Cảnh báo chiến dịch Phishing mạo danh ngân hàng Việt Nam

Phishing mạo danh ngân hàng tại Việt Nam thường đến qua tin nhắn báo tài khoản bị khóa, cuộc gọi tự xưng nhân viên ngân hàng hỗ trợ "nâng hạn mức" hoặc "hủy giao dịch lạ", và lời mời cài ứng dụng để "cập nhật sinh trắc học". Quy tắc ngắn gọn để không mất tiền: không bấm link trong tin nhắn, không cài ứng dụng ngoài kho chính thức, không đọc OTP cho bất kỳ ai, và khi nghi ngờ thì tự gọi tổng đài in trên thẻ. Nếu đã lỡ làm theo kẻ gian, mỗi phút đều quý: hãy khóa tài khoản ngay theo các bước ở cuối bài.

Những kịch bản lừa đảo phổ biến ở Việt Nam

"Tài khoản của quý khách sắp bị khóa"

Tin nhắn hoặc cuộc gọi báo tài khoản có giao dịch bất thường, chưa cập nhật thông tin, hoặc vi phạm quy định nên sẽ bị khóa, kèm đường link để "xác minh". Đường link dẫn tới trang giả giống hệt trang ngân hàng.

Cập nhật sinh trắc học, căn cước

Từ khi các quy định về xác thực sinh trắc học cho giao dịch chuyển tiền trực tuyến có hiệu lực, kẻ gian lợi dụng tâm lý lo lắng của người dùng để gọi điện "hỗ trợ cập nhật", yêu cầu cài ứng dụng giả hoặc quay video khuôn mặt. Thực tế, việc cập nhật được thực hiện ngay trong ứng dụng ngân hàng chính thức hoặc tại quầy giao dịch.

Nâng hạn mức thẻ tín dụng, mở thẻ miễn phí

Kẻ gian gọi mời nâng hạn mức, rồi yêu cầu cung cấp số thẻ, ngày hết hạn, mã CVV và OTP để "xác nhận". Đây là đủ thông tin để thanh toán trực tuyến bằng thẻ của bạn.

Hoàn tiền, nhận quà, trúng thưởng

Thông báo bạn được hoàn tiền giao dịch, nhận quà tri ân khách hàng, cần "đăng nhập để nhận". Kịch bản này đánh vào lòng tham thay vì nỗi sợ.

Giả danh cơ quan chức năng kết hợp ngân hàng

Kẻ gian xưng là công an, viện kiểm sát, nói bạn liên quan vụ án và yêu cầu chuyển tiền vào "tài khoản tạm giữ" hoặc cài ứng dụng "dịch vụ công". Cơ quan chức năng không làm việc qua điện thoại theo cách này.

Cơ chế kỹ thuật đằng sau những kịch bản trên, như tin nhắn brandname giả và chuyển tiếp OTP, được phân tích trong bài các thủ đoạn phishing ngân hàng ngày càng tinh vi.

Dấu hiệu nhận biết nhanh

• Có đường link trong tin nhắn yêu cầu đăng nhập, cập nhật thông tin.
• Yêu cầu cung cấp OTP, mật khẩu, mã CVV, ảnh mặt trước và sau căn cước.
• Yêu cầu cài ứng dụng qua đường link hoặc tệp APK gửi qua Zalo, Messenger.
• Tạo áp lực thời gian: "trong vòng 30 phút", "nếu không sẽ bị khóa vĩnh viễn".
• Người gọi biết nhiều thông tin cá nhân của bạn. Đừng vì thế mà tin: thông tin này thường đến từ các vụ rò rỉ dữ liệu.
• Đề nghị chuyển tiền sang tài khoản khác để "bảo vệ" hoặc "xác minh".

Ngân hàng thật sẽ không bao giờ

Thiết lập phòng ngừa nên làm ngay

1. Chỉ dùng ứng dụng ngân hàng tải từ App Store hoặc Google Play, kiểm tra tên nhà phát triển.
2. Bật thông báo biến động số dư để biết ngay khi có giao dịch.
3. Đặt hạn mức giao dịch trực tuyến phù hợp nhu cầu, tách tài khoản chi tiêu hằng ngày với tài khoản tiết kiệm.
4. Tắt cài đặt ứng dụng từ nguồn không xác định trên Android.
5. Lưu số tổng đài chính thức của ngân hàng trong danh bạ, lấy từ mặt sau thẻ hoặc ứng dụng.
6. Dùng mật khẩu riêng cho ngân hàng, không trùng với tài khoản khác. Kiểm tra xem email hay số điện thoại của bạn có trong các vụ lộ dữ liệu hay không.
7. Nói chuyện với cha mẹ, ông bà: người lớn tuổi là nhóm hay bị nhắm tới. Hãy thống nhất quy tắc "gặp chuyện gì liên quan ngân hàng thì gọi cho con trước".

Nếu đã lỡ cung cấp thông tin hoặc cài ứng dụng lạ

Làm theo thứ tự, càng nhanh càng tốt:

1. Ngắt kết nối điện thoại: bật chế độ máy bay nếu đã cài ứng dụng lạ, để kẻ gian không điều khiển từ xa được.
2. Khóa tài khoản, khóa thẻ: gọi tổng đài ngân hàng từ một điện thoại khác, hoặc dùng chức năng khóa khẩn cấp trong ứng dụng nếu điện thoại còn an toàn.
3. Đổi mật khẩu ngân hàng, email và các tài khoản liên quan từ một thiết bị sạch.
4. Gỡ ứng dụng lạ, kiểm tra và thu hồi quyền trợ năng, quyền quản trị thiết bị; cân nhắc khôi phục cài đặt gốc sau khi sao lưu dữ liệu cần thiết.
5. Thu thập bằng chứng: chụp màn hình tin nhắn, số điện thoại, đường link, sao kê giao dịch.
6. Trình báo: đến cơ quan công an nơi gần nhất để trình báo, và gửi phản ánh tới kênh cảnh báo lừa đảo của Cục An toàn thông tin. Đề nghị ngân hàng phối hợp tra soát giao dịch.
7. Cảnh báo người thân: nếu kẻ gian chiếm được Zalo, Facebook, chúng sẽ dùng để lừa tiếp bạn bè của bạn.

Đừng để bị lừa lần hai

Sau khi mất tiền, nạn nhân thường nhận được lời mời từ "dịch vụ lấy lại tiền bị lừa", "luật sư", "hacker mũ trắng" hứa thu hồi tài sản với phí trả trước. Gần như tất cả là lừa đảo tiếp nối. Chỉ làm việc với ngân hàng và cơ quan công an.

Gốc rễ của mọi kịch bản là thao túng tâm lý: sợ hãi, khẩn cấp, tham lợi. Hiểu các đòn tâm lý trong bài tấn công Social Engineering và cách phòng tránh sẽ giúp bạn bình tĩnh hơn khi đối mặt với một cuộc gọi đáng ngờ.