Giả mạo cơ quan nhà nước: nguy cơ thật phía sau tin nhắn và ứng dụng “giả danh”
Lừa đảo giả mạo cơ quan nhà nước là hình thức tội phạm công nghệ cao, trong đó kẻ gian giả danh Bộ Công an, bưu điện, cơ quan thuế hay bảo hiểm xã hội qua tin nhắn, cuộc gọi, website và ứng dụng, dựng lên tình huống khẩn cấp liên quan đến phạt nguội, giao hàng, thủ tục thuế hoặc quyền lợi bảo hiểm để lấy cắp thông tin cá nhân, tài khoản ngân hàng và chiếm đoạt tài sản của nạn nhân. Điểm gây bực mình nhưng phải thừa nhận là: phần lớn các vụ giả mạo tin nhắn lừa đảo thành công vì người dân vẫn có thói quen tin tuyệt đối mọi nội dung “mang danh nhà nước”. Những tin nhắn tự xưng là Bộ Công an, Bưu điện Việt Nam (VNPost) hay cơ quan thuế đang trở thành một trong những hình thức lừa đảo đáng chú ý, với các tình huống dựng lên rất sát đời sống như vi phạm giao thông, bưu kiện gặp sự cố hoặc vướng mắc thủ tục doanh nghiệp. Ba kịch bản điển hình cho thấy một điểm chung: kẻ lừa đảo đang cố biến một tin nhắn hoặc cuộc gọi đáng ngờ thành một tình huống có vẻ hợp pháp để nạn nhân tự nguyện cung cấp dữ liệu, OTP và cả quyền kiểm soát thiết bị.
Tin nhắn giả, website giả: Vì sao nhiều người vẫn mắc bẫy VNPost, phạt nguội và VNeID?
Thủ đoạn quen thuộc hiện nay là giả mạo tin nhắn lừa đảo liên quan đến phạt nguội, giao hàng hoặc thủ tục thuế doanh nghiệp. Một tin nhắn tự xưng Bộ Công an thông báo phương tiện vi phạm vượt đèn đỏ, chưa thanh toán tiền phạt, kèm cảnh báo tăng mức phạt và tạm giữ giấy tờ nếu quá hạn, rồi dẫn tới đường link thanh toán “mang dáng dấp” website nhà nước. Đây là cú đánh trực diện vào tâm lý sợ bị xử phạt, khiến nạn nhân không kịp kiểm tra thông tin. Trong kịch bản giả VNPost, người dùng nhận thông báo bưu kiện gặp vấn đề vì địa chỉ chưa có số nhà cụ thể và được yêu cầu cập nhật để tiếp tục giao hàng. Website 320866.help được thiết kế giống giao diện bưu điện, yêu cầu họ tên, địa chỉ, email, số điện thoại rồi chuyển sang bước nộp phí 5.000 đồng bằng cách nhập đủ thông tin thẻ ngân hàng. Khoản tiền nhỏ chỉ là cái cớ; điều chúng cần là dữ liệu thanh toán và mã OTP, lớp bảo vệ quan trọng của tài khoản ngân hàng. Nguy hiểm hơn, kẻ lừa đảo còn dựng cả câu chuyện xoay quanh định danh doanh nghiệp, công an địa phương, người phụ thuộc trên VNeID, eTax Mobile, kê khai thuế, vốn điều lệ và ký quỹ tại kho bạc Nhà nước để “nói đúng vấn đề” với chủ doanh nghiệp mới thành lập. Nạn nhân trong một vụ việc đã mất 250 triệu đồng vì tin rằng mình đang làm việc với cơ quan chức năng.
Ứng dụng bảo hiểm giả và phần mềm độc hại: chiếc điện thoại có thể trở thành “cửa ngõ” mất tiền
Nếu tin nhắn giả là bước mở cửa, thì ứng dụng bảo hiểm giả chính là con đường thẳng vào túi tiền của người dùng. Một trong những phương thức đang xuất hiện là giả mạo ứng dụng, website và cán bộ Bảo hiểm xã hội để lừa người dân cài đặt phần mềm độc hại, từ đó chiếm quyền điều khiển điện thoại, đánh cắp thông tin cá nhân và tài khoản ngân hàng. Các đối tượng tự xưng là cán bộ bảo hiểm, gọi điện, nhắn tin hoặc kết bạn qua Zalo, Facebook với lý do cập nhật thông tin, đồng bộ dữ liệu, tích hợp thẻ bảo hiểm y tế, nhận trợ cấp hay kích hoạt tài khoản bảo hiểm xã hội điện tử, rồi gửi link hoặc file cài ứng dụng giả mạo. Cơ quan chức năng đã phát hiện ứng dụng giả mạo mang tên “VSSID.apk” chứa mã độc đặc biệt nguy hiểm nhằm chiếm đoạt thông tin cá nhân và tài sản. Khi người dân cài đặt theo hướng dẫn, phần mềm yêu cầu quyền trợ năng, đọc tin nhắn, truy cập danh bạ, điều khiển thiết bị… Sau khi được cấp quyền, kẻ xấu âm thầm theo dõi mọi hoạt động, lấy cắp mã OTP, mật khẩu ngân hàng, thông tin đăng nhập và tự thực hiện giao dịch chuyển tiền mà chủ tài khoản không hay biết. Đáng ngại hơn, nhiều đối tượng còn yêu cầu gửi số căn cước công dân, hình ảnh giấy tờ tùy thân, thông tin tài khoản ngân hàng, mã xác thực OTP hoặc thực hiện nhận diện khuôn mặt với lý do “xác minh hồ sơ”. Những thông tin này đủ để chúng chiếm đoạt tài sản hoặc dùng vào các hành vi phạm pháp khác, trong khi nạn nhân vẫn nghĩ mình đang làm việc với hệ thống bảo hiểm xã hội.
Giả danh cán bộ BHXH, BHYT: khi tâm lý lo quyền lợi bị cắt trở thành điểm yếu
Các đối tượng giả danh nhân viên bảo hiểm xã hội, bảo hiểm y tế gọi điện, nhắn tin để thu thập thông tin cá nhân, chiếm đoạt tài sản bằng cách đánh vào nỗi lo mất quyền lợi khám chữa bệnh. Chúng thông báo khảo sát mức độ hài lòng hoặc cập nhật thông tin năm cụ thể, yêu cầu điền biểu mẫu, truy cập đường link “khảo sát” rồi dần dần khai thác thêm dữ liệu bảo mật. Một thủ đoạn khác là báo thẻ BHYT bị lỗi, chưa cập nhật dữ liệu hoặc đã hết hạn; để tránh gián đoạn quyền lợi, người dân được yêu cầu “chuyển định danh điện tử”, nộp lệ phí hoặc cài ứng dụng để gia hạn thẻ. Trong quá trình trao đổi, đối tượng tiếp tục yêu cầu cung cấp mã OTP, mật khẩu ngân hàng, số tài khoản hoặc cài đặt ứng dụng lạ với lý do hỗ trợ cập nhật thông tin. Nếu làm theo, nạn nhân đối mặt nguy cơ bị đánh cắp dữ liệu cá nhân, bị chiếm quyền kiểm soát thiết bị, tài khoản ngân hàng hoặc mất tiền trong tài khoản. Theo cảnh báo của cơ quan an ninh mạng và phòng chống tội phạm công nghệ cao, người dân tuyệt đối không cung cấp mã OTP, mật khẩu ngân hàng và các thông tin bảo mật cho bất kỳ người nào qua điện thoại; không truy cập đường link lạ, không cài đặt ứng dụng không rõ nguồn gốc, không chuyển tiền theo yêu cầu của người tự xưng là cán bộ BHXH. Thật khó chịu khi phải nghi ngờ cả những cuộc gọi “hỏi thăm quyền lợi”, nhưng nếu không giữ thái độ cảnh giác, chính chúng ta đang trao cho kẻ lừa đảo chìa khóa vào toàn bộ đời sống tài chính của mình.
Cách tự bảo vệ: quy tắc vàng với mã OTP an toàn và kênh chính thức
Nếu phải rút ra một bài học rõ ràng từ những vụ mất hàng trăm triệu đồng, thì đó là: đừng bao giờ làm theo hướng dẫn trong tin nhắn, cuộc gọi bất ngờ trước khi tự kiểm tra qua kênh chính thức. Khi nhận thông báo liên quan đến phạt nguội, giao hàng, thuế hoặc thủ tục hành chính, người dùng không nên tiếp tục thao tác trên đường link kèm theo hay trả lời trực tiếp qua cuộc gọi, mà hãy tự mở ứng dụng hoặc website chính thức của cơ quan, doanh nghiệp liên quan để kiểm tra. Với mọi yêu cầu cài đặt ứng dụng, đặc biệt là file “.apk”, quy tắc bắt buộc là: tuyệt đối không tải từ các đường link người lạ gửi qua tin nhắn, Zalo, Facebook, email hoặc SMS; không cài đặt file “.apk” ngoài kho ứng dụng chính thức. Để bảo vệ khỏi phishing, người dân không được cung cấp số tài khoản ngân hàng, mật khẩu, mã OTP, mã PIN, thông tin sinh trắc học hoặc hình ảnh giấy tờ tùy thân cho bất kỳ ai qua điện thoại hay mạng xã hội. Mã OTP an toàn là mã OTP không bao giờ được đọc, chụp màn hình hay nhập vào website, ứng dụng lạ. Trong trường hợp nghi ngờ thông tin liên quan đến bảo hiểm xã hội, hãy liên hệ qua các kênh chính thức như cổng thông tin điện tử hoặc tổng đài chăm sóc khách hàng, thay vì tin vào số điện thoại, tài khoản Zalo không rõ nguồn gốc. Khi nhận cuộc gọi, tin nhắn bất thường về BHXH, BHYT, người dân cần bình tĩnh xác minh qua kênh chính thức, tuyệt đối không giao dịch, không cung cấp thông tin và không làm theo bất kỳ hướng dẫn nào nếu chưa chắc chắn đó là cơ quan nhà nước thật.
