Điện thoại nóng bất thường và tiền tự biến mất: Mặt trái đáng sợ của mã độc di động
Điện thoại nóng bất thường dù không sử dụng, ứng dụng tự bật, tài khoản bị trừ tiền vô lý là những dấu hiệu cảnh báo quan trọng cho thấy mã độc di động có thể đang bí mật chiếm quyền kiểm soát thiết bị, đánh cắp dữ liệu và thực hiện giao dịch trái phép thay cho người dùng. Đây không phải sự cố kỹ thuật nhỏ, mà là điểm bắt đầu của một chuỗi rủi ro an ninh mạng có thể làm rỗng tài khoản ngân hàng và lộ toàn bộ đời sống số của bạn. Công an TP Hà Nội đã phát đi cảnh báo về hai chủng mã độc đặc biệt nguy hiểm đang được các nhóm tin tặc sử dụng để tấn công thiết bị di động và hệ thống thông tin của cơ quan, đơn vị, doanh nghiệp. Nếu bạn vẫn cho rằng vài độ nóng thêm trên điện thoại là chuyện bình thường, bạn đang đánh cược trực tiếp với tiền và dữ liệu của chính mình.
Điểm cần nhấn mạnh là: các cuộc tấn công này đang diễn ra thật, nhắm thẳng vào cả người dùng cá nhân lẫn mạng nội bộ tổ chức. Theo cảnh báo, hai mã độc được nêu đích danh là RedHook – nhắm trực tiếp vào điện thoại Android – và StormEncryptor – mã độc tống tiền có khả năng lây lan trên diện rộng trong mạng nội bộ Windows của cơ quan, tổ chức và doanh nghiệp. Khi lực lượng chức năng đã phải ra cảnh báo bảo mật chính thức, nghĩa là mối đe dọa đã vượt xa phạm vi một vài sự cố lẻ tẻ. Câu hỏi không còn là “liệu mình có là mục tiêu hay không”, mà là “khi nào” và “mình đã chuẩn bị gì” để không trở thành nạn nhân tiếp theo.
RedHook: Mã độc gián điệp đang biến điện thoại Android thành “tài khoản ngân hàng biết đi”
RedHook là mã độc gián điệp/Trojan thế hệ mới, đặc biệt nguy hiểm, nhắm trực tiếp vào điện thoại dùng hệ điều hành Android. Nó không ồn ào phá hoại ngay lập tức, mà âm thầm chiếm quyền điều khiển điện thoại để biến thiết bị của bạn thành công cụ kiếm tiền cho tin tặc. RedHook thường được phát tán qua SMS, tin nhắn trên các ứng dụng như Zalo, Telegram hoặc từ các website giả mạo cổng dịch vụ công, ứng dụng thuế, định danh điện tử hay ứng dụng ngân hàng quen thuộc. Khi bạn tải và cài tệp APK, đó có thể là lúc cánh cửa an toàn bị mở toang.
Chiêu bài của RedHook là dụ người dùng cấp quyền “Trợ năng/Accessibility”. Khi quyền này được chấp thuận, mã độc có thể kiểm soát giao diện mà không cần root máy, từ đó tự xin thêm các quyền đọc và gửi SMS, truy cập danh bạ, nhật ký cuộc gọi, bộ nhớ, ghi âm, vẽ đè lên màn hình. Nguy hiểm hơn, RedHook có thể quay màn hình, theo dõi thao tác bàn phím, đọc tin nhắn chứa mã OTP, đánh cắp mật khẩu ngân hàng và nhiều dữ liệu cá nhân nhạy cảm. Ở mức độ cao hơn, nó còn có thể tự mở ứng dụng ngân hàng, tạo lệnh chuyển tiền, điền OTP và hoàn tất giao dịch khi chủ thiết bị không hề hay biết. RedHook còn đăng ký sự kiện khởi động lại hệ thống, tự kích hoạt lại mỗi khi điện thoại bật lên. Đây là kiểu mã độc không chỉ ăn cắp thông tin – nó trực tiếp rút tiền khỏi túi bạn.
StormEncryptor: Mã độc tống tiền đe dọa hệ thống Windows của cơ quan, doanh nghiệp
Nếu RedHook là cơn ác mộng của người dùng Android, thì StormEncryptor là cơn khủng hoảng tiềm tàng của mọi hệ thống Windows trong cơ quan, tổ chức, doanh nghiệp. Đây là mã độc tống tiền nhắm vào máy chủ và máy trạm Windows trong mạng nội bộ. Nó được triển khai bởi nhóm tin tặc chuyên nghiệp Storm-1175, khai thác lỗ hổng bảo mật đặc biệt nghiêm trọng CVE-2026-18577 trên nền tảng giám sát, quản trị hệ thống từ xa N-able N-central để chiếm quyền quản trị trung tâm. Từ đó, chính tính năng triển khai phần mềm tập trung bị lợi dụng để đẩy StormEncryptor xuống hàng loạt máy chủ và máy trạm trong thời gian ngắn.
StormEncryptor không dừng ở việc mã hóa dữ liệu rồi đòi tiền chuộc. Nó có thể vô hiệu hóa dịch vụ bảo mật và sao lưu, xóa các bản lưu dự phòng (Shadow Copies), sau đó mã hóa toàn bộ tệp dữ liệu bằng thuật toán mạnh và để lại thông điệp tống tiền. Đồng thời, tin tặc còn trích xuất và đánh cắp dữ liệu nhạy cảm trước khi mã hóa, rồi đe dọa công bố nếu nạn nhân không trả tiền. Đây là hình thức “tống tiền kép”, khiến tổ chức không chỉ đình trệ hoạt động mà còn đứng trước nguy cơ lộ dữ liệu khách hàng, tài liệu nội bộ, bí mật kinh doanh. Đáng lo hơn, mục tiêu của StormEncryptor là hệ thống Windows Server và Windows Client trong mạng nội bộ của các cơ quan, tổ chức, doanh nghiệp – tức là các nơi chứa lượng dữ liệu khổng lồ về công dân, khách hàng và hạ tầng vận hành.
Những dấu hiệu không được phép bỏ qua: Nóng máy, ứng dụng lạ, giao dịch bất thường
Điều nguy hiểm của mã độc di động là nó thường ngụy trang dưới lớp vỏ “hoạt động bình thường”. Tuy vậy, vẫn có những dấu hiệu rõ ràng mà người dùng không nên phớt lờ. Công an đã khuyến cáo: cần đặc biệt cảnh giác khi thiết bị xuất hiện ứng dụng lạ, màn hình tự chuyển hoặc tự thao tác, tài khoản bị trừ tiền hoặc phát sinh giao dịch bất thường, điện thoại nóng bất thường dù không sử dụng, hoặc hiển thị thông báo liên quan đến “Wireless Debugging”. Những hiện tượng này không phải “lỗi vặt cho qua”, mà là tiếng chuông báo động. Cảm giác “máy hơi nóng hơn mọi khi” có thể là hệ quả của việc mã độc âm thầm quay màn hình, ghi âm, gửi dữ liệu hoặc tự mở ứng dụng ngân hàng, còn giao dịch lạ trong tài khoản là bằng chứng cho thấy thiết bị của bạn đã bị kéo vào quy trình rút tiền tự động.
Không chỉ người dùng cá nhân, các nhóm có nguy cơ cao gồm cán bộ, công chức, viên chức và nhân viên trong cơ quan, tổ chức và doanh nghiệp – những người sử dụng đồng thời điện thoại và hệ thống Windows nội bộ để xử lý công việc. StormEncryptor nhắm thẳng vào máy chủ và máy trạm Windows trong mạng nội bộ của các tổ chức, nghĩa là một người bất cẩn có thể kéo cả đơn vị vào khủng hoảng. Đây không còn là chuyện “ai đó bị lừa”, mà là một mắt xích yếu có thể làm lộ dữ liệu nhà nước, dữ liệu khách hàng, thậm chí bí mật kinh doanh. Điện thoại cá nhân của bạn, nếu dùng chung cho tài khoản ngân hàng, email cơ quan và ứng dụng công vụ, đang là cửa ngõ hấp dẫn nhất cho tin tặc.
Bạn phải làm gì ngay khi nghi ngờ bị tấn công – và làm sao để không tới mức đó
Khi nhận thấy các dấu hiệu như điện thoại nóng bất thường, ứng dụng lạ, màn hình tự thao tác, tài khoản bị trừ tiền hoặc xuất hiện giao dịch khó hiểu, phản ứng đúng không phải là “đợi xem thêm” mà là hành động ngay. Công an khuyến cáo: người dùng cần lập tức ngắt Wi-Fi và dữ liệu di động, đồng thời không tiếp tục nhập mật khẩu hay mã OTP trên thiết bị nghi nhiễm. Sau đó, hãy dùng một thiết bị sạch khác để đổi mật khẩu, mã PIN, và liên hệ ngân hàng để khóa tài khoản, thẻ hoặc phong tỏa giao dịch, thậm chí yêu cầu đóng băng tài khoản, khóa thẻ khẩn cấp nếu cần. Đây là “phanh khẩn cấp” duy nhất giữa chiếc điện thoại đang bị điều khiển và số tiền còn lại trong tài khoản.
Về lâu dài, bảo vệ điện thoại và hệ thống không chỉ là cài một ứng dụng chống virus cho có. Người dùng được khuyến cáo không bấm vào liên kết lạ gửi qua email, SMS, Zalo và các ứng dụng OTT; không tải hoặc cài ứng dụng từ nguồn không rõ, đặc biệt là file APK trên Android; không mở hoặc giải nén tệp đính kèm đáng ngờ. Ứng dụng trên điện thoại chỉ nên được tải từ cửa hàng chính thức; trước khi cài, cần kiểm tra kỹ nhà phát hành và các quyền mà ứng dụng yêu cầu, nhất là quyền trợ năng, đọc tin nhắn, ghi âm, điều khiển màn hình. Với cơ quan và doanh nghiệp, việc vá lỗ hổng bảo mật, giám sát hệ thống quản trị từ xa và duy trì bản sao lưu ngoại tuyến theo nguyên tắc 3-2-1 là biện pháp quan trọng để giảm thiệt hại khi tấn công mã độc xảy ra. Cuối cùng, mỗi cán bộ, công chức, viên chức và người lao động phải coi việc tuân thủ quy định an ninh mạng, bảo vệ dữ liệu cá nhân, bí mật nhà nước là một phần trách nhiệm nghề nghiệp. Không có “miễn trừ trách nhiệm” cho sự chủ quan trong kỷ nguyên số.
