừa đảo mới?
Theo thông tin cảnh báo từ một tài khoản Facebook thì những kẻ lừa đảo đang sử dụng chiêu thức chuyển thừa tiền hàng, sau đó gửi một mã QR yêu cầu nạn nhân quét để chuyển trả số tiền thừa. Khi nạn nhân quét mã QR và quét sinh trắc học để xác thực giao dịch, điện thoại sẽ bị sập nguồn và tiền trong tài khoản sẽ bị đánh cắp.

Liệu đây có phải là một chiêu thức lừa đảo mới đang được đối tượng xấu thực hiện?

Theo chuyên gia bảo mật Ngô Minh Hiếu (Hiếu PC), không có chuyện người dùng quét mã QR mà có thể khiến điện thoại bị đơ hoặc sập nguồn.

Về cơ bản, mã QR chỉ là một dạng thức trung gian để chuyển tải dữ liệu dưới dạng hình ảnh. Các máy điện thoại sau khi đọc hình ảnh sẽ diễn giải lại dưới dạng dữ liệu - chẳng hạn như một đường link đến một website, hay link để mở app ngân hàng thực hiện thanh toán. Mã QR không phải là một dạng mã độc để có thể gây treo điện thoại. Việc bị lừa mất tiền chỉ xảy ra sau khi người dùng quét mã QR và làm theo các hướng dẫn của kẻ xấu - bị kẻ xấu thao túng tâm lý.Chuyên gia Hiếu PC cho biết thủ đoạn này thường nhắm vào cá nhân và doanh nghiệp bán hàng online. Hacker cũng từng áp dụng thủ đoạn này khi giả danh nhân viên điện lực để gửi mã QR cho nạn nhân. Một số hacker còn tinh vi hơn khi gửi mã QR để dẫn sang 1 link lạ để dụ cài app .apk độc hại để chiếm quyền kiểm soát điện thoại.

Chuyên gia Hiếu PC khuyến cáo người dùng cẩn trọng khi quét chuyển khoản qua mã QR được gửi đến từ những người lạ. Cần kiểm tra rõ số tiền hiển thị trên ứng dụng trước khi bấm nút "Chuyển khoản".

Thủ đoạn giả mạo nhân viên ngân hàng
Gần đây mạng xã hội cũng xôn xao về thủ đoạn kẻ xấu thử nhập mật khẩu tài khoản ngân hàng của người dùng nhiều lần để tài khoản đó bị khóa, sau đó giả mạo nhân viên ngân hàng gọi điện cho người dùng để hướng dẫn cách mở khóa, thực chất là để lừa người dùng cung cấp mật khẩu hoặc mã OTP hoặc thực hiện xác thực sinh trắc học, sau đó chiếm đoạt tài khoản và lấy tiền của nạn nhân.

Về thủ đoạn này, chuyên gia Ngô Minh Hiếu cho biết đây là một trong nhiều kịch bản được hacker sử dụng để lừa nạn nhân tải về các ứng dụng giả mạo chứa mã độc. Hoạt động này thuộc chiến dịch tấn công mạng mang tên GoldFactory, diễn ra từ năm 2023 đến nay.

Hacker thường thu thập và mua thông tin người dùng trên các chợ đen, hoặc tìm kiếm dữ liệu do chính người dùng đăng tải trên Google, Facebook, Telegram. Các thông tin này bao gồm số điện thoại, địa chỉ email, danh sách các website đã truy cập, tên đăng nhập hoặc mật khẩu vào các website hoặc ứng dụng...

Hacker sử dụng tên đăng nhập và mật khẩu từ tệp dữ liệu lộ lọt để thử đăng nhập vào các tài khoản liên quan. Trong một số trường hợp, chúng có thể truy cập thành công vào tài khoản ngân hàng, cho phép xem số dư tài khoản và thu thập thêm thông tin cá nhân của nạn nhân (tất nhiên không thể chuyển tiền ra được vì cần mã OTP hoặc xác thực sinh trắc học).Sau đó, hacker sử dụng các tài khoản (thông thường ở Việt Nam tài khoản đăng nhập ngân hàng có thể là số điện thoại, tên đăng nhập, chữ số ngẫu nhiên do ngân hàng cấp, và địa chỉ email) và dùng mật khẩu ngẫu nhiên để cố tình đăng nhập sai nhiều lần, khiến tài khoản của nạn nhân bị khóa. Điều này được thực hiện có chủ đích, vì hacker biết rõ ngân hàng nào sẽ kích hoạt tính năng khóa tài khoản sau một số lần đăng nhập sai.

Một số ngân hàng chỉ tạm thời khóa truy cập trong một khoảng thời gian nhất định. Một số khác sẽ khóa hẳn tài khoản, buộc nạn nhân phải đến trực tiếp ngân hàng để khôi phục.

Hacker rất thông thạo cách vận hành của từng ngân hàng và thường sử dụng phương pháp loại trừ để tập trung vào các ngân hàng cho phép thiết lập lại tài khoản thông qua các thao tác online.

Hacker sau đó sẽ giả danh nhân viên ngân hàng và gọi điện trực tiếp để tiếp cận nạn nhân.

Hầu hết hacker hoặc kẻ lừa đảo đều áp dụng các phương thức tương tự với kịch bản tinh vi. Chúng thường giả mạo các cơ quan như Công an (VNEID), Bảo hiểm xã hội (VSSID), Điện lực (EVN), Cục thuế (ETax Mobile) hoặc các dịch vụ công trực tuyến để đánh lừa nạn nhân.

Khi hacker thao túng thành công tâm lý của nạn nhân bằng các kịch bản được chuẩn bị kỹ lưỡng, chúng sẽ bắt đầu dẫn dụ nạn nhân tải ứng dụng app độc hại thông qua đường link giả hoặc quét mã QR chứa mã độc.

Sau khi nạn nhân cài đặt ứng dụng, hacker sẽ theo dõi toàn bộ hoạt động trên thiết bị; Thu thập thông tin nhạy cảm của người sử dụng bao gồm mật khẩu, OTP, hoặc mã PIN. Sau đó chúng thực hiện các giao dịch lớn hoặc chiếm đoạt tài khoản.

Chuyên gia Ngô Minh Hiếu khuyến cáo người dùng cần thận trọng và chỉ tải ứng dụng từ các nguồn chính thức như Google Play Store (CHPlay) hoặc App Store. Tuyệt đối không tải các ứng dụng có đuôi .apk vì file có thể bị kẻ xấu lợi dụng để đánh cắp thông tin.