MẤT QUYỀN KIỂM SOÁT TÀI KHOẢN NGÂN HÀNG TRONG VÒNG 5 GIÂY CHỈ VỚI MỘT CÔNG NGHỆ QUEN THUỘC

Chỉ trong vòng chưa đầy năm giây, nhiều người dùng có thể mất quyền kiểm soát tài khoản ngân hàng của mình chỉ vì một hành động tưởng chừng như vô hại: quét mã QR. Công nghệ này, vốn đã phổ biến để thanh toán, tra cứu thông tin hoặc truy cập nhanh các dịch vụ, lại trở thành mảnh đất màu mỡ cho các hình thức lừa đảo tinh vi.

Theo thông tin từ Techtarget, quishing – hay lừa đảo qua mã QR – là dạng tấn công phishing mới, trong đó kẻ gian sử dụng mã QR để dụ người dùng truy cập vào các trang web giả mạo hoặc tải xuống nội dung độc hại. Mục đích của họ là đánh cắp các thông tin nhạy cảm như mật khẩu, dữ liệu tài chính hoặc thông tin cá nhân (PII), để từ đó thực hiện các hành vi phạm tội như chiếm đoạt danh tính, gian lận tài chính hoặc phát tán phần mềm độc hại.

Mã QR, được phát minh bởi công ty Denso Wave của Nhật Bản vào năm 1994 để phục vụ cho việc theo dõi linh kiện ô tô, là dạng mã vạch hai chiều gồm các ô vuông đen trắng chứa lượng dữ liệu lớn, có thể được giải mã dễ dàng ngay cả khi hình ảnh bị che khuất một phần bằng phương pháp sửa lỗi Reed–Solomon. Khác với mã vạch một chiều chỉ quét theo chiều dọc, mã QR có thể quét từ nhiều hướng, giúp thao tác nhanh, linh hoạt hơn.

Trong nhiều năm, mã QR chỉ dùng để dẫn người dùng tới các URL hoặc gửi thông điệp ngắn. Tuy nhiên, từ năm 1997, công nghệ này bắt đầu được ứng dụng rộng rãi hơn, đặc biệt sau đại dịch COVID-19, khi nhu cầu thanh toán không tiếp xúc gia tăng mạnh. Thế nhưng, chính sự phổ biến này cũng trở thành “mảnh đất” cho tội phạm mạng lợi dụng. Nếu mã QR chính thức bị thay thế bằng mã giả, người quét có thể vô tình truy cập vào các trang web lừa đảo hoặc bị tải phần mềm độc hại chỉ trong tích tắc.

Thống kê từ báo cáo Phishing Trends Report năm 2025 cho thấy, các vụ tấn công qua mã QR, hay quishing, đã tăng khoảng 25% mỗi năm. Tội phạm thường tận dụng các không gian thực như áp phích, danh thiếp hoặc biển hiệu để dán mã QR giả, lừa người dùng. Trong quý 1 năm 2025, Tổ chức APWG ghi nhận hơn một triệu vụ phishing, trong đó nhiều vụ sử dụng mã QR giả qua email hoặc tệp đính kèm PDF để dụ nạn nhân truy cập trang web lừa đảo hoặc tải phần mềm độc hại.

Một nghiên cứu mang tên “Gone Quishing” đã thử nghiệm hành vi người dùng khi quét mã QR. Kết quả cho thấy khoảng 67% người tham gia sẵn sàng cung cấp thông tin cá nhân như tài khoản Google hoặc Facebook vì tiện lợi, minh chứng cho sức mạnh của yếu tố thuận tiện trong quá trình thực hiện các cuộc tấn công quishing.

Tại Singapore, một phụ nữ 60 tuổi đã quét mã QR bên ngoài một quán trà sữa dự định tham gia khảo sát để nhận đồ uống miễn phí. Chỉ sau đó, điện thoại của bà bị tấn công, và khoảng 20.000 USD bị rút khỏi tài khoản ngân hàng. Ở Anh, một vụ quét mã QR giả tại bãi đậu xe khiến một người mất khoảng 13.000 bảng Anh. Không ít vụ khác cũng đã được ghi nhận liên quan đến mã QR giả dán trên các bề mặt công cộng như biển hiệu hay máy thanh toán.

Các nghiên cứu gần đây cho thấy, email chứa mã QR lừa đảo có thể thu hút người dùng truy cập vào các trang giả mạo tương đương với các hình thức phishing truyền thống. Điều này rất đáng lo ngại vì mã QR trong email hoặc ảnh đính kèm khó bị các bộ lọc bảo mật phát hiện hơn nhiều.

Để tự bảo vệ mình khỏi các cuộc tấn công quishing, các chuyên gia khuyến cáo người dùng cần chú ý đến một số biện pháp phòng tránh quan trọng:

– Xác minh nguồn gốc mã QR: Chỉ quét mã từ các nguồn đáng tin cậy, như các doanh nghiệp uy tín hoặc tổ chức chính thống. Tránh quét mã từ email hoặc tin nhắn không rõ nguồn gốc, đặc biệt từ người lạ.

– Kiểm tra kỹ địa chỉ URL: Trước khi truy cập trang web qua mã QR, hãy xem trước địa chỉ URL. Nếu URL đã bị rút ngắn hoặc không rõ ràng, tốt nhất không nên truy cập.

– Hạn chế thanh toán qua QR: Tránh sử dụng mã QR để thanh toán trong các địa điểm công cộng, trừ khi đảm bảo đó là nguồn chính thức của ngân hàng hoặc dịch vụ uy tín. Nếu liên kết không rõ ràng, hãy dừng lại ngay.

– Tránh quét mã QR ngẫu nhiên: Không quét các mã xuất hiện trên biển quảng cáo, tờ rơi hoặc dán trên máy thanh toán nếu không xác nhận rõ nguồn gốc. Hỏi nhân viên để xác minh tính hợp pháp của mã.

– Sử dụng trình quét an toàn: Ưu tiên sử dụng camera mặc định của điện thoại (iOS hoặc Android) để quét mã, hạn chế tải các ứng dụng quét mã từ bên thứ ba có thể chứa mã độc hoặc thu thập dữ liệu trái phép.

– Kiểm tra vật lý mã QR: Trước khi quét, hãy kiểm tra mã QR vật lý để xem có dấu hiệu bị dán đè, chỉnh sửa hoặc trông không nhất quán với thiết kế xung quanh hay không.

Hành động thận trọng trong việc quét mã QR không chỉ giúp bảo vệ tài khoản ngân hàng mà còn tránh khỏi nhiều rủi ro liên quan đến an ninh mạng. Công nghệ tuy tiện lợi nhưng đồng thời cũng đòi hỏi người dùng phải tỉnh táo và cảnh giác hơn để không rơi vào tay các thủ đoạn tinh vi của tội phạm mạng.