Ứng dụng VssID giả mạo là gì và vì sao đây là cái bẫy cực nguy hiểm?
Ứng dụng VssID giả mạo là phần mềm độc hại được kẻ gian thiết kế giống ứng dụng VssID – Bảo hiểm xã hội số, phát tán qua đường link lạ hoặc file .apk, nhằm chiếm quyền điều khiển điện thoại, đánh cắp thông tin bảo hiểm, tài khoản ngân hàng và mã OTP để thực hiện giao dịch trái phép, chiếm đoạt tài sản của người dùng bảo hiểm y tế và bảo hiểm xã hội.
Điểm đáng sợ của chiêu lừa đảo bảo hiểm y tế này là nó đánh thẳng vào tâm lý sợ mất quyền lợi và thiếu hiểu biết công nghệ của nhiều người. Kẻ gian lợi dụng danh nghĩa cập nhật dữ liệu BHXH, BHYT, đồng bộ thông tin hoặc nhận tiền hoàn trả để buộc nạn nhân truy cập đường link giả mạo Cổng Dịch vụ công, tải tệp APK và cấp quyền truy cập điện thoại. Khi phần mềm độc hại được cài, bạn vẫn cầm điện thoại trên tay nhưng mọi thao tác, tin nhắn OTP, thông tin đăng nhập ngân hàng đã nằm trong tay chúng. Đây không còn là nguy cơ lý thuyết mà là mối đe dọa đang diễn ra, nhắm trực tiếp vào túi tiền của người dân.
Chiêu trò giả danh cán bộ: Từ cuộc gọi “thiện chí” đến chiếc điện thoại bị chiếm quyền
Cốt lõi của chiêu trò giả danh cán bộ là biến một cuộc gọi “hỗ trợ” thành chiếc chìa khóa mở toang điện thoại của bạn. Theo cảnh báo của cơ quan công an, các đối tượng thường gọi điện, tự xưng là cán bộ BHXH, công an phụ trách địa bàn hoặc cán bộ cấp xã, thông báo người dân thuộc diện được cấp thẻ BHYT An toàn khu, nhận tiền hoàn trả BHYT hoặc được tích hợp quyền lợi BHXH, BHYT trên ứng dụng VssID.
Chúng viện dẫn đủ lý do: hồ sơ định danh điện tử bị lỗi, chưa kích hoạt mã đối tượng An toàn khu, thông tin tài khoản nhận tiền chưa khớp… rồi thúc ép phải “hoàn tất trong ngày”, dọa hủy quyền lợi nếu chậm trễ. Để tăng độ tin cậy, kẻ gian còn kết bạn Zalo, gửi hướng dẫn làm thủ tục trực tuyến, kèm đường link hoặc mã QR dẫn đến file “vssid.apk” – một ứng dụng VssID giả mạo có giao diện, biểu tượng, tên gọi gần như giống hệt bản chính thức. Thực tế, đây là bước mở cửa cho mã độc xâm nhập, chứ không phải hỗ trợ hành chính như chúng rao giảng.
Khi mã độc lên ngôi: Điện thoại bị điều khiển, OTP bị đọc trộm, tiền âm lúc nào không hay
Một khi bạn cài ứng dụng VssID giả mạo và cấp quyền, cuộc chơi không còn thuộc về bạn nữa. Nạn nhân thường bị yêu cầu bật quyền trợ năng trên điện thoại Android; nếu làm theo, phần mềm độc hại có thể theo dõi thao tác, đánh cắp thông tin đăng nhập ngân hàng, đọc tin nhắn chứa mã OTP và hỗ trợ kẻ gian kiểm soát thiết bị từ xa. Ứng dụng còn có thể yêu cầu quyền đọc tin nhắn, truy cập danh bạ, điều khiển màn hình; khi chấp thuận, bạn đã trao chìa khóa an toàn tài khoản ngân hàng cho tội phạm.
Hệ quả là chúng có thể thực hiện giao dịch trái phép, chuyển tiền khỏi tài khoản nạn nhân mà chủ tài khoản không kịp nhận ra. Điểm nguy hiểm là bạn vẫn cầm điện thoại trên tay nhưng không hề biết các thao tác bất thường đang diễn ra trên thiết bị. Đây không chỉ là câu chuyện về bảo vệ điện thoại khỏi mã độc, mà là bài toán sinh tử với toàn bộ tài sản số gắn với thiết bị đó. Khi OTP bị đọc trộm, mật khẩu bị lộ, mọi lớp bảo vệ ngân hàng điện tử gần như bị vô hiệu hóa.
Cách nhận diện ứng dụng VssID thật – giả và khóa chặt cánh cửa cho mã độc
Muốn không rơi vào bẫy, bạn phải coi điện thoại như két sắt cá nhân: chỉ mở khi chắc chắn an toàn. BHXH Việt Nam đã nhấn mạnh: người dân chỉ nên cài đặt ứng dụng VssID – Bảo hiểm xã hội số từ Google Play hoặc App Store, tuyệt đối không tải file .apk từ đường link lạ, mã QR hay tệp gửi qua Zalo, Facebook, tin nhắn. File “vssid.apk” được gửi kèm qua link hoặc QR không phải ứng dụng chính thức mà là phần mềm giả mạo, dù giao diện, biểu tượng, tên gọi rất giống.
Nguyên tắc vàng để bảo vệ điện thoại khỏi mã độc là: không quét mã QR, không cài ứng dụng theo hướng dẫn chưa được xác minh, không cấp quyền điều khiển điện thoại cho bất kỳ ai chưa rõ danh tính. Đặc biệt, tuyệt đối không cung cấp mật khẩu ngân hàng, mã OTP, hình ảnh căn cước hoặc chuyển tiền cho người tự xưng là cán bộ để “xác thực”, “đồng bộ dữ liệu” hay “nhận tiền hoàn trả”. Nếu có nhu cầu tra cứu, hãy tự truy cập cổng thông tin chính thức hoặc dùng ứng dụng VssID tải từ kho ứng dụng để kiểm tra quyền lợi BHXH, BHYT.
5 bước tự bảo vệ: Từ cuộc gọi lạ đến an toàn tài khoản ngân hàng
Thực tế, kẻ gian chỉ thành công khi chúng ta vội vàng và cả tin. Muốn không trở thành nạn nhân tiếp theo của lừa đảo bảo hiểm y tế, bạn cần một quy trình tự bảo vệ rõ ràng. BHXH Việt Nam đã khuyến nghị người dân chủ động xác minh thông tin khi nhận cuộc gọi, tin nhắn về quyền lợi BHXH, BHYT hoặc yêu cầu cập nhật dữ liệu; khi nghi ngờ, phải liên hệ trực tiếp cơ quan BHXH để kiểm chứng, không làm theo hướng dẫn vì sợ bị hủy quyền lợi.
- Luôn bật và sử dụng xác thực hai lớp (2FA) cho tài khoản ngân hàng, email, ứng dụng tài chính; không chia sẻ mã OTP cho bất kỳ ai.
- Từ chối mọi yêu cầu cài file .apk, cấp quyền trợ năng, điều khiển màn hình từ xa, kể cả khi người gọi tự xưng là cán bộ BHXH hay công an.
- Thường xuyên kiểm tra lịch sử giao dịch ngân hàng; nếu phát hiện giao dịch bất thường, liên hệ ngay ngân hàng để khóa hoặc bảo vệ tài khoản.
- Ghi nhớ: chỉ tải VssID từ Google Play hoặc App Store; không bấm vào link lạ, không quét mã QR không rõ nguồn gốc.
- Khi phát hiện dấu hiệu lừa đảo hoặc đã lỡ cung cấp thông tin, phải trình báo cơ quan công an gần nhất và thông báo cho cơ quan BHXH địa phương, đồng thời liên hệ ngân hàng để được hỗ trợ khẩn cấp.
Cơ quan công an tại nhiều địa phương đã lên tiếng cảnh báo về chiêu trò giả danh cán bộ BHXH, công an, cán bộ cấp xã nhằm lừa cài ứng dụng VssID giả mạo. Khi nhà chức trách đã gióng lên hồi chuông, phần còn lại thuộc về mỗi người: hoặc chủ động phòng vệ, hoặc chấp nhận để chiếc điện thoại thông minh trở thành cánh cửa mở sẵn cho tội phạm mạng.
