Mã QR ngày càng xuất hiện phổ biến trong đời sống, từ thanh toán, truy cập website đến nhận thông tin sản phẩm và các chương trình khuyến mãi. Sự tiện lợi này cũng đang bị tội phạm công nghệ cao lợi dụng để xây dựng những kịch bản lừa đảo mới. Theo thông tin cảnh báo từ Cục An ninh mạng, dịp Tết Trung thu là thời điểm các đối tượng gia tăng hoạt động lợi dụng nhu cầu mua sắm, tặng quà để gửi những bưu phẩm có chứa mã QR độc hại tới người dân.

Bưu phẩm miễn phí và chiếc bẫy mang tên mã QR

Ảnh minh họa.

Công an tại nhiều địa phương như Hưng Yên, Quảng Ngãi, Đồng Nai... đã phát cảnh báo về thủ đoạn này. Kịch bản thường bắt đầu từ việc đối tượng thu thập những dữ liệu cá nhân đã bị rò rỉ, sau đó lựa chọn nạn nhân và gửi các gói quà đến tận nhà. Bên trong có thể là bánh Trung thu, trà, thiệp tri ân hoặc voucher giảm giá. Cách tiếp cận này đánh vào tâm lý tò mò và mong muốn nhận được ưu đãi của người dùng, đồng thời khiến nạn nhân dễ tin rằng món quà thực sự đến từ một doanh nghiệp hoặc thương hiệu quen thuộc.

Để tăng độ tin cậy, bên ngoài bưu phẩm thường được dán những dòng chữ như “Quà tri ân khách hàng thân thiết”, hoặc sử dụng logo, hình ảnh nhận diện giống các sàn thương mại điện tử và thương hiệu lớn. Bao bì được thiết kế càng giống một chương trình chăm sóc khách hàng thông thường, khả năng người nhận nghi ngờ ngay từ đầu càng thấp.

Điểm mấu chốt nằm bên trong hộp quà hoặc tờ hướng dẫn đi kèm. Kẻ gian có thể in một mã QR và yêu cầu người nhận quét với các lý do như “xác thực nhận quà”, “nhận tiền lì xì” hoặc kích hoạt voucher. Với thói quen sử dụng QR đã trở nên phổ biến, nhiều người có thể đưa điện thoại lên quét mà không kiểm tra nguồn gốc của mã.

Sau khi quét, nạn nhân có thể được chuyển tới một website giả mạo có giao diện giống trang ngân hàng, sàn thương mại điện tử hoặc một dịch vụ quen thuộc. Tại đây, người dùng được yêu cầu nhập thông tin cá nhân, số căn cước công dân, tên đăng nhập, mật khẩu hoặc mã OTP. Nếu làm theo, những thông tin này có thể bị kẻ gian thu thập và sử dụng cho các bước lừa đảo tiếp theo.

Một kịch bản khác nguy hiểm hơn là mã QR dẫn tới trang yêu cầu tải ứng dụng để “kích hoạt quà tặng” hoặc “nhận voucher”. Người dùng có thể được hướng dẫn tải tệp ứng dụng có đuôi .apk từ một đường link bên ngoài kho ứng dụng chính thức. Nếu cài đặt, phần mềm độc hại có thể tìm cách theo dõi thao tác trên thiết bị, thu thập dữ liệu hoặc hỗ trợ đối tượng kiểm soát thiết bị từ xa.

Không ít trường hợp, kẻ gian cũng sử dụng lý do phải đóng một khoản phí nhỏ để hoàn tất việc nhận quà. Các khoản tiền có thể được gọi là phí vận chuyển, phí kích hoạt hoặc phí xác nhận. Số tiền ban đầu có thể không lớn, nhưng mục tiêu thực sự là khiến nạn nhân bước qua rào cản tâm lý đầu tiên. Sau khi đã thanh toán hoặc cung cấp thông tin, đối tượng có thể tiếp tục đưa ra những yêu cầu khác hoặc cắt đứt liên lạc.

Theo cơ quan công an, một số dấu hiệu cần đặc biệt cảnh giác gồm việc nhận quà từ người gửi không rõ danh tính; món quà được quảng cáo là miễn phí nhưng lại yêu cầu cung cấp mật khẩu, OTP hoặc thông tin nhạy cảm; mã QR dẫn tới đường link có ký tự bất thường; hoặc người nhận bị yêu cầu chuyển phí trước khi được nhận quà.

Điều đáng chú ý là mã QR bản thân không phải một loại mã độc. Về mặt kỹ thuật, đây là dạng mã hình vuông chứa các ô nhỏ, được sử dụng để mã hóa một nội dung như đường link website hoặc đoạn văn bản. Người dùng cần camera hoặc công cụ quét để đọc nội dung được mã hóa. Chính đặc điểm này khiến người bình thường khó biết mã QR đang chứa nội dung gì nếu chỉ nhìn bằng mắt.

Theo chuyên gia an ninh mạng Vũ Ngọc Sơn, sự phổ biến và đặc điểm hiển thị của QR code đang được kẻ lừa đảo tận dụng. Người dùng không thể nhìn trực tiếp để phân biệt một mã QR dẫn tới website hợp pháp với mã QR dẫn tới trang độc hại. Đối tượng có thể mã hóa đường link xấu hoặc số tài khoản giả mạo thành QR, sau đó đặt vào những bối cảnh có vẻ đáng tin cậy để qua mặt người dùng.

Với mã QR chứa đường link, rủi ro nằm ở bước tiếp theo sau khi quét. Nếu điện thoại chỉ hiển thị địa chỉ website và người dùng chủ động kiểm tra trước khi truy cập, vẫn còn một lớp phòng vệ. Nhưng nếu ứng dụng quét QR tự động xử lý nội dung hoặc người dùng lập tức bấm vào đường link mà không kiểm tra, nguy cơ bị dẫn tới trang độc hại sẽ tăng lên.

Một vấn đề khác là QR code có thể giúp kẻ gian đưa nội dung độc hại vào những nơi mà người dùng ít đề phòng. Theo Cofense, trước đây mã QR không phổ biến trong các cuộc tấn công mạng vì người dùng phải sử dụng công cụ quét mới có thể truy cập nội dung. Tuy nhiên, QR có lợi thế khi được chèn trực tiếp vào email, tin nhắn hoặc tài liệu mà các bộ lọc vốn được thiết kế để phát hiện đường link truyền thống có thể khó xử lý theo cách tương tự.

Ngoài ra, khi người dùng quét mã bằng điện thoại, quá trình truy cập thường diễn ra trên thiết bị di động và kết nối mạng riêng. Điều này có thể giúp kẻ gian tránh được một số lớp bảo vệ vốn được triển khai trong môi trường máy tính doanh nghiệp. Cofense từng đánh giá đây có thể là phương thức mà các nhóm tấn công thử nghiệm để đánh giá hiệu quả.

Vì vậy, một món quà bất ngờ gửi tới tận nhà không đồng nghĩa với việc người nhận nên lập tức quét mã để kiểm tra. Đặc biệt, khi món quà không rõ người gửi, bao bì sử dụng logo thương hiệu nhưng không có thông tin xác thực hoặc tờ hướng dẫn yêu cầu nhập dữ liệu nhạy cảm, người dùng cần coi đây là dấu hiệu cảnh báo.

Công an khuyến cáo gì, chuyên gia nói gì về QR độc hại?

Trước thủ đoạn trên, cơ quan công an khuyến cáo người dân tuyệt đối không quét các mã QR được in trên bưu phẩm, tờ rơi hoặc tài liệu không rõ nguồn gốc. Việc mã QR nằm trên một món quà được đóng gói đẹp mắt hay mang logo của một thương hiệu lớn không đủ để chứng minh nó hợp pháp.

Người dùng cũng không nên hoàn toàn tin tưởng vào bao bì và logo doanh nghiệp. Khi nhận được một món quà hoặc voucher bất ngờ, cách an toàn hơn là chủ động gọi tới tổng đài chính thức của thương hiệu để kiểm tra chương trình. Không nên sử dụng số điện thoại, đường link hoặc thông tin liên hệ được in ngay trên tờ giấy đi kèm nếu chưa xác định được nguồn gốc.

Đặc biệt, không cung cấp mã OTP, mật khẩu Internet Banking hoặc các thông tin xác thực quan trọng chỉ để nhận một món quà. Đây là nguyên tắc cần được áp dụng ngay cả khi website sau khi quét có giao diện giống hệt ngân hàng hoặc sàn thương mại điện tử. Giao diện có thể bị sao chép, trong khi tên miền và nguồn truy cập mới là những yếu tố cần được kiểm tra.

Cơ quan công an cũng khuyến cáo không tải các tệp ứng dụng có đuôi .apk từ những đường link được gửi qua mã QR nếu chúng nằm ngoài kho ứng dụng chính thức. Với điện thoại Android, việc tải và cài đặt ứng dụng từ nguồn không xác định có thể mở ra thêm nguy cơ đối với thiết bị và dữ liệu cá nhân. Người dùng nên ưu tiên Google Play hoặc các nguồn phân phối chính thức của nhà sản xuất.

Trong trường hợp đã trót quét mã QR hoặc nhập thông tin vào một website đáng ngờ, người dân cần hành động càng sớm càng tốt. Nếu có liên quan đến tài khoản ngân hàng, cần liên hệ ngay với ngân hàng để khóa hoặc kiểm tra tài khoản và các giao dịch bất thường. Đồng thời, nên lưu lại bưu phẩm, tờ hướng dẫn, mã QR, tin nhắn, đường link và lịch sử giao dịch để cung cấp cho cơ quan công an khi trình báo.

Theo ông Vũ Ngọc Sơn, người dùng không cần quá lo lắng về bản thân QR code. Mã QR về bản chất chỉ là một phương thức truyền tải nội dung và không trực tiếp trở thành mã độc chỉ vì người dùng quét nó. Rủi ro chủ yếu nằm ở nội dung mà mã QR dẫn tới và cách thiết bị xử lý nội dung đó.

Do đó, sau khi quét QR bằng camera mặc định, người dùng nên kiểm tra kỹ thông tin được hiển thị trước khi tương tác. Nếu mã dẫn tới một website, cần xem địa chỉ có bắt đầu bằng https hay không và quan trọng hơn là tên miền có đúng với website chính thức của đơn vị hay không. Nếu phát hiện tên miền lạ, ký tự bất thường hoặc một địa chỉ không liên quan đến thương hiệu được nhắc tới trên bưu phẩm, người dùng không nên tiếp tục truy cập.

Đối với mã QR phục vụ thanh toán, nguyên tắc kiểm tra cũng cần được đặt lên hàng đầu. Người dùng nên đối chiếu tên người nhận, số tài khoản và số tiền trước khi xác nhận giao dịch. Việc một mã QR được đặt trong một hộp quà mang logo thương hiệu không có nghĩa tài khoản phía sau mã đó thực sự thuộc về thương hiệu.

Chuyên gia cũng lưu ý một số ứng dụng quét QR có khả năng tự động xử lý nội dung sau khi quét. Trong trường hợp người dùng vô tình quét phải một mã độc mà không có bước kiểm tra trung gian, nguy cơ có thể xuất hiện nhanh hơn. Vì vậy, sử dụng camera mặc định để hiển thị nội dung trước khi quyết định truy cập là một biện pháp giúp người dùng chủ động hơn.

Trong môi trường doanh nghiệp, Cofense khuyến nghị các tổ chức đào tạo nhân viên về nguy cơ từ QR code và hạn chế việc quét mã trong email khi chưa xác minh nguồn gốc. Đây là vấn đề đáng chú ý bởi điện thoại cá nhân có thể trở thành một đường vòng để kẻ tấn công tiếp cận người dùng bên ngoài những lớp bảo vệ được triển khai trên máy tính của doanh nghiệp.

Từ góc độ người dùng phổ thông, nguyên tắc phòng tránh có thể được rút gọn thành một chuỗi thao tác đơn giản: không vội quét, kiểm tra nguồn gửi, kiểm tra nội dung sau khi quét và không nhập thông tin nhạy cảm nếu chưa xác minh. Với những món quà bất ngờ, việc bỏ qua một mã QR gần như không gây thiệt hại, trong khi quét và làm theo hướng dẫn có thể mở ra nhiều rủi ro.

Sự phổ biến của QR code trong thanh toán và đời sống số khiến người dùng dễ hình thành phản xạ quét mã mà không suy nghĩ. Đây chính là thói quen mà kẻ gian có thể khai thác. Khi mã QR được đặt trong một bưu phẩm có hình thức chuyên nghiệp, đi kèm lời mời nhận quà hoặc voucher, người dùng càng dễ mất cảnh giác.

Tuy nhiên, điều quan trọng cần nhớ là không phải cứ nhìn thấy QR code là nguy hiểm. Rủi ro phụ thuộc vào nguồn gốc mã, nội dung được mã hóa và hành động của người dùng sau khi quét. Vì vậy, thay vì né tránh hoàn toàn công nghệ này, người dùng cần thay đổi thói quen từ “quét trước, kiểm tra sau” thành “kiểm tra trước, tương tác sau”.

Trong bối cảnh tội phạm công nghệ cao liên tục tận dụng những thói quen quen thuộc để xây dựng kịch bản mới, một hộp bánh Trung thu, tấm thiệp hay voucher miễn phí cũng có thể trở thành điểm khởi đầu của một vụ lừa đảo. Cẩn trọng với nguồn gốc bưu phẩm, không cung cấp OTP và mật khẩu, không cài ứng dụng từ nguồn lạ và luôn kiểm tra đường link sau khi quét là những bước đơn giản giúp người dùng giảm đáng kể nguy cơ mất dữ liệu và tài sản.