Những chiêu trò lừa đảo qua mã QR ngân hàng số và cách phòng tránh

Trong kỷ nguyên thanh toán số bùng nổ, mã QR (Quick Response) đã trở thành một phần không thể thiếu trong đời sống hàng ngày của người tiêu dùng và các hộ kinh doanh tại Việt Nam. Từ quán nước vỉa hè cho đến các trung tâm thương mại cao cấp, chỉ với một thao tác “quét”, giao dịch hoàn tất trong chớp mắt. Tuy nhiên, chính sự tiện lợi vượt trội và cơ chế “vô hình” của mã QR (mắt người không thể trực tiếp đọc được thông tin chứa bên trong) đã biến công cụ này thành “mảnh đất màu mỡ” cho tội phạm mạng.

Tại Sharebox, chúng tôi liên tục ghi nhận các cảnh báo từ các tổ chức an ninh mạng và ngân hàng thương mại về sự biến tướng khôn lường của các thủ đoạn lừa đảo qua mã QR. Nhằm giúp bạn đọc bảo vệ tài sản số của mình, bài viết dưới đây sẽ phân tích chi tiết bản chất của các chiêu trò này và cung cấp giải pháp phòng ngừa thực tế, chuẩn xác nhất.

1. Bản chất kỹ thuật: Vì sao mã QR dễ bị lợi dụng?

Về mặt kỹ thuật, mã QR thực chất là một chuỗi ký tự được mã hóa dưới dạng hình ảnh ma trận điểm ảnh đen trắng hai chiều. Chuỗi ký tự này có thể đại diện cho:

• Một tài khoản ngân hàng thụ hưởng (mã VietQR tiêu chuẩn).
• Một đường dẫn (URL) dẫn đến một trang web.
• Một lệnh thực thi tải xuống ứng dụng hoặc tệp dữ liệu.
• Thông tin kết nối mạng hoặc thông tin cá nhân.

Lỗ hổng lớn nhất không nằm ở thuật toán tạo mã QR, mà nằm ở hành vi của người dùng. Khi nhìn vào một đường link truyền thống, chúng ta có thể nhận biết được tên miền khả nghi. Nhưng khi nhìn vào một mã QR, mắt thường hoàn toàn bất lực. Sự tò mò hoặc thói quen “quét trước, kiểm tra sau” đã vô tình dẫn dụ nạn nhân vào những cái bẫy tinh vi.

2. Điểm mặt các chiêu trò lừa đảo qua mã QR phổ biến hiện nay

Chiêu trò 1: Dán đè mã QR tại các cửa hàng, quầy thanh toán

Đây là thủ đoạn nhắm trực tiếp vào các cửa hàng kinh doanh nhỏ lẻ, quán cà phê, tiệm tạp hóa – nơi thường in sẵn mã QR ngân hàng và dán tại bàn hoặc quầy thu ngân. Kẻ gian lợi dụng lúc quán đông khách, nhân viên lơ là để dán đè mã QR cá nhân của chúng lên trên mã QR của cửa hàng.

Hậu quả là người mua hàng quét mã thanh toán bình thường, tiền bị trừ, nhưng dòng tiền lại chảy thẳng vào túi kẻ gian. Chủ quán không nhận được tiền, dẫn đến mâu thuẫn giữa người mua và người bán, trong khi kẻ lừa đảo đã kịp thời rút tiền hoặc tẩu tán qua các tài khoản “rác”.

Chiêu trò 2: Quishing (QR Phishing) – Dẫn dụ nạn nhân vào trang web giả mạo

Thuật ngữ Quishing (kết hợp giữa QR và Phishing) ám chỉ hình thức tấn công phi kỹ thuật nhằm đánh cắp danh tính. Kẻ lừa đảo thường đóng giả làm nhân viên ngân hàng, sàn thương mại điện tử, hoặc cán bộ cơ quan nhà nước, gửi email/tin nhắn/thư mời kèm mã QR với các lý do như:

• “Quét mã để nâng cấp hạn mức tín dụng hoặc cập nhật thông tin sinh trắc học theo quy định mới.”
• “Quét mã để nhận quà tri ân/tiền hoàn trả từ chính sách bảo hiểm.”
• “Quét mã để xác minh giao dịch đang bị tạm giữ.”

Khi quét mã, trình duyệt của nạn nhân sẽ tự động mở ra một trang web có giao diện giống hệt ngân hàng số (Internet Banking) hoặc cổng dịch vụ công. Nếu người dùng nhập tên đăng nhập, mật khẩu và đặc biệt là mã OTP, đối tượng lừa đảo lập tức chiếm đoạt tài khoản và vét sạch tiền trong vài giây.

Chiêu trò 3: Cài cắm mã độc chiếm quyền kiểm soát thiết bị (Trojan / RAT)

Tinh vi và nguy hiểm hơn, một số mã QR được thiết kế để kích hoạt việc tải xuống một tệp tin chứa mã độc (thường là tệp tin .apk trên hệ điều hành Android). Kẻ lừa đảo thường ngụy trang mã độc dưới danh nghĩa ứng dụng “Dịch vụ công”, “Cổng thông tin thuế điện tử”, hoặc “Trợ lý hỗ trợ khách hàng”.

Sau khi người dùng quét mã và đồng ý cài đặt, ứng dụng này sẽ yêu cầu cấp quyền trợ năng (Accessibility Service). Khi quyền này được kích hoạt, kẻ xấu có thể theo dõi mọi thao tác trên màn hình, đọc tin nhắn OTP và thậm chí điều khiển điện thoại từ xa để tự thực hiện các lệnh chuyển tiền mà chủ sở hữu không hề hay biết.

Chiêu trò 4: Mã QR giả mạo trong các biên lai giao dịch “chuyển khoản nhầm”

Kẻ lừa đảo cố tình chuyển một khoản tiền nhỏ vào tài khoản của bạn, sau đó liên hệ khóc lóc báo rằng đã chuyển nhầm và xin lại. Chúng gửi một mã QR kèm lời nhắn: “Chị quét mã này để tiền tự động hoàn về tài khoản của em nhé”. Thực chất, mã QR này không phải mã nhận tiền hoàn mà là liên kết xác thực một giao dịch trừ tiền từ ví điện tử của nạn nhân hoặc liên kết dẫn tới web lừa đảo.

3. Chiến lược phòng ngừa toàn diện từ chuyên gia Sharebox

Để tự bảo vệ mình trong không gian số, Sharebox khuyến nghị độc giả nên áp dụng quy tắc phòng ngừa nhiều lớp, phân tách theo hai nhóm đối tượng cụ thể:

Dành cho người tiêu dùng cá nhân

• Sử dụng tính năng quét QR ngay trong ứng dụng ngân hàng: Thay vì dùng ứng dụng Camera mặc định của điện thoại hoặc các ứng dụng bên thứ ba để quét mã QR tài chính, hãy mở trực tiếp App ngân hàng số. Các ứng dụng ngân hàng hiện nay có lớp lọc bảo mật giúp ngăn chặn việc mở các liên kết độc hại ngoài hệ thống.
• Quy tắc “Dừng lại 3 giây để xác minh”: Trước khi bấm nút xác nhận chuyển tiền hoặc nhập mã OTP/Sinh trắc học, hãy kiểm tra kỹ 3 thông tin cốt lõi:
  (1) Tên người thụ hưởng, (2) Số tài khoản, và (3) Số tiền cần chuyển. Không bao giờ chuyển khoản nếu tên chủ tài khoản hiển thị khác với người bạn đang giao dịch.
• Cảnh giác tối đa với mã QR gửi qua mạng xã hội: Không bao giờ quét mã QR được gửi từ người lạ qua Facebook Messenger, Zalo, Telegram… bất kể lời đề nghị hấp dẫn đến mức nào.
• Nguyên tắc vàng về bảo mật: Không một ngân hàng hay cơ quan nhà nước nào yêu cầu người dân quét mã QR để “cập nhật căn cước công dân” hay “nhập mã OTP”. Mọi yêu cầu liên quan đến OTP đều là hành vi lừa đảo.

Dành cho các chủ cơ sở kinh doanh, điểm bán hàng

• Kiểm tra hiện trường định kỳ: Thường xuyên rà soát các bảng mã QR đặt tại cửa hàng để phát hiện kịp thời nếu có dấu hiệu bị dán đè, bóc tách hoặc thay thế. Nên sử dụng bảng mica bảo vệ hoặc in mã QR tích hợp cố định.
• Sử dụng thiết bị âm thanh thông báo (Loa thanh toán): Đầu tư các thiết bị loa thông báo giao dịch thành công kết nối trực tiếp với tài khoản ngân hàng. Khi tiền thực sự về tài khoản của chủ quán, loa mới phát tín hiệu, giúp loại bỏ hoàn toàn rủi ro khách quét nhầm mã của kẻ gian hoặc dùng hình ảnh chuyển tiền giả.
• Ứng dụng mã QR động: Nếu có điều kiện, hãy sử dụng giải pháp hiển thị mã QR động trên màn hình máy POS/máy tính tiền thay vì mã QR tĩnh in trên giấy. Mã QR động thay đổi theo từng đơn hàng cụ thể, vừa chính xác số tiền vừa loại trừ khả năng bị làm giả.

4. Quy trình xử lý khẩn cấp khi nghi ngờ bị lừa quét mã QR độc hại

Nếu bạn vô tình quét phải một mã QR khả nghi và nhận thấy thiết bị có dấu hiệu lạ, hãy lập tức thực hiện các bước sau theo thứ tự ưu tiên:

• Bước 1: Ngắt kết nối mạng ngay lập tức: Bật chế độ máy bay (Airplane Mode) hoặc tắt toàn bộ kết nối Wi-Fi và Dữ liệu di động (4G/5G) để ngăn kẻ xấu truyền lệnh điều khiển từ xa hoặc gửi OTP về máy chủ của chúng.
• Bước 2: Khóa tài khoản ngân hàng: Sử dụng một thiết bị khác (hoặc điện thoại của người thân) để gọi ngay đến hotline khẩn cấp của ngân hàng yêu cầu khóa tài khoản, khóa thẻ và khóa dịch vụ ngân hàng điện tử.
• Bước 3: Khôi phục cài đặt gốc: Nếu nghi ngờ đã tải phải tệp mã độc (file APK), hãy sao lưu dữ liệu cá nhân quan trọng (hình ảnh, tài liệu) và tiến hành khôi phục cài đặt gốc (Factory Reset) điện thoại để xóa sạch mã độc hoàn toàn.
• Bước 4: Trình báo cơ quan chức năng: Thu thập ảnh chụp màn hình, lịch sử giao dịch và mã QR lừa đảo để gửi đơn tố giác tới cơ quan Công an hoặc Cục An toàn thông tin (Bộ Thông tin và Truyền thông).

Lời kết

Công nghệ sinh ra để phục vụ cuộc sống tiện ích hơn, nhưng sự an toàn luôn bắt đầu từ ý thức của mỗi cá nhân. Mã QR không có lỗi, lỗi nằm ở cách kẻ xấu thao túng tâm lý và sự chủ quan của chúng ta. Sharebox hy vọng bài phân tích chi tiết này sẽ là chiếc “lá chắn” hữu ích, giúp bạn và người thân luôn tỉnh táo, tự tin làm chủ tài chính trong thế giới số hóa không ngừng vận động.