Ứng dụng giả mạo nguy hiểm là gì và vì sao chúng ta phải cảnh giác ngay?
Ứng dụng giả mạo nguy hiểm là các phần mềm nhìn giống ứng dụng, cổng dịch vụ công hoặc app cơ quan nhà nước, nhưng bên trong cài mã độc điện thoại để chiếm quyền điều khiển thiết bị, đánh cắp OTP và thông tin tài khoản ngân hàng, nhằm rút tiền hoặc chiếm đoạt dữ liệu cá nhân của người dùng. Tội phạm đang giả danh cán bộ Bảo hiểm xã hội, công an, thuế, thậm chí nhân viên viễn thông để dụ người dân cài đặt các tệp .apk chứa mã độc, rồi âm thầm chiếm đoạt toàn bộ kiểm soát trên điện thoại. Đây không còn là rủi ro xa vời mà là mối đe dọa đang diễn ra mỗi ngày trên chính chiếc smartphone mà chúng ta cầm trên tay.
Điểm đáng lo nhất là người dùng thường nhầm lẫn đây là “dịch vụ công trực tuyến”, là khảo sát mức độ hài lòng BHXH, hay là yêu cầu cập nhật cư trú nên dễ mở lòng tin. Khi đã tin, họ sẵn sàng bấm vào link lạ, cài app không rõ nguồn gốc, cấp mọi quyền truy cập mà không hề biết rằng mình đang tự mở cửa nhà cho kẻ trộm bước vào. Trong bối cảnh chuyển đổi số, ai sử dụng điện thoại Android, từ người trẻ đến người già, đều đang ở trong tầm ngắm của loại mã độc tinh vi này.
Chiêu trò lừa đảo BHXH, công an: Từ “khảo sát” đến yêu cầu cài app lạ
Mấu chốt của các phi vụ lừa đảo BHXH hiện nay là lợi dụng đúng những gì Nhà nước đang làm: khảo sát mức độ hài lòng, chi trả trợ cấp, cập nhật thông tin trên VssID, xử lý vi phạm hành chính… BHXH Việt Nam đã phải lên tiếng rằng mọi khảo sát đều hoàn toàn miễn phí và không bao giờ yêu cầu cung cấp OTP, mật khẩu, thông tin tài khoản ngân hàng hay chuyển tiền dưới bất kỳ hình thức nào. Dù vậy, tội phạm mạng vẫn “cấy” mình vào quá trình này bằng các cuộc gọi, tin nhắn mạo danh, gửi link khảo sát giả, yêu cầu người dân “xác thực tài khoản” hoặc “cập nhật ứng dụng” để tiếp tục nhận quyền lợi.
Tại một số địa phương, các đối tượng gọi điện tự xưng là cán bộ BHXH, thông báo dữ liệu trên ứng dụng VssID bị sai, nếu không cập nhật sẽ bị dừng trợ cấp, rồi gửi link yêu cầu tải “phiên bản mới” của VssID. Thực chất đó là tệp .apk chứa mã độc điện thoại. Ở mảng công an, chúng giả danh cán bộ địa phương, viện cớ sáp nhập đơn vị hành chính, yêu cầu người dân cài app VNeID giả để “cập nhật nơi ở”, kèm theo lời đe dọa nếu không làm sẽ ảnh hưởng hồ sơ, giao dịch dân sự. Đó là chiến thuật gây áp lực tâm lý, đẩy nạn nhân vào trạng thái hoảng sợ rồi làm theo mọi hướng dẫn.
Từ mã độc điện thoại đến mất trắng tài khoản ngân hàng
Một khi người dùng cài các ứng dụng giả mạo nguy hiểm dưới dạng file .apk như dichvucong.apk, vneid.apk, vssid.apk, malware sẽ lập tức lợi dụng quyền Trợ năng (Accessibility) trên Android để chiếm quyền điều khiển thiết bị. Khi được cấp quyền “Trợ năng” hoặc quyền quản lý thiết bị, kẻ tấn công có thể theo dõi mọi thao tác trên màn hình, ghi lại phím bấm, tự động đọc và xóa SMS chứa mã OTP, rồi âm thầm sử dụng để chiếm đoạt tài khoản ngân hàng. Đây không phải giả thuyết; nhiều vụ việc đã ghi nhận việc tiền trong tài khoản bị chuyển đi liên tiếp chỉ vài giờ sau khi nạn nhân “nộp phạt” số tiền rất nhỏ.
Các chiến dịch tấn công mới còn tinh vi hơn khi kết hợp mã độc điện thoại với phần mềm điều khiển từ xa như AnyDesk, TeamViewer để vừa giành quyền truy cập hệ thống, vừa thao tác giống hệt người dùng. Theo cơ quan chức năng, “Fake on-the-spot fines are just one example among approximately 24 common online scams today”. Tội phạm tận dụng chiến thuật “giao dịch nhỏ” để khiến nạn nhân mất cảnh giác, sau đó mở rộng sang các lệnh chuyển tiền lớn. Nếu không có chiến lược bảo vệ tài khoản ngân hàng phù hợp, từ việc giữ bí mật OTP đến kiểm soát thiết bị, người dùng gần như không thể kịp phản ứng khi tiền bị rút vào ban đêm hoặc thời điểm ngoài giờ làm việc.
Vì sao chúng bám theo dịch vụ công và ai đang là nạn nhân chính?
Tội phạm mạng không còn gửi spam bừa bãi mà chủ động “ký sinh” lên các dịch vụ công trực tuyến: xử phạt giao thông, hợp nhất đơn vị hành chính, khai thuế, đóng BHXH, BHYT… Chúng bám theo đúng các quy trình số hóa mà người dân, doanh nghiệp buộc phải tham gia, từ đó tạo vỏ bọc hợp pháp cho các ứng dụng giả mạo nguy hiểm. Khi BHXH tổ chức khảo sát sự hài lòng của tổ chức, cá nhân, cơ quan này đã phải yêu cầu địa phương tăng cường tuyên truyền để người dân nhận diện đúng kênh khảo sát chính thức, tránh bị lợi dụng vào hành vi lừa đảo. Điều đó cho thấy “mảnh đất” dịch vụ công trực tuyến đang bị tội phạm xem như môi trường lý tưởng để săn nạn nhân.
Đáng nói là mọi nhóm tuổi đều có thể trở thành mục tiêu. Thanh thiếu niên bị lôi kéo qua các kênh Telegram, app đầu tư giả; người trung niên và người già bị gọi video deepfake vay tiền, bắt cài app để “hỗ trợ” hoặc “khôi phục tài khoản” rồi bị lấy cắp OTP. Các doanh nghiệp, hộ kinh doanh lại bị nhắm đến trong mùa quyết toán thuế với chiêu mạo danh cán bộ thuế, yêu cầu cài ứng dụng eTax Mobile giả để “sửa sai hồ sơ”. Bất kỳ ai sử dụng Android và có tài khoản ngân hàng đều nằm trong vùng nguy hiểm, đặc biệt là những người ít kỹ năng số, dễ tin lời “cán bộ” và không quen kiểm tra kỹ đường link hay quyền truy cập ứng dụng mới.
Cách phòng chống: Tự bảo vệ tài khoản ngân hàng và dữ liệu cá nhân ngay hôm nay
Muốn không trở thành nạn nhân, người dùng phải thay đổi thói quen ngay lập tức. Nguyên tắc đầu tiên để bảo vệ tài khoản ngân hàng là không bao giờ cung cấp mã OTP, mật khẩu, số thẻ hoặc ảnh CCCD qua điện thoại, email, Zalo hay bất kỳ kênh nào, kể cả khi người liên hệ tự xưng là công an, BHXH, thuế hay ngân hàng. Công an và cơ quan BHXH đã nhấn mạnh rằng họ không yêu cầu người dân cài app qua link gửi riêng trên mạng xã hội, cũng không yêu cầu xác thực tài khoản bằng cách chuyển khoản hay cung cấp OTP.
Về ứng dụng, người dân chỉ nên tải VssID và các app dịch vụ công từ kho chính thức như App Store, Google Play; tuyệt đối không cài file .apk do người lạ gửi, cho dù được giới thiệu là phiên bản mới hay “bản hỗ trợ”. Người dùng cần từ chối cấp quyền Trợ năng, quyền quản trị thiết bị cho ứng dụng lạ; luôn kiểm tra đường link trước khi đăng nhập Internet Banking; không lưu thông tin thẻ, mã CVV trên trình duyệt hoặc ghi chú điện thoại; bật xác thực sinh trắc học cho giao dịch giá trị cao. Nếu lỡ cài app nghi vấn, nên ngắt kết nối internet, sao lưu dữ liệu cần thiết, khôi phục cài đặt gốc và liên hệ ngân hàng để khóa tài khoản, đồng thời báo ngay cho cơ quan BHXH hoặc công an gần nhất để được hỗ trợ xử lý.
