Lừa đảo qua ứng dụng: hiểm họa ngay trong chiếc điện thoại bạn dùng mỗi ngày
Lừa đảo qua ứng dụng là việc tội phạm mạng lợi dụng các nền tảng di động như Zalo, ứng dụng ngân hàng, website giả mạo và mã độc ứng dụng để chiếm đoạt thông tin, chiếm quyền điều khiển thiết bị, đánh cắp mã OTP rồi rút sạch tiền trong tài khoản của người dùng mà họ không kịp nhận ra. Điều đang diễn ra không phải là những vụ việc rời rạc, mà là một làn sóng tấn công có kịch bản chặt chẽ, có nghiên cứu tâm lý và tận dụng chính thói quen “tin vào màn hình” của chúng ta. Điểm chung của các Zalo scam và chiêu giả mạo ngân hàng là đánh vào cảm xúc: gây hoang mang, tạo cảm giác gấp gáp, hợp pháp và “chính thống” để bạn tự nguyện trao mật khẩu, mã OTP, quyền Trợ năng, hay cài đặt phần mềm chứa mã độc ứng dụng. Khi bạn xem điện thoại như kênh giải quyết mọi thủ tục, tội phạm xem điện thoại như chiếc ví mở sẵn của bạn. Nếu không thay đổi cách phản ứng, việc bảo vệ tài khoản sẽ luôn là cuộc chiến mà người dùng ở thế yếu.
Giả mạo cán bộ nhà nước trên Zalo: kịch bản lừa từ hồ sơ hành chính đến mã OTP
Một cuộc gọi Zalo xưng danh cán bộ nhà nước, yêu cầu “cập nhật thông tin hồ sơ đất đai, căn cước công dân gấp” đã đủ để nhiều người mở toang cửa cho tội phạm vào tài khoản ngân hàng. Các đối tượng liên tục gọi, nhắn tin, gửi hình giấy mời, đường link giả giao diện cổng dịch vụ công, yêu cầu điền họ tên, số CCCD, số điện thoại, thông tin tài khoản ngân hàng vào form “bổ sung hồ sơ”. Khi dữ liệu đã bị thu thập trót lọt, chúng chuyển sang vai “nhân viên kỹ thuật cơ quan nhà nước” hoặc “nhân viên ngân hàng”, đe dọa sẽ phạt tiền, khóa hồ sơ, tước quyền lợi nếu bạn không hợp tác. Đích đến cuối cùng luôn là ép bạn đọc mã OTP hoặc thao tác lạ trên ứng dụng ngân hàng để “sửa lỗi hồ sơ”. Chỉ cần bạn đọc mã OTP, chúng chiếm quyền kiểm soát và thực hiện chuyển tiền trong tích tắc. Vấn đề không phải bạn thiếu hiểu biết, mà là bạn đang để nỗi sợ bị phạt dẫn dắt mình thay vì nguyên tắc bảo vệ tài khoản.
Giả mạo nhân viên ngân hàng, phát tán mã độc ứng dụng: nguy hiểm hơn cả lộ OTP
Nếu trước đây tội phạm chủ yếu dụ người dùng “lộ OTP”, thì xu hướng mới là chiếm quyền điều khiển cả thiết bị bằng mã độc ứng dụng. Các nhóm giả mạo ngân hàng gọi điện, nhắn qua SMS, email, Zalo, Facebook… xưng là nhân viên MSB, Vietcombank, BIDV hỗ trợ nâng cấp, chuyển đổi, cập nhật ứng dụng ngân hàng điện tử. Chúng hướng dẫn truy cập website giả, hoặc tải file APK, app ngoài kho chính thức, bên trong cài cắm mã độc. Khi được cấp quyền Trợ năng, mã độc đọc nội dung màn hình, ghi thao tác bàn phím, lấy thông tin đăng nhập, mã OTP, rồi tự động thực hiện giao dịch mà bạn khó phát hiện. Nhiều trường hợp còn bị dụ cài ứng dụng ngân hàng giả để mã độc xâm nhập sâu hơn vào điện thoại. Theo cảnh báo của các ngân hàng, đây là hình thức tấn công nguy hiểm vì một khi điện thoại đã bị chiếm quyền điều khiển, mọi lớp xác thực – kể cả sinh trắc học – đều có thể bị vượt qua bằng việc theo dõi và điều khiển phiên giao dịch.
Giả danh cán bộ thuế, đăng ký kinh doanh và thuế điện tử: từ QR code đến tài khoản trống rỗng
Trong lĩnh vực thuế và đăng ký kinh doanh, tội phạm cũng dựng lên kịch bản rất thuyết phục: giả danh cán bộ hỗ trợ thủ tục pháp lý, thuế doanh nghiệp, gửi văn bản, quyết định qua Zalo, Viber với quốc hiệu, tiêu ngữ đầy đủ, trình bày chuyên nghiệp như giấy tờ thật. Một nạn nhân đã mất tổng cộng 585 triệu đồng sau khi tin vào loạt giấy tờ giả này và làm theo hướng dẫn. Chiêu mới là yêu cầu truy cập các tên miền như dangkythuedientu.com với giao diện giống hệt cơ quan chức năng để “đồng bộ thông tin”, rồi dụ quét mã QR nhiều lần. Đồng thời, chúng bảo nạn nhân đặt thẻ CCCD lên màn hình điện thoại với lý do “hệ thống cần nhận diện”, thực chất để che thông báo trừ tiền hoặc mã OTP ngân hàng đang hiện lên. Khi giao dịch ngầm diễn ra, chúng liên tục nói “thủ tục lỗi”, “hệ thống chưa ghi nhận” để thúc ép quét QR tiếp cho đến khi tài khoản cạn kiệt. Sự tin tưởng vào hình thức văn bản, dấu đỏ trên màn hình trở thành lỗ hổng tâm lý lớn nhất.
Làm gì để bảo vệ tài khoản trước làn sóng lừa đảo qua ứng dụng?
Muốn bảo vệ tài khoản trong bối cảnh lừa đảo qua ứng dụng ngày càng tinh vi, bạn phải thay đổi phản xạ mặc định với mọi yêu cầu từ màn hình. Nguyên tắc đầu tiên: tuyệt đối không cung cấp mật khẩu, mã OTP, thông tin thẻ, mã PIN Soft Token cho bất kỳ ai, kể cả người tự xưng là cán bộ, nhân viên ngân hàng. Không tò mò bấm vào link lạ, không nhập thông tin cá nhân hay tài khoản ngân hàng lên website không rõ nguồn gốc, không quét mã QR do người lạ gửi. Ứng dụng ngân hàng chỉ tải từ Google Play hoặc App Store; tuyệt đối không cài file APK, app từ link gửi qua SMS, email, Zalo, Facebook. Hãy tắt quyền Trợ năng, quyền điều khiển từ xa nếu không dùng, và coi mọi yêu cầu “cập nhật ứng dụng” từ người lạ là đáng nghi. Khi cần giải quyết thủ tục hành chính, thuế, đăng ký kinh doanh, hãy trực tiếp đến bộ phận Một cửa hoặc truy cập cổng thông tin chính thức có tên miền cơ quan nhà nước. Nếu nghi ngờ đã cài ứng dụng giả hoặc thiết bị bị kiểm soát, hãy ngắt Internet, tắt máy và liên hệ ngay với ngân hàng để khóa tạm thời dịch vụ ngân hàng điện tử.
