|
Trên mạng xă hội lan truyền thông tin về chiêu lừa đảo, nạn nhân quét mă QR sẽ làm điện thoại bị đơ, sập nguồn và mất tiền trong tài khoản. Tuy nhiên, chuyên gia bảo mật cho rằng không thể có chuyện điện thoại "đột tử" v́ quét mă QR.
Chiêu thức lừa đảo mới?
Theo thông tin cảnh báo từ một tài khoản Facebook th́ những kẻ lừa đảo đang sử dụng chiêu thức chuyển thừa tiền hàng, sau đó gửi một mă QR yêu cầu nạn nhân quét để chuyển trả số tiền thừa. Khi nạn nhân quét mă QR và quét sinh trắc học để xác thực giao dịch, điện thoại sẽ bị sập nguồn và tiền trong tài khoản sẽ bị đánh cắp.
Liệu đây có phải là một chiêu thức lừa đảo mới đang được đối tượng xấu thực hiện?
Theo chuyên gia bảo mật Ngô Minh Hiếu (Hiếu PC), không có chuyện người dùng quét mă QR mà có thể khiến điện thoại bị đơ hoặc sập nguồn.
Về cơ bản, mă QR chỉ là một dạng thức trung gian để chuyển tải dữ liệu dưới dạng h́nh ảnh. Các máy điện thoại sau khi đọc h́nh ảnh sẽ diễn giải lại dưới dạng dữ liệu - chẳng hạn như một đường link đến một website, hay link để mở app ngân hàng thực hiện thanh toán. Mă QR không phải là một dạng mă độc để có thể gây treo điện thoại. Việc bị lừa mất tiền chỉ xảy ra sau khi người dùng quét mă QR và làm theo các hướng dẫn của kẻ xấu - bị kẻ xấu thao túng tâm lư.Chuyên gia Hiếu PC cho biết thủ đoạn này thường nhắm vào cá nhân và doanh nghiệp bán hàng online. Hacker cũng từng áp dụng thủ đoạn này khi giả danh nhân viên điện lực để gửi mă QR cho nạn nhân. Một số hacker c̣n tinh vi hơn khi gửi mă QR để dẫn sang 1 link lạ để dụ cài app .apk độc hại để chiếm quyền kiểm soát điện thoại.
Chuyên gia Hiếu PC khuyến cáo người dùng cẩn trọng khi quét chuyển khoản qua mă QR được gửi đến từ những người lạ. Cần kiểm tra rơ số tiền hiển thị trên ứng dụng trước khi bấm nút "Chuyển khoản".
Thủ đoạn giả mạo nhân viên ngân hàng
Gần đây mạng xă hội cũng xôn xao về thủ đoạn kẻ xấu thử nhập mật khẩu tài khoản ngân hàng của người dùng nhiều lần để tài khoản đó bị khóa, sau đó giả mạo nhân viên ngân hàng gọi điện cho người dùng để hướng dẫn cách mở khóa, thực chất là để lừa người dùng cung cấp mật khẩu hoặc mă OTP hoặc thực hiện xác thực sinh trắc học, sau đó chiếm đoạt tài khoản và lấy tiền của nạn nhân.
Về thủ đoạn này, chuyên gia Ngô Minh Hiếu cho biết đây là một trong nhiều kịch bản được hacker sử dụng để lừa nạn nhân tải về các ứng dụng giả mạo chứa mă độc. Hoạt động này thuộc chiến dịch tấn công mạng mang tên GoldFactory, diễn ra từ năm 2023 đến nay.
Hacker thường thu thập và mua thông tin người dùng trên các chợ đen, hoặc t́m kiếm dữ liệu do chính người dùng đăng tải trên Google, Facebook, Telegram. Các thông tin này bao gồm số điện thoại, địa chỉ email, danh sách các website đă truy cập, tên đăng nhập hoặc mật khẩu vào các website hoặc ứng dụng...
Hacker sử dụng tên đăng nhập và mật khẩu từ tệp dữ liệu lộ lọt để thử đăng nhập vào các tài khoản liên quan. Trong một số trường hợp, chúng có thể truy cập thành công vào tài khoản ngân hàng, cho phép xem số dư tài khoản và thu thập thêm thông tin cá nhân của nạn nhân (tất nhiên không thể chuyển tiền ra được v́ cần mă OTP hoặc xác thực sinh trắc học).Sau đó, hacker sử dụng các tài khoản (thông thường ở Việt Nam tài khoản đăng nhập ngân hàng có thể là số điện thoại, tên đăng nhập, chữ số ngẫu nhiên do ngân hàng cấp, và địa chỉ email) và dùng mật khẩu ngẫu nhiên để cố t́nh đăng nhập sai nhiều lần, khiến tài khoản của nạn nhân bị khóa. Điều này được thực hiện có chủ đích, v́ hacker biết rơ ngân hàng nào sẽ kích hoạt tính năng khóa tài khoản sau một số lần đăng nhập sai.
Một số ngân hàng chỉ tạm thời khóa truy cập trong một khoảng thời gian nhất định. Một số khác sẽ khóa hẳn tài khoản, buộc nạn nhân phải đến trực tiếp ngân hàng để khôi phục.
Hacker rất thông thạo cách vận hành của từng ngân hàng và thường sử dụng phương pháp loại trừ để tập trung vào các ngân hàng cho phép thiết lập lại tài khoản thông qua các thao tác online.
Hacker sau đó sẽ giả danh nhân viên ngân hàng và gọi điện trực tiếp để tiếp cận nạn nhân.
Hầu hết hacker hoặc kẻ lừa đảo đều áp dụng các phương thức tương tự với kịch bản tinh vi. Chúng thường giả mạo các cơ quan như Công an (VNEID), Bảo hiểm xă hội (VSSID), Điện lực (EVN), Cục thuế (ETax Mobile) hoặc các dịch vụ công trực tuyến để đánh lừa nạn nhân.
Khi hacker thao túng thành công tâm lư của nạn nhân bằng các kịch bản được chuẩn bị kỹ lưỡng, chúng sẽ bắt đầu dẫn dụ nạn nhân tải ứng dụng app độc hại thông qua đường link giả hoặc quét mă QR chứa mă độc.
Sau khi nạn nhân cài đặt ứng dụng, hacker sẽ theo dơi toàn bộ hoạt động trên thiết bị; Thu thập thông tin nhạy cảm của người sử dụng bao gồm mật khẩu, OTP, hoặc mă PIN. Sau đó chúng thực hiện các giao dịch lớn hoặc chiếm đoạt tài khoản.
Chuyên gia Ngô Minh Hiếu khuyến cáo người dùng cần thận trọng và chỉ tải ứng dụng từ các nguồn chính thức như Google Play Store (CHPlay) hoặc App Store. Tuyệt đối không tải các ứng dụng có đuôi .apk v́ file có thể bị kẻ xấu lợi dụng để đánh cắp thông tin.
|
