Cảnh báo chiến dịch Phishing mạo danh ngân hàng ngày càng tinh vi

Các chiến dịch phishing mạo danh ngân hàng ngày càng tinh vi vì kẻ gian không còn chỉ gửi đường link giả thô sơ, mà kết hợp nhiều kỹ thuật: tin nhắn hiển thị đúng tên thương hiệu ngân hàng, trang web giả sao chép hoàn hảo giao diện, ứng dụng giả chiếm quyền điều khiển điện thoại, chuyển tiếp mã OTP theo thời gian thực và cả giọng nói do AI tạo ra. Hiểu từng kỹ thuật giúp bạn nhận ra rằng dấu hiệu "trông chính thống" không còn đủ để tin tưởng. Bài viết phân tích cơ chế của các thủ đoạn này dưới góc độ kỹ thuật và đưa ra nguyên tắc phòng vệ không phụ thuộc vào việc nhận ra lỗi của kẻ gian.

Thủ đoạn 1: Tin nhắn mang tên thương hiệu ngân hàng

Nhiều người tin rằng tin nhắn hiển thị tên ngân hàng (brandname) thì chắc chắn thật. Thực tế, kẻ gian đã dùng các trạm phát sóng giả, thiết bị mô phỏng trạm di động mang theo trên xe, để phát tin nhắn tới điện thoại ở gần, vượt qua hệ thống lọc của nhà mạng và hiển thị tên người gửi tùy ý. Cơ quan chức năng tại Việt Nam đã nhiều lần phát hiện và xử lý các nhóm sử dụng thiết bị này. Tin nhắn giả có thể nằm chung luồng với tin nhắn thật của ngân hàng, khiến nạn nhân càng tin.

Bài học: tên người gửi không phải bằng chứng. Ngân hàng không gửi đường link yêu cầu đăng nhập hay cập nhật thông tin qua tin nhắn.

Thủ đoạn 2: Trang web giả hoàn hảo

• Tên miền na ná: thay chữ, thêm dấu gạch, dùng tên miền cấp cao khác, hoặc tên miền dài có chứa tên ngân hàng ở đầu để che phần đuôi thật.
• Có HTTPS và ổ khóa: chứng chỉ miễn phí khiến trang giả cũng có ổ khóa. Như giải thích trong bài chứng chỉ SSL/TLS hoạt động thế nào, ổ khóa chỉ chứng minh kết nối được mã hóa tới tên miền đó, không chứng minh tên miền đó là ngân hàng.
• Bộ công cụ phishing dựng sẵn: kẻ gian mua "kit" sao chép giao diện nhiều ngân hàng, kèm bảng điều khiển theo dõi nạn nhân theo thời gian thực.
• Quảng cáo tìm kiếm giả: mua quảng cáo để trang giả xuất hiện trên đầu kết quả khi người dùng tìm tên ngân hàng.

Thủ đoạn 3: Chuyển tiếp OTP theo thời gian thực

Trước đây, OTP được coi là lớp bảo vệ vững chắc. Kỹ thuật "người ở giữa" vô hiệu hóa nó:

1. Nạn nhân nhập tên đăng nhập, mật khẩu vào trang giả.
2. Hệ thống của kẻ gian lập tức dùng thông tin đó đăng nhập ngân hàng thật.
3. Ngân hàng gửi OTP tới điện thoại nạn nhân.
4. Trang giả hiển thị ô "nhập OTP để xác thực", nạn nhân nhập và kẻ gian dùng ngay.

Kết hợp với cuộc gọi giả danh nhân viên ngân hàng "hướng dẫn hủy giao dịch" hoặc "nhận hoàn tiền", nạn nhân tự tay đọc mã cho kẻ gian.

Thủ đoạn 4: Ứng dụng giả và chiếm quyền điện thoại

Đây là bước tiến nguy hiểm nhất. Kẻ gian dụ nạn nhân cài ứng dụng từ đường link ngoài kho chính thức, giả mạo ứng dụng dịch vụ công, ngân hàng, điện lực hoặc thuế. Khi được cấp quyền trợ năng (Accessibility), ứng dụng có thể:

• Đọc nội dung màn hình, kể cả tin nhắn OTP.
• Hiển thị lớp giao diện giả đè lên ứng dụng ngân hàng thật để đánh cắp mật khẩu.
• Tự động thao tác chạm, bấm thay người dùng.
• Cho phép điều khiển từ xa khi nạn nhân đang ngủ.

Để đối phó, nhiều ngân hàng đã bổ sung cơ chế phát hiện ứng dụng điều khiển từ xa và xác thực sinh trắc học khi giao dịch lớn, nhưng kẻ gian cũng liên tục tìm cách vượt qua.

Thủ đoạn 5: Mã QR và kênh mới

Mã QR dán đè lên mã thật ở cửa hàng, mã QR trong email hoặc tài liệu PDF dẫn tới trang đăng nhập giả. Vì mã QR không cho thấy đường link trước khi quét, nhiều người bỏ qua bước kiểm tra. Mạng xã hội, ứng dụng nhắn tin và cả cuộc gọi video cũng trở thành kênh tiếp cận.

Thủ đoạn 6: AI làm kịch bản thuyết phục hơn

Văn bản không còn lỗi chính tả, kịch bản được cá nhân hóa theo thông tin rò rỉ của nạn nhân, giọng nói nhân viên ngân hàng tự nhiên hơn. Xu hướng này được phân tích trong bài AI bị vũ khí hóa trong an ninh mạng.

Bảng tổng hợp và cách vô hiệu hóa

Nguyên tắc phòng vệ bền vững

Vì kỹ thuật lừa đảo thay đổi liên tục, hãy dựa vào nguyên tắc hành vi thay vì cố nhận ra lỗi của kẻ gian:

• Chủ động thay vì bị động: mọi giao dịch, đăng nhập đều do bạn tự khởi tạo từ ứng dụng hoặc trang đã lưu, không qua đường link được gửi tới.
• Không có ngoại lệ cho OTP: không đọc, không nhập OTP theo yêu cầu của bất kỳ ai.
• Nghi ngờ sự khẩn cấp: "tài khoản sắp bị khóa", "giao dịch lạ cần hủy ngay" là kịch bản quen thuộc để bạn không kịp suy nghĩ.
• Bảo vệ điện thoại: tắt cài đặt ứng dụng từ nguồn không xác định, cập nhật hệ điều hành, kiểm tra ứng dụng có quyền trợ năng.

Thủ đoạn tâm lý đằng sau các chiêu này được trình bày kỹ trong bài tấn công Social Engineering. Nếu bạn cần danh sách việc phải làm ngay khi lỡ sập bẫy, hãy xem bài cảnh báo phishing mạo danh ngân hàng Việt Nam.