Chiêu lừa ‘quét QR tặng tiền’ để dụ cài mã độc

Trên mạng xã hội, một số người cho biết nhận được các tấm thẻ nhựa in những con số 30.000, 50.000, 100.000, được treo trước cửa nhà hoặc trên xe máy. Theo thông tin trên thẻ, người dân muốn nhận số tiền tương ứng cần quét mã QR để “gặp bộ phận chăm sóc khách hàng”, nhập thông tin thẻ cũng như nạp vào 50 nghìn đồng.

Vì sao kẻ gian chọn dùng mã QR?

Mã QR về mặt hiển thị có dạng hình vuông, chứa nhiều ô vuông nhỏ bên trong, được sắp xếp không theo quy tắc, nhằm “nén” một nội dung nào đó, thường là đường link trang web hoặc đoạn mã dưới dạng văn bản. Mã này xuất hiện từ lâu, nhưng trở nên phổ biến từ đại dịch Covid-19 do nhu cầu tương tác không chạm.

Theo ông Vũ Ngọc Sơn, Giám đốc công nghệ tại công ty an ninh mạng NSC, QR code chỉ có thể được giải mã và hiển thị nội dung thông qua các máy quét chuyên dụng, hoặc phổ thông hơn là qua camera điện thoại. Mắt người không thể đọc được nội dung của mã và khó phân biệt được các QR khác nhau. Mã cũng giúp việc truy cập một đường link dễ dàng hơn việc phải gõ lại địa chỉ.

“Lợi dụng yếu tố về mặt hiển thị nói trên, cùng sự phổ biến của QR code, kẻ lừa đảo có thể mã hóa các đường link hoặc số tài khoản giả mạo thành mã QR để qua mặt người dùng”, ông Sơn nói. Nếu không để ý, người dùng có thể quét và truy cập link xấu, hoặc chuyển tiền tới số tài khoản giả mạo mà không hay biết.

Theo Cofense, trước đây mã QR không phổ biến trong các cuộc tấn công mạng, do chúng gặp hạn chế về khả năng tương tác. Người dùng sẽ không thể truy cập trực tiếp nội dung độc hại qua QR, mà phải sử dụng công cụ quét.

Tuy nhiên so với đường link độc hại truyền thống, QR code có lợi thế là có thể chèn trực tiếp vào email, tin nhắn mà không bị các bộ lọc chặn lại, từ đó dễ dàng tiếp cận người dùng. Ngoài ra, việc phải quét bằng camera cũng khiến phần lớn người dùng sẽ truy cập bằng điện thoại và kết nối di động, giúp kẻ gian tránh được hàng rào bảo vệ trong môi trường doanh nghiệp, vốn chỉ được trang bị cho máy tính.

“Trước đây, chúng tôi chưa từng ghi nhận chiến dịch tấn công lớn nào sử dụng mã QR. Điều này cho thấy các nhóm tin tặc có thể đang thử nghiệm tính hiệu quả của phương pháp tấn công mới này”, Cofense đánh giá.

Cách phòng tránh

Theo chuyên gia Vũ Ngọc Sơn, người dùng không cần quá lo lắng về việc quét QR, vì bản chất QR code không phải mã độc tấn công trực tiếp mà chỉ là trung gian để truyền tải nội dung. “Người dùng có bị tấn công hay không phụ thuộc vào cách xử lý nội dung sau khi máy quét ánh xạ từ QR code ra nội dung ban đầu”, ông Sơn nói.

Tuy nhiên, ông cũng cảnh báo tình trạng một số ứng dụng quét hiện nay hỗ trợ việc tự động xử lý nội dung. Nếu vô tình quét phải QR code độc hại mà không có hàng rào bảo vệ, chúng có thể khiến người dùng bị tấn công lập tức. Một số QR chuyển tiền có thể được quét và xử lý ngay trên ứng dụng ngân hàng. Trong trường hợp đó, người dùng cần kiểm tra kỹ với bên nhận tiền để tránh chuyển nhầm.

Với đường link thông thường, ông Sơn khuyến nghị người dùng có thể sử dụng camera mặc định của thiết bị. Lúc này, máy sẽ chỉ hiển thị đường link hoặc số tài khoản, và quyền tương tác là do người dùng. “Sau khi quét, cần xem đường link xem có bắt đầu với https và có phải tên miền quen thuộc không. Nếu không, tuyệt đối không bấm vào”, ông Sơn nói.

Còn trong môi trường doanh nghiệp, các chuyên gia tại Cofense cho rằng các tổ chức cần đào tạo nhân viên không quét mã QR trong email, hạn chế nguy cơ bị tấn công và giúp tài khoản của họ được an toàn.

Thực tế, mã QR này dẫn tới một website đánh bạc và cá cược trái phép. Ngoài ra, lấy lý do bị chặn link, trang này cũng đề nghị người dùng tải ứng dụng qua file apk với máy Android hoặc file cấu hình với máy iOS.

Theo ông Vũ Ngọc Sơn, chuyên gia bảo mật của Hiệp hội an ninh mạng quốc gia, mã QR là hình thức mã hóa cho các thông tin khác như đường link, số tài khoản hay một dạng dữ liệu định dạng theo yêu cầu. Hành động quét QR không làm cho điện thoại lập tức nhiễm mã độc hay khiến người dùng bị mất tiền trong tài khoản.

Tuy nhiên, nếu quét và truy cập đường link, sau đó làm theo hướng dẫn và cài phần mềm lạ, điện thoại của người dùng có nguy cơ bị chiếm quyền điều khiển. Đây đều là phần mềm độc hại, không được cấp phép đưa lên các kho ứng dụng chính thức, do đó kẻ gian phải dùng chiêu này để lừa cài đặt, từ đó điều khiển thiết bị từ xa, theo dõi, đánh cắp dữ liệu cá nhân, thông tin tài khoản ngân hàng.

Công an TP HCM cho biết đang xác minh sự việc, đồng thời cảnh báo người dân cẩn thận trước chiêu trò trên. Người dân được khuyến cáo không nên cài app bên ngoài kho ứng dụng CH Play, Apple Store, không quét mã QR, click vào link lạ hoặc cung cấp mật khẩu, thông tin cá nhân cho người lạ. Người dùng cũng nên bật chức năng Google Play Protect để phát hiện ứng dụng độc hại, thường xuyên cập nhật hệ điều hành điện thoại, sử dụng phần mềm diệt virus có bản quyền và đặt hạn mức số tiền chuyển khoản trực tuyến để kịp thời hạn chế thiệt hại.

Trước đó, Cục An toàn thông tin – Bộ Thông tin và Truyền thông, cũng cảnh báo về chiêu quét mã QR lừa đảo trong các bưu phẩm quà tặng. Kẻ gian gửi tặng các món đồ giá trị thấp với danh nghĩa tri ân khách hàng, sau đó dẫn dụ quét QR để nhận quà trị giá hàng triệu đồng. Nếu nghe theo, người dùng bị dẫn tới trang độc hại, trang mạo danh để nhập thông tin cá nhân, thông tin tài khoản, hoặc tải mã độc về thiết bị.

Hiện chưa có thống kê về nạn nhân của những chiêu trò này. Tuy nhiên, Cục An toàn thông tin khuyến nghị người dùng thận trọng khi quét mã, nhất là QR nơi công cộng hoặc chia sẻ qua mạng xã hội, email. Với mã dẫn tới website, cần xem kỹ đường link xem có bắt đầu với “https”, có phải tên miền quen thuộc và có xuất hiện ký tự lạ không.

Lưu Quý