Lừa đảo mã QR, thường được gọi là quishing, là chiêu dùng mã QR để dẫn bạn đến một website giả mạo nhằm đánh cắp mật khẩu, thông tin thẻ hoặc tiền. Vì mắt thường không đọc được mã QR, kẻ gian giấu đường link độc hại bên trong. Cách phòng vệ tốt nhất rất đơn giản: luôn kiểm tra phần xem trước đường link trước khi mở hoặc thanh toán.
Mã QR rất tiện lợi, và cũng chính vì thế mà tội phạm thích dùng chúng. Dưới đây là cách quishing hoạt động và cách nhận ra nó.
Quishing là gì?
Quishing là từ ghép giữa "QR" và "phishing" (lừa đảo giả mạo). Phishing là mọi chiêu trò giả danh một tổ chức đáng tin cậy, như ngân hàng, công ty giao hàng hay cơ quan nhà nước, để lừa bạn cung cấp thông tin nhạy cảm. Quishing làm điều tương tự, nhưng đường link giả được gửi qua mã QR thay vì một đường link có thể bấm trực tiếp.
Chiêu này hiệu quả với kẻ gian vì một số lý do:
- Bạn không nhìn thấy đường link. Mã QR dẫn đến ngân hàng thật hay bản sao giả mạo thì trông vẫn giống hệt nhau.
- Nó kéo bạn sang điện thoại. Trên màn hình nhỏ, việc kiểm tra thanh địa chỉ hay phát hiện một tên miền sai chính tả khó hơn nhiều.
- Nó có thể lọt qua bộ lọc. Bộ lọc email và tin nhắn khá giỏi phát hiện link đáng ngờ dạng chữ, nhưng link nằm trong hình ảnh thì khó bắt hơn.
- Mọi người tin mã QR. Chúng ta quét mã ở quán ăn, cửa hàng mỗi ngày nên hiếm khi dừng lại suy nghĩ.
Các cơ quan bảo vệ người tiêu dùng và ngân hàng ở nhiều quốc gia đã cảnh báo người dân về lừa đảo bằng mã QR, đặc biệt là mã giả dán trên máy thu phí đỗ xe, bảng thanh toán và trong email.
Mã QR lừa đảo thường xuất hiện ở đâu?
Quishing có thể xuất hiện ở hầu hết những nơi người ta quen nhìn thấy mã QR. Phổ biến nhất gồm:
- Nhãn dán trên đồ vật công cộng. Một mã giả dán đè lên mã thật trên máy thu phí đỗ xe, trạm sạc xe điện, trạm thuê xe đạp hay nhà chờ xe buýt.
- Quầy thanh toán. Mã QR thanh toán bị tráo ở cửa hàng hoặc sạp chợ, khiến tiền chuyển vào tài khoản kẻ gian thay vì người bán.
- Email. Thư báo mật khẩu sắp hết hạn, tài liệu cần ký hoặc tài khoản bị khóa, kèm mã QR để "khắc phục".
- Thư và giấy báo giao hàng. Phiếu báo giao hàng thất bại giả hoặc thư trông như văn bản chính thức, yêu cầu quét mã và đóng một khoản phí nhỏ.
- Tờ rơi và poster. Ưu đãi "ngon quá mức", như quà miễn phí hay giảm giá cực sâu, dẫn đến cửa hàng giả hoặc biểu mẫu thu thập dữ liệu.
- Mạng xã hội và tin nhắn. Mã được chia sẻ trong nhóm Zalo, Facebook hoặc tin nhắn riêng, thường kèm lời thúc giục gấp gáp.
Để xem thêm các tình huống thực tế, hãy đọc bài về những chiêu lừa đảo mã QR phổ biến.
Dấu hiệu nhận biết mã QR giả
Bạn không cần kỹ năng công nghệ để nhận ra phần lớn các vụ lừa đảo mã QR. Hãy để ý những dấu hiệu sau:
- Nhãn dán đè lên một mã khác. Lướt ngón tay qua mã. Nếu thấy gồ lên, mép bị bong hoặc trông mới hơn so với tấm biển xung quanh, hãy nghi ngờ.
- Đường link không khớp. Phần xem trước hiện tên miền không phải của tổ chức thật, viết sai chính tả kỳ lạ hoặc là một chuỗi ký tự ngẫu nhiên dài.
- Thúc giục hoặc đe dọa. "Tài khoản của bạn sẽ bị khóa hôm nay" hay "thanh toán trong vòng một giờ" là chiêu gây áp lực kinh điển.
- Yêu cầu đăng nhập hoặc thông tin thẻ. Máy thu phí đỗ xe, thực đơn hay phiếu giao hàng hầu như không bao giờ cần mật khẩu ngân hàng của bạn.
- Bắt tải ứng dụng bất ngờ. Hãy thật cẩn thận nếu mã QR yêu cầu cài ứng dụng, nhất là từ nguồn ngoài kho ứng dụng chính thức.
- Mã QR trong email yêu cầu đăng nhập. Dịch vụ hợp pháp thường để bạn đăng nhập bằng cách vào thẳng website hoặc ứng dụng của họ.
- Tên người nhận sai khi thanh toán. Nếu tên hiện trong ứng dụng ngân hàng không phải cửa hàng bạn đang trả tiền, hãy dừng lại.
Cách bảo vệ bản thân khỏi lừa đảo mã QR
Thói quen tốt khiến quishing kém hiệu quả hơn nhiều. Đây là danh sách kiểm tra thực tế:
- Đọc phần xem trước trước tiên. Camera hiển thị đường link trước khi mở. Dành hai giây để đọc tên miền.
- Khi nghi ngờ, hãy vào trực tiếp. Thay vì quét mã, tự gõ địa chỉ website của công ty hoặc mở ứng dụng chính thức.
- Kiểm tra người nhận trước khi trả tiền. Ứng dụng ngân hàng hiển thị ai sẽ nhận tiền. Hãy xác nhận đúng là doanh nghiệp đó. Bài hướng dẫn thanh toán QR an toàn giải thích chi tiết hơn.
- Không bao giờ nhập mật khẩu sau khi quét một mã lạ. Nếu trang yêu cầu đăng nhập, hãy đóng lại và đăng nhập qua ứng dụng chính thức.
- Bật xác thực hai bước. Kể cả khi mật khẩu bị đánh cắp, ứng dụng xác thực vẫn là một lớp chặn thứ hai.
- Cập nhật điện thoại thường xuyên. Bản cập nhật bảo mật vá những lỗ hổng mà trang độc hại có thể lợi dụng.
- Dùng công cụ quét có xem trước an toàn. Khi không chắc chắn, hãy quét bằng công cụ hiển thị địa chỉ đích trước khi mở.
Trên QR-TH, mọi link rút gọn đều được kiểm tra với Google Safe Browsing khi tạo và được kiểm tra lại mỗi đêm. Người truy cập còn thấy một trang chờ cho biết link sẽ dẫn đến đâu trước khi mở. Những công cụ như vậy rất hữu ích, nhưng hiệu quả nhất khi đi kèm sự tỉnh táo của chính bạn.
Phải làm gì nếu đã quét mã QR giả?
Nếu nhận ra mình vừa mở một trang đáng ngờ, hãy hành động nhanh nhưng bình tĩnh:
- Đóng trang và không nhập thêm bất cứ thông tin gì.
- Nếu đã gõ mật khẩu, hãy đổi ngay trên website thật, và ở mọi nơi khác bạn dùng cùng mật khẩu đó.
- Nếu đã nhập thông tin thẻ hoặc tài khoản ngân hàng, liên hệ ngân hàng ngay qua số tổng đài in trên thẻ hoặc trong ứng dụng chính thức.
- Nếu đã cài ứng dụng, hãy gỡ bỏ và chạy kiểm tra bảo mật trên điện thoại.
- Báo mã giả cho cửa hàng hoặc địa điểm để họ gỡ bỏ, và báo cơ quan chức năng nếu bị mất tiền.
Bài hướng dẫn từng bước phải làm gì sau khi quét mã QR độc hại sẽ giúp bạn chi tiết hơn.
Lời khuyên cho doanh nghiệp
Nếu bạn trưng bày mã QR, bạn có thể khiến kẻ gian khó ra tay hơn. Thường xuyên kiểm tra các mã đã in xem có bị dán đè không, hướng dẫn nhân viên nhận biết dấu hiệu bị can thiệp, và dùng mã QR động để theo dõi số lượt quét và cập nhật link nhanh chóng. In tên doanh nghiệp ngay cạnh mã thanh toán cũng giúp khách hàng xác nhận mình đang trả tiền đúng người.
Câu hỏi thường gặp (FAQ)
Quét mã QR có khiến điện thoại bị hack không?
Chỉ quét mã QR thì không khiến điện thoại bị hack. Nguy hiểm đến từ việc bạn làm tiếp theo: vào website giả, nhập thông tin hoặc cài ứng dụng. Hãy luôn kiểm tra đường link trước khi mở.
Làm sao biết một mã QR là giả?
Tìm nhãn dán đè lên mã khác, đọc kỹ phần xem trước đường link và cảnh giác với bất kỳ trang nào đòi mật khẩu, thông tin thẻ hoặc thanh toán gấp. Nếu không chắc, hãy vào thẳng website chính thức.
Mã QR trong email có an toàn không?
Hãy đặc biệt thận trọng. Mã QR trong email yêu cầu bạn đăng nhập, xác minh tài khoản hoặc đóng phí là chiêu phishing phổ biến. Hãy truy cập trực tiếp dịch vụ thay vì quét mã.
Nên báo lừa đảo mã QR cho ai?
Báo cho cửa hàng hoặc địa điểm nơi bạn thấy mã, liên hệ ngân hàng nếu liên quan đến tiền hoặc thông tin thẻ, và trình báo công an địa phương hoặc cơ quan bảo vệ người tiêu dùng.
Quishing lợi dụng việc người dùng quét mã mà không suy nghĩ. Chỉ cần dừng hai giây để đọc đường link thường đã đủ giữ bạn an toàn. Lần tới khi nghi ngờ một mã nào đó, hãy dùng công cụ quét mã QR online của QR-TH để xem mã thực sự dẫn đến đâu trước khi mở.