Chiêu lừa đảo mới lan khắp nước Mỹ, ‘rút sạch’ tài khoản ngân hàng

Các chuyên gia an ninh mạng đã cảnh báo về sự gia tăng nhanh chóng của một loại tấn công mạng mới có tên là "quishing" – một biến thể của phishing (lừa đảo qua mạng) sử dụng mã QR độc hại để đánh cắp thông tin cá nhân, dữ liệu thẻ tín dụng và thông tin đăng nhập ngân hàng.

Theo một báo cáo gần đây, đã có hơn 26 triệu người Mỹ trở thành nạn nhân của chiêu trò này, và con số tiếp tục tăng nhanh chóng.

Mã QR – tiện lợi nhưng tiềm ẩn rủi ro

Mã QR (Quick Response code) ngày càng trở nên phổ biến, được sử dụng rộng rãi trong các nhà hàng, bãi đỗ xe, hệ thống giao thông công cộng, và thậm chí là trên các kiện hàng giao tận nhà. Chỉ cần quét mã bằng điện thoại thông minh, người dùng có thể truy cập vào trang web, thực đơn, hoặc cổng thanh toán trong tích tắc.

Tuy nhiên, những kẻ lừa đảo đang lợi dụng chính sự tiện lợi này. Chúng in mã QR giả và dán đè lên các mã thật ở những khu vực đông người như bãi đỗ xe, trạm xe buýt, bàn ăn nhà hàng hoặc bao bì hàng hóa.

“Phần nguy hiểm nhất là chúng ẩn mình ngay trước mắt chúng ta”, ông Dustin Brewer, Giám đốc cấp cao về an ninh mạng tại công ty BlueVoyant chia sẻ. “Kẻ xấu chỉ cần in một mã QR giả và dán lên mã thật, người dùng sẽ không thể phân biệt được”.

Khi người dùng quét mã giả, họ sẽ bị chuyển hướng tới trang web giả mạo có giao diện rất giống với các cổng thanh toán chính thức. Tại đây, họ có thể vô tình điền thông tin cá nhân, số thẻ tín dụng hoặc thông tin đăng nhập ngân hàng. Một số mã độc hơn còn có thể âm thầm cài đặt phần mềm gián điệp lên điện thoại của nạn nhân.

Các dấu hiệu nhận biết mã QR giả

Chuyên gia cho biết, nhiều mã QR giả được in bằng chất liệu kém, dán lệch hoặc có thiết kế không khớp với thương hiệu thật. Nếu bạn thấy mã QR có vẻ bị dán vội, lệch màu, hay không đồng bộ với thiết kế xung quanh, hãy cẩn trọng – đó có thể là một mã giả.

“Đây là loại lừa đảo ít tốn công nhưng thu lợi cực lớn”, Brewer nhận định. “Vì mã QR xuất hiện khắp nơi – từ trạm xăng đến tờ rơi – nên người ta dần mất cảnh giác. Và đó chính là điều kẻ lừa đảo mong đợi”.

Tại thành phố Miami, giới chức đã phát hiện mã QR giả tại bảy địa điểm khác nhau và đã phải gỡ bỏ hơn 7.000 nhãn dán lừa đảo trong năm nay. Những mã này được dán lên máy thu tiền bãi đỗ xe, khiến người lái xe vô tình nhập thông tin thẻ vào trang web giả mạo.

Lừa đảo qua bưu phẩm và email

Theo DailyMail, không chỉ xuất hiện tại nơi công cộng, lừa đảo QR còn len lỏi vào tận hộp thư và email của người dân. Ủy ban Thương mại Liên bang Mỹ (FTC) từng ghi nhận một trường hợp nạn nhân nhận được một bưu phẩm lạ kèm theo “món quà” và lời nhắn “quét mã QR để biết người gửi là ai”.

Khi quét mã, người dùng bị chuyển đến trang giả mạo phiếu đổi trả hàng, nơi yêu cầu nhập thông tin cá nhân hoặc chi tiết thanh toán.

Một số mã độc còn có khả năng cài phần mềm gián điệp, cho phép kẻ xấu truy cập từ xa, theo dõi hoạt động, và đánh cắp dữ liệu nhạy cảm mà người dùng không hề hay biết.

Báo cáo của công ty an ninh mạng Malwarebytes cho thấy có đến 70% người dùng iPhone từng quét mã QR để thanh toán hoặc mua hàng, trong khi con số này ở người dùng Android là 63%.

Mã QR giả trong email doanh nghiệp

Ngoài ra, kẻ lừa đảo còn gửi mã QR qua email giả mạo, với nội dung như yêu cầu đặt lại mã xác thực hai lớp (2FA) từ các công ty như Microsoft hoặc Adobe. Nhân viên công ty có thể dễ dàng bị đánh lừa và vô tình cung cấp quyền truy cập hệ thống nội bộ cho hacker.

Một vụ lừa đảo gần đây do Cisco ghi nhận cho thấy tin tặc gửi mã QR dưới dạng “đặt lại bảo mật” tới hàng ngàn nhân viên, khiến nhiều người cung cấp thông tin xác thực nội bộ mà không hay biết.

Cách bảo vệ bản thân khỏi quishing

Các chuyên gia khuyến cáo người dùng cần cực kỳ cẩn trọng khi quét mã QR:

Không quét mã từ nguồn không rõ ràng, bao gồm email, tin nhắn, thư tay, hoặc dán trên nơi công cộng.

Trước khi mở liên kết sau khi quét mã, hãy kiểm tra địa chỉ website có bắt đầu bằng "https://" và có vẻ chính thống, không bị sai chính tả hay mạo danh.

Không nhập thông tin đăng nhập hay thẻ tín dụng nếu bị yêu cầu sau khi quét mã QR.

Nếu thấy mã QR được dán trên sticker, hoặc trông lệch lạc so với thiết kế xung quanh, hãy tránh xa.

Mã QR chính thống thường đi kèm logo thương hiệu, mô tả chức năng, hoặc màu sắc phù hợp với nơi sử dụng. Ví dụ, bảo tàng thường chú thích nội dung mã để người xem yên tâm quét.

Nếu mã QR dẫn tới yêu cầu đăng nhập lại tài khoản, cung cấp mã xác thực hai bước, hoặc đưa ra ưu đãi quá tốt để là thật, thì gần như chắc chắn đó là một cuộc lừa đảo.

Theo Hiệp hội An ninh mạng quốc gia Việt Nam (NCA), để phòng tránh chiêu thức lừa đảo Quishing, người dùng cần: Tuyệt đối không chia sẻ OTP, mã PIN hay thông tin đăng nhập tài khoản cho bất kỳ ai. Đồng thời, không nhấp vào đường link không rõ ràng và không tải ứng dụng từ nguồn không xác minh; Cần xác minh thông tin qua các kênh chính thức, liên hệ trực tiếp với ngân hàng khi nghi ngờ và báo ngay cho cơ quan chức năng nếu phát hiện dấu hiệu lừa đảo.

Mối nguy trong tương lai

Với doanh thu từ thanh toán qua mã QR toàn cầu dự kiến vượt 3.000 tỷ USD vào năm 2025, các chuyên gia an ninh mạng cảnh báo những chiêu trò lừa đảo như quishing sẽ còn tăng mạnh, nếu nhận thức cộng đồng không bắt kịp.

“Mã QR không được tạo ra để bảo mật – chúng được tạo ra để tiện lợi. Và chính điều đó khiến chúng trở thành công cụ hoàn hảo cho kẻ gian”, ông Rob Lee, chuyên gia tại Viện SANS, nhấn mạnh.

Người dân toàn thế giới được kêu gọi nâng cao cảnh giác, kiểm tra kỹ lưỡng bất kỳ mã QR nào, ngay cả khi chúng trông có vẻ “chính thức” – bởi chỉ một cú quét sai lầm cũng có thể đánh đổi bằng toàn bộ thông tin tài chính cá nhân.