Email lừa đảo bằng mã QR yêu cầu bạn quét một mã, thường để "xác minh lại" tài khoản, ký tài liệu hoặc đặt lại mật khẩu. Kẻ tấn công dùng mã QR vì bộ lọc email có thể gặp khó khi đọc link nằm trong hình ảnh, và vì việc quét đưa bạn sang điện thoại, nơi trang đăng nhập giả khó bị phát hiện hơn.
Lừa đảo qua email (phishing) đã tồn tại lâu như chính email, nhưng biến thể dùng mã QR, thường gọi là quishing, là một chiêu mới hơn. Thay vì một link màu xanh mà bạn có thể di chuột lên để xem, chỉ có một hình vuông. Bài viết này giải thích vì sao kẻ tấn công thích cách này, các email như vậy thường trông thế nào, và cả nhân viên lẫn doanh nghiệp có thể làm gì để tự bảo vệ.
Vì sao kẻ tấn công đặt mã QR trong email
Từ góc nhìn của kẻ gian, mã QR giải quyết cùng lúc nhiều vấn đề.
- Nó che giấu link. Con người không đọc được mã QR, nên không thể nhận ra một địa chỉ web đáng ngờ chỉ bằng một cái liếc mắt.
- Nó có thể lọt qua bộ lọc. Nhiều công cụ bảo mật email kiểm tra link dạng chữ với danh sách trang độc hại đã biết. Link nằm trong hình ảnh khó kiểm tra hơn, dù các công cụ hiện đại ngày càng quét cả hình ảnh.
- Nó đưa bạn sang thiết bị khác. Bạn đọc email trên laptop công ty được bảo vệ bởi hệ thống bảo mật, nhưng lại quét bằng điện thoại cá nhân có thể ít lớp bảo vệ hơn.
- Màn hình nhỏ che bớt chi tiết. Trên điện thoại, thanh địa chỉ ngắn, và trang đăng nhập giả trông rất giống trang thật.
- Nó tạo cảm giác hiện đại và chính thức. Ngân hàng, hãng hàng không và nhà tuyển dụng đều dùng mã QR, nên một mã trong email không tự động gây nghi ngờ.
Email lừa đảo mã QR trông như thế nào
Các email này rất đa dạng, nhưng thường theo những khuôn mẫu quen thuộc. Các chủ đề hay gặp gồm:
- "Mật khẩu của bạn hết hạn hôm nay. Quét mã để giữ mật khẩu hiện tại."
- "Cần kích hoạt lại xác thực đa yếu tố. Hãy quét bằng điện thoại."
- "Bạn có một tài liệu được chia sẻ đang chờ. Quét để xem."
- "Thông tin lương hoặc thưởng của bạn đã được cập nhật."
- "Một bưu kiện hoặc hóa đơn cần bạn xác nhận."
Các dấu hiệu cảnh báo điển hình:
- Sự gấp gáp: hạn chót ngắn hoặc lời đe dọa khóa tài khoản.
- Người gửi đáng ngờ: tên hiển thị là "Bộ phận IT" hoặc một thương hiệu nổi tiếng, nhưng địa chỉ email không khớp.
- Ít chữ, mã to: nội dung chủ yếu là một hình ảnh có mã QR kèm một câu hướng dẫn ngắn.
- Lời chào chung chung thay vì tên của bạn.
- Trang đăng nhập sau khi quét: mã dẫn tới trang yêu cầu email công việc và mật khẩu, hoặc mã OTP.
Điểm cuối cùng là quan trọng nhất. Một bộ phận IT thật hiếm khi cần bạn đăng nhập qua mã QR được gửi bằng email.
Nên làm gì khi nhận được email như vậy
Nếu bạn là nhân viên và nhận được email có mã QR đáng ngờ:
- Đừng quét bằng điện thoại.
- Đừng chuyển tiếp cho đồng nghiệp để hỏi thật hay giả, vì có thể ai đó sẽ quét.
- Báo cáo bằng nút báo cáo lừa đảo của công ty hoặc liên hệ IT qua kênh đã biết.
- Tự kiểm tra tài khoản. Nếu email nhắc tới mật khẩu hay tài liệu, hãy vào thẳng dịch vụ qua địa chỉ hoặc ứng dụng quen thuộc.
- Xóa email sau khi đã báo cáo, nếu quy trình của công ty yêu cầu.
Nếu bạn đã quét mã và nhập thông tin, hãy hành động nhanh. Đổi mật khẩu, báo ngay cho IT và làm theo các bước trong bài hướng dẫn xử lý khi lỡ quét mã QR độc hại.
Ngoài công việc, các thói quen này vẫn áp dụng. Nếu muốn biết một mã dẫn đến đâu mà không mở nó, hãy dùng công cụ quét có hiển thị trang đích trước, như công cụ quét mã QR trực tuyến của QR-TH, để xem trước khi bấm.
Doanh nghiệp bảo vệ nhân viên như thế nào
Không có công cụ đơn lẻ nào chặn được mọi chiêu lừa đảo mã QR. Bảo vệ tốt cần kết hợp công nghệ, quy trình và con người.
Công cụ email và bảo mật
- Dùng giải pháp bảo mật email có thể phát hiện mã QR trong hình ảnh, tệp đính kèm và kiểm tra link bên trong
- Duy trì tính năng kiểm tra link và duyệt web an toàn trên thiết bị công ty và, khi phù hợp, trên điện thoại được quản lý
- Đánh dấu rõ email đến từ bên ngoài tổ chức, đặc biệt là những email dùng tên nghe như nội bộ
Bảo vệ đăng nhập chặt chẽ
- Bắt buộc xác thực đa yếu tố cho mọi tài khoản nhân viên
- Ưu tiên các phương thức chống lừa đảo, như passkey hoặc khóa bảo mật, khi có thể, vì mã dùng một lần vẫn có thể bị lừa lấy trên trang giả
- Khuyến khích dùng ứng dụng xác thực thay vì tin nhắn SMS. Bài viết về xác thực hai yếu tố giải thích các lựa chọn.
- Giám sát các lần đăng nhập bất thường, như từ quốc gia hoặc thiết bị mới
Quy trình rõ ràng
- Đặt thành quy định ai cũng biết: IT sẽ không bao giờ yêu cầu nhân viên đăng nhập qua mã QR trong email
- Cung cấp một cách đơn giản để báo cáo tin nhắn đáng ngờ, và cảm ơn người sử dụng nó
- Có kế hoạch đặt lại mật khẩu và kết thúc phiên đăng nhập nhanh chóng khi ai đó báo cáo sự cố
Đào tạo dễ nhớ
- Đưa các ví dụ email lừa đảo mã QR trông như thật vào buổi đào tạo
- Dạy một câu hỏi đơn giản: "Vì sao việc này lại cần mã QR?"
- Tổ chức diễn tập lừa đảo có cả mã QR, sau đó phản hồi thân thiện thay vì đổ lỗi
Nhân viên cảm thấy an toàn khi báo lỗi sẽ báo nhanh hơn, giúp hạn chế thiệt hại.
Mã QR hợp lệ trong email
Không phải mã QR nào trong email cũng độc hại. Vé sự kiện, thẻ lên máy bay và một số thao tác ghép nối đăng nhập dùng mã QR một cách hợp lệ. Khác biệt thường nằm ở ngữ cảnh: bạn đang chờ email đó, nó liên quan đến việc bạn đã làm, và mã là thứ bạn xuất trình hoặc dùng trong một ứng dụng quen thuộc, chứ không phải lý do để gõ mật khẩu vào một trang lạ.
Doanh nghiệp gửi mã QR thật có thể giúp người nhận bằng cách giải thích mã dùng để làm gì, đặt sẵn một link dễ nhận biết bên cạnh để thay thế, và dùng tên miền đáng tin cậy.
FAQ
Vì sao email lừa đảo dùng mã QR thay vì link?
Vì link bị che giấu khỏi cả con người lẫn một số bộ lọc, và vì việc quét đưa nạn nhân sang điện thoại, nơi các lớp bảo mật và dấu hiệu trực quan thường yếu hơn.
Nhà cung cấp email có chặn được lừa đảo mã QR không?
Nhiều dịch vụ bảo mật email hiện đã quét hình ảnh để tìm mã QR và kiểm tra link, nhưng không dịch vụ nào bắt được tất cả. Sự cẩn trọng của chính bạn vẫn là một lớp bảo vệ quan trọng.
Quét mã QR trong email từ ngân hàng có an toàn không?
Hãy thận trọng. Ngân hàng hiếm khi yêu cầu bạn đăng nhập qua mã QR trong email. Thay vào đó, hãy mở ứng dụng chính thức của ngân hàng hoặc tự gõ địa chỉ trang web.
Nếu đã nhập mật khẩu công việc sau khi quét thì phải làm gì?
Đổi mật khẩu ngay lập tức, báo cho bộ phận IT hoặc bảo mật, và để họ kiểm tra các lần đăng nhập đáng ngờ. Tốc độ tạo ra khác biệt rất lớn.
Nhìn trước khi mở
Lừa đảo mã QR thành công khi người dùng quét mà không suy nghĩ. Hãy biến việc kiểm tra thành thói quen: khi một mã bất ngờ xuất hiện, dùng công cụ quét mã QR trực tuyến của QR-TH để xem nó dẫn đến đâu trước khi mở bất cứ thứ gì.