Cảnh báo hình thức tấn công Quishing: Chiêu trò lừa đảo qua mã QR giả mạo bùng nổ trên diện rộng
Lợi dụng thói quen quét mã QR thanh toán và gọi món của người dân, tội phạm mạng dán đè mã QR độc hại tại bãi đỗ xe, nhà hàng và gửi thư điện tử để đánh cắp tài khoản ngân hàng.
Điểm nhấn then chốt (Key Takeaways)
- Quishing (QR Code Phishing) vượt qua các bộ lọc email bảo mật vì hình ảnh mã QR không chứa liên kết văn bản độc hại rõ ràng.
- Thủ đoạn dán đè mã QR độc hại lên mã QR chính thức tại các trụ thanh toán tiền đỗ xe và quầy thu ngân quán ăn.
- Trang web giả mạo yêu cầu người dùng đăng nhập tài khoản ngân hàng hoặc cấp quyền truy cập danh bạ điện thoại.
- Biện pháp phòng ngừa: Luôn kiểm tra kỹ đường dẫn URL hiển thị trên ứng dụng máy ảnh trước khi bấm xác nhận truy cập.
1. Tại sao mã QR trở thành công cụ tấn công lý tưởng của tin tặc?
Kể từ sau đại dịch, mã QR đã trở thành một phần quen thuộc không thể thiếu trong đời sống hàng ngày của người dân Việt Nam: từ quét mã chuyển khoản tại chợ dân sinh, quét mã xem thực đơn nhà hàng đến thanh toán tiền gửi xe. Tuy nhiên, mắt thường của con người hoàn toàn không thể đọc hiểu được nội dung của các ma trận điểm đen trắng trong mã QR.
Lợi dụng điều này, các tổ chức lừa đảo đã phát triển hình thức tấn công mang tên "Quishing" (kết hợp giữa QR Code và Phishing). Chúng in các miếng dán mã QR độc hại và lén lút dán đè lên các mã QR chính thức tại các trạm sạc xe điện, cây ATM hay bàn ăn nhà hàng, điều hướng người quét sang các trang web giả mạo để chiếm đoạt tiền và thông tin cá nhân.
"Mã QR biến chiếc điện thoại của nạn nhân thành một công cụ tự động mở cửa cho kẻ lừa đảo. Người dùng quét mã trong trạng thái vội vã mà hầu như không bao giờ đọc kỹ tên miền hiển thị trên màn hình."
2. Thủ đoạn Quishing tinh vi qua email doanh nghiệp
Không chỉ diễn ra tại các địa điểm công cộng, Quishing đang trở thành kỹ thuật tấn công email doanh nghiệp phát triển nhanh nhất. Các hệ thống tường lửa email bảo mật (Secure Email Gateway) thường phân tích các liên kết siêu văn bản (hyperlink) và tệp đính kèm để chặn thư rác. Nhưng một bức ảnh mã QR nhúng trong file PDF thường dễ dàng vượt qua các bộ quét an ninh tự động này.
Bức thư giả mạo thông báo của phòng Nhân sự yêu cầu nhân viên "Quét mã QR để cập nhật thông tin bảo hiểm y tế hoặc bảng lương". Khi nhân viên dùng điện thoại cá nhân để quét, họ bị chuyển hướng đến trang đăng nhập Microsoft 365 giả mạo và dâng nộp tài khoản công ty cho kẻ gian.
3. Quy tắc an toàn bắt buộc khi quét mã QR
Để không trở thành nạn nhân của các vụ lừa đảo Quishing, người dùng cần ghi nhớ các nguyên tắc vàng sau:
1. **Quan sát bề mặt vật lý:** Dùng tay sờ kiểm tra xem mã QR có phải là miếng dán đè lên trên tấm biển gốc hay không trước khi quét.
2. **Đọc kỹ tên miền trước khi mở:** Ứng dụng máy ảnh mặc định trên iPhone và Android luôn hiển thị dòng địa chỉ web trước khi mở. Tuyệt đối không bấm nếu tên miền có đuôi lạ (như .xyz, .top) hoặc sai chính tả tên ngân hàng.
3. **Không bao giờ nhập mật khẩu ngân hàng qua link quét:** Các ngân hàng chính thống tại Việt Nam luôn yêu cầu xác thực trong ứng dụng Mobile Banking cài đặt sẵn chứ không bao giờ bắt đăng nhập lại mật khẩu trên trình duyệt web lạ.
Nguồn tin & Tài liệu tham khảo chính thống
Bài viết được tổng hợp, đối chiếu và biên dịch từ các ấn phẩm và báo cáo kỹ thuật:
- [1]The rise of Quishing: How QR code phishing is bypassing corporate defenses— (Forbes Cybersecurity)
- [2]FTC Consumer Alert: Scammers hide malicious links in QR codes to steal personal information— (Federal Trade Commission)
Ban biên tập Công nghệ Oloka.net
Bài viết được biên soạn và kiểm chứng độc lập bởi đội ngũ phóng viên công nghệ Oloka.net. Chúng tôi tuân thủ các nguyên tắc minh bạch dữ liệu và trích dẫn nguồn tin gốc. Mọi phản hồi xin vui lòng liên hệ tòa soạn.
