Trong kỷ nguyên số, mã QR (Quick Response Code) đã trở thành một phần không thể thiếu trong cuộc sống hàng ngày. Từ việc thanh toán hóa đơn, truy cập menu nhà hàng, khai báo y tế cho đến kết nối Wifi, sự tiện lợi của chúng là không thể bàn cãi. Tuy nhiên, chính sự phổ biến và tâm lý "quét không cần nghĩ" của người dùng đã biến công cụ hữu ích này thành một "mỏ vàng" cho tội phạm mạng, với những chiêu thức lừa đảo ngày càng tinh vi và khó lường.
Vụ việc được Công an tỉnh Đắk Lắk cảnh báo gần đây là một ví dụ điển hình, hé lộ một phương thức tiếp cận nạn nhân đầy bất ngờ: thông qua những món quà "từ trên trời rơi xuống".
Vén màn thủ đoạn "quà tặng trojan": Khi lòng tốt bị lợi dụng
Hãy tưởng tượng bạn là chủ một quán cà phê nhỏ. Một ngày, có người tự xưng là đại diện của một thương hiệu lớn đến và đề nghị tài trợ miễn phí cho bạn một bộ bàn ghế đá, những tấm pano trang trí hay biển hiệu mới, với lý do hỗ trợ quảng bá thương hiệu hoặc tri ân khách hàng. Trên những vật dụng này, bên cạnh logo của họ, có in sẵn một mã QR tiện lợi. Không một chút nghi ngờ, bạn vui vẻ nhận và trưng bày.
Đây chính xác là kịch bản đã diễn ra tại nhiều cơ sở kinh doanh ở Đắk Lắk. Tuy nhiên, đằng sau những logo bắt mắt như OKVIP, MU88, SHBET, F88BET... là các đường dẫn trực tiếp đến những trang web cờ bạc, cá độ trực tuyến bất hợp pháp. Kẻ gian đã lợi dụng sự cả tin và tâm lý ham nhận quà miễn phí của các chủ cơ sở để biến không gian kinh doanh của họ thành một điểm quảng cáo trá hình cho hoạt động phi pháp.
Theo phân tích ban đầu, các đối tượng này hoạt động cực kỳ chuyên nghiệp. Chúng thường mạo danh các doanh nghiệp lớn, thực hiện việc trao tặng một cách chóng vánh và không để lại thông tin liên lạc cụ thể, khiến công tác truy vết của cơ quan chức năng gặp rất nhiều khó khăn. Chúng không chỉ nhắm vào các cửa hàng, quán ăn mà còn táo tợn hơn khi tài trợ cho cả trường học, nhà văn hóa thôn, khu vui chơi công cộng.
Đây là một bước tiến đáng báo động trong chiến thuật của tội phạm mạng. Thay vì phát tán mã QR một cách ngẫu nhiên ở nơi công cộng, chúng đã "hợp thức hóa" sự hiện diện của các mã độc này thông qua những vật chủ hữu hình, tạo ra một vỏ bọc đáng tin cậy khiến người dân mất cảnh giác.
Những cạm bẫy chết người khác đằng sau mã QR
Việc bị dẫn dụ vào các trang web cờ bạc chỉ là một phần nhỏ trong bức tranh toàn cảnh về lừa đảo qua mã QR. Mức độ nguy hiểm thực sự còn lớn hơn rất nhiều. Chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC), người có nhiều năm kinh nghiệm trong việc truy vết tội phạm mạng, đã nhiều lần cảnh báo về các hình thức tấn công tinh vi khác:
- 1. Lừa đảo giả mạo (Phishing qua QR - Quishing): Đây là hình thức phổ biến nhất. Kẻ gian sẽ dán đè mã QR của chúng lên mã QR hợp pháp tại các điểm thanh toán, máy đỗ xe tự động hoặc gửi email giả mạo cơ quan chức năng (thuế, điện, nước) yêu cầu người dùng quét mã để thanh toán hóa đơn. Khi quét, nạn nhân sẽ được chuyển đến một trang web giả mạo y hệt trang web chính thức, yêu cầu nhập thông tin tài khoản ngân hàng, mật khẩu, mã OTP. Ngay lập tức, toàn bộ thông tin nhạy cảm này sẽ bị đánh cắp.
- 2. Cài đặt phần mềm độc hại (Malware): Một mã QR có thể chứa lệnh tự động tải xuống và cài đặt một phần mềm gián điệp vào điện thoại của bạn mà bạn không hề hay biết. Phần mềm này có thể âm thầm ghi lại mọi thao tác gõ phím, chụp ảnh màn hình, truy cập danh bạ, tin nhắn và thậm chí điều khiển thiết bị của bạn từ xa.
- 3. Chiếm đoạt tài khoản mạng xã hội: Kẻ gian tạo ra các mã QR với lời mời hấp dẫn như "Quét để nhận voucher giảm giá" hoặc "Quét để tham gia sự kiện". Khi người dùng quét mã, họ sẽ được yêu cầu đăng nhập vào tài khoản Facebook, Zalo hoặc Google để xác nhận. Giao diện đăng nhập này hoàn toàn là giả mạo và ngay khi bạn nhập thông tin, tài khoản của bạn đã bị chiếm đoạt.
- 4. Tấn công backlink và chuyển hướng trang web: Đây là thủ đoạn mà lực lượng Công an cũng đã đề cập. Tội phạm mạng tấn công, chiếm quyền quản trị của các website có lượng truy cập lớn (kể cả các trang tin tức, cổng thông tin của cơ quan nhà nước) và chèn các liên kết ẩn. Khi người dùng truy cập vào trang web đáng tin cậy này, họ có thể bị tự động chuyển hướng sang các trang web lừa đảo, cờ bạc mà không hề hay biết.
>>> Xem thêm về thủ đoạn Quishing qua mã QR.
Tại sao mã QR lại trở thành vũ khí lợi hại?
Theo báo cáo của MobileIron (nay là một phần của Ivanti), đã có sự gia tăng đáng kể các mối đe dọa bảo mật liên quan đến mã QR trên toàn cầu. Lý do khiến mã QR trở thành công cụ ưa thích của tội phạm nằm ở ba yếu tố chính:
- Tính chất "hộp đen": Con người không thể đọc được thông tin chứa trong mã QR bằng mắt thường. Chúng ta hoàn toàn tin tưởng vào chiếc máy ảnh của điện thoại. Sự "mù mờ" này tạo ra một kẽ hở tâm lý, khiến người dùng bỏ qua bước kiểm tra, xác thực thông tin trước khi quét.
- Dễ dàng tạo lập và thay thế: Bất kỳ ai cũng có thể tạo ra một mã QR trong vài giây bằng các công cụ trực tuyến miễn phí. Việc in ra một miếng dán nhỏ và dán đè lên một mã QR thật tại nơi công cộng là việc cực kỳ đơn giản và khó bị phát hiện ngay lập tức.
- Vượt qua các hàng rào an ninh truyền thống: Nhiều hệ thống lọc email và phần mềm diệt virus được thiết kế để phát hiện các URL độc hại dạng văn bản. Tuy nhiên, một mã QR về bản chất chỉ là một tệp hình ảnh. Kẻ gian có thể dễ dàng gửi một email chứa mã QR độc hại mà không bị các bộ lọc bảo mật chặn lại.
Hướng dẫn quét mã QR an toàn
Trước ma trận cạm bẫy, việc trang bị kiến thức để tự bảo vệ mình là điều tối quan trọng. Mỗi người dân và doanh nghiệp cần trở thành một chuyên gia an ninh cho chính mình.
Đối với người dùng cá nhân
- Kiểm tra tính vật lý: Trước khi quét bất kỳ mã QR nào ở nơi công cộng, hãy quan sát kỹ. Nó có phải là một miếng dán không? Có dấu hiệu bị dán đè lên một mã QR khác không? Bề mặt có đồng nhất với vật liệu xung quanh không?
- Sử dụng tính năng xem trước URL: Nhiều điện thoại thông minh hiện nay (đặc biệt là iPhone) sẽ hiển thị một phần đường link trước khi bạn quyết định truy cập. Hãy đọc kỹ đường link này. Nếu nó có vẻ lạ, chứa các ký tự ngẫu nhiên, hoặc là một tên miền bạn không nhận ra, tuyệt đối không truy cập.
- Cẩn trọng với các url rút gọn: Các dịch vụ như bit.ly, tinyurl.com có thể che giấu một đường link độc hại. Hãy cực kỳ cảnh giác nếu mã QR dẫn đến một liên kết dạng này.
- Không bao giờ nhập thông tin nhạy cảm: Nguyên tắc vàng là: không bao giờ nhập mật khẩu, thông tin thẻ tín dụng hay dữ liệu cá nhân vào một trang web mà bạn được dẫn đến từ một mã QR không rõ nguồn gốc. Các ngân hàng và tổ chức uy tín không bao giờ yêu cầu bạn làm điều này.
- Cài đặt ứng dụng bảo mật: Sử dụng một ứng dụng diệt virus và bảo mật uy tín trên điện thoại. Nhiều ứng dụng có tính năng quét và cảnh báo các mã QR hoặc đường link nguy hiểm.
>>> Xem thêm: Cách Bật Tính Năng Quét Mã QR Wifi Ẩn Trên Điện Thoại Samsung Không Phải Ai Cũng Biết
Đối với chủ doanh nghiệp và cơ sở kinh doanh
- Nói "không" với quà tặng không rõ nguồn gốc: Hãy tỉnh táo trước những lời đề nghị tài trợ vật chất có gắn logo, thương hiệu lạ, đặc biệt là các tên miền đã được cơ quan Công an cảnh báo.
- Thường xuyên kiểm tra mã QR của chính mình: Định kỳ kiểm tra các mã QR thanh toán, menu, thông tin tại cơ sở của bạn để đảm bảo chúng không bị dán đè hoặc thay thế.
- Đào tạo nhân viên: Phổ biến kiến thức về các thủ đoạn lừa đảo này cho nhân viên để họ cùng nâng cao cảnh giác và có thể cảnh báo khách hàng khi cần thiết.
- Minh bạch hóa thông tin: Nếu bạn sử dụng mã QR, hãy hiển thị rõ ràng url đầy đủ bên dưới mã để khách hàng có thể đối chiếu.
Khi lỡ sa bẫy, cần làm gì?
Nếu bạn nghi ngờ mình đã quét phải một mã QR độc hại, hãy bình tĩnh và thực hiện ngay các bước sau:
- Ngắt kết nối mạng: Tắt ngay Wifi và dữ liệu di động để ngăn chặn việc truyền dữ liệu.
- Thay đổi mật khẩu: Truy cập ngay vào các tài khoản quan trọng (ngân hàng, email, mạng xã hội) bằng một thiết bị an toàn khác và thay đổi mật khẩu.
- Kiểm tra tài khoản ngân hàng: Rà soát các giao dịch gần đây để phát hiện bất kỳ hoạt động bất thường nào.
- Quét virus toàn bộ thiết bị: Sử dụng phần mềm bảo mật để quét và gỡ bỏ các ứng dụng độc hại.
- Trình báo cơ quan công an: Báo cáo ngay sự việc cho cơ quan công an gần nhất để được hỗ trợ và giúp ngăn chặn kẻ lừa đảo tiếp tục gây hại cho người khác.
Lời kết
Công nghệ luôn là con dao hai lưỡi. Mã QR mang lại sự tiện lợi vượt bậc, nhưng cũng mở ra những cánh cửa mới cho tội phạm mạng. Cuộc chiến chống lại loại tội phạm này không chỉ là trách nhiệm của riêng lực lượng chức năng mà đòi hỏi sự chung tay của cả cộng đồng.
Bằng cách nâng cao nhận thức, trang bị kiến thức và luôn giữ một tâm thế "kiểm tra trước khi quét", chúng ta có thể tận dụng những lợi ích của công nghệ mà vẫn giữ an toàn cho bản thân và tài sản của mình trong thế giới số đầy biến động.
