Cảnh giác mã QR giả mạo khi thanh toán và đăng nhập B52club
Người làm in ấn biết một mánh cũ: dán đè một nhãn nhỏ lên chỗ chữ đã in sẵn, thế là cả dòng đổi nghĩa mà từ xa nhìn chẳng ai hay. Mã QR là thứ dễ bị chơi trò này nhất, vì mắt người không đọc được nó. Một hình vuông chằng chịt chấm đen trắng, ta chỉ biết tin rằng nó dẫn tới nơi mình muốn. Khi quét mã để thanh toán hay đăng nhập liên quan đến B52club, sự tin tưởng mù quáng đó chính là chỗ kẻ gian nhắm tới.
Ảnh: chris panas / Unsplash
Quishing là gì
Quishing là lừa đảo qua mã QR, ghép từ "QR" và phishing, tức giả mạo để lấy thông tin. Mã QR bản thân chỉ là một cách mã hóa đường dẫn hay dữ liệu. Kẻ gian không cần phá mã nào cả; họ chỉ cần làm cho bạn quét một mã do họ tạo, rồi dẫn bạn tới một trang giả giống hệt trang thật, nơi bạn tự tay nhập tài khoản, mật khẩu hay mã xác thực.
Điểm nguy hiểm là nhiều bộ lọc thư rác và phần mềm bảo mật chỉ kiểm tra chữ, không đọc được nội dung trong hình ảnh. Một email chứa ảnh QR có thể lọt qua dễ hơn email chứa liên kết dạng chữ.
Những cách kẻ gian dùng mã giả
- Dán đè: in mã giả rồi dán chồng lên mã thật tại nơi công cộng, quầy thanh toán, biển quảng cáo hay tờ rơi.
- Gửi qua email hoặc tin nhắn: kèm lời báo tài khoản có vấn đề, hoặc "quét mã để xác minh", "quét mã để nhận ưu đãi".
- Mạo danh bộ phận hỗ trợ trong cuộc trò chuyện, gửi một mã QR đòi bạn quét để "đăng nhập lại" hoặc "xác nhận thiết bị".
- Mã dẫn tới một trang yêu cầu cài ứng dụng ngoài kho chính thức, thực chất là phần mềm độc hại.
- Mã đổi nội dung, dẫn qua nhiều bước chuyển hướng rồi mới tới trang giả cuối cùng, nhằm che dấu vết.
Kiểm tra đích đến trước khi bấm
Điện thoại hiện đại thường hiện bản xem trước đường dẫn ngay khi camera nhận mã, trước khi mở. Đó là khoảnh khắc quý nhất. Đừng bấm ngay; hãy soát lại như soát một dòng bản thảo.
- Đọc kỹ tên miền hiện ra. Kẻ gian hay dùng tên gần giống: thừa một chữ, thiếu một chữ, chèn dấu gạch ngang, đổi đuôi, hoặc nhét tên thương hiệu vào đầu một địa chỉ hoàn toàn khác.
- Đọc cả đoạn sau, không chỉ đoạn đầu. Phần quyết định nơi bạn đến nằm ở tên miền chính, tức phần ngay trước dấu gạch chéo đầu tiên, chứ không phải những chữ phía trước đó.
- So với địa chỉ đúng mà bạn tự lưu từ trước. Nếu khác dù chỉ một ký tự, dừng lại.
- Cảnh giác với đường dẫn rút gọn, vì nó che mất đích thật. Nếu mã chỉ cho ra một liên kết rút gọn, tốt nhất đừng đi tiếp.
- Khi trang mở ra, vẫn chưa an toàn tuyệt đối. Nếu trang xin mật khẩu, mã OTP hay mã khôi phục ngay lập tức, hãy đóng lại.
Xác minh tên miền bằng cách tự gõ
Cách an toàn nhất vẫn là không đi theo mã. Nếu bạn muốn vào B52club, hãy tự gõ địa chỉ hoặc mở từ dấu trang chính bạn đặt từ lần chắc chắn nhất. Nếu mã QR hứa hẹn một điều gì, hãy tìm điều ấy trong chính ứng dụng hay phần thông báo của tài khoản, thay vì quét.
Nguyên tắc cho thanh toán cũng tương tự. Trước khi xác nhận bất kỳ khoản chuyển nào, hãy đối chiếu tên người nhận hiện trên màn hình ứng dụng ngân hàng với đúng người bạn định trả. Nếu thấy một cái tên lạ, một tài khoản cá nhân thay vì tổ chức, hoặc số tiền không do bạn nhập, hãy hủy. Với mã dán tại cửa hàng hay nơi công cộng, hãy lướt tay thử xem có phải nhãn dán đè không, và nhờ nhân viên xác nhận.
Không quét mã lạ
Quy tắc đơn giản là coi mọi mã QR đến từ nguồn bạn không chủ động tìm kiếm là đáng ngờ cho đến khi chứng minh được ngược lại. Mã xuất hiện trong email bất ngờ, tin nhắn từ số lạ, tờ rơi nhét dưới cửa, hay do một "nhân viên hỗ trợ" gửi, đều không đáng tin chỉ vì nó trông chỉn chu.
Một số thói quen nhỏ nên có. Tắt chức năng tự mở liên kết khi camera nhận mã nếu máy có tùy chọn này. Chỉ cài ứng dụng từ kho chính thức. Không dùng chung một mật khẩu giữa nhiều nơi, để lỡ lộ một chỗ không kéo theo chỗ khác. Bật xác thực hai lớp cho tài khoản, vì nó là lưới đỡ khi mật khẩu đã lộ. Và nhớ rằng không hỗ trợ hợp lệ nào đòi bạn đọc mã OTP hay mã khôi phục qua mã QR hoặc liên kết.
Sai lầm thường gặp và khi lỡ quét
Sai lầm đầu là quét vì tò mò hoặc vì vội, nhất là khi bị thúc giục. Sai lầm thứ hai là chỉ nhìn phần đầu đường dẫn thấy tên quen mắt rồi yên tâm. Thứ ba là nhập thông tin vì trang "trông y như thật", trong khi giao diện giống chẳng chứng minh được gì, nó chỉ là bản sao.
Nếu lỡ quét và đã nhập thông tin, đừng đợi. Đổi mật khẩu ngay từ thiết bị sạch, đăng xuất tất cả phiên, kiểm tra lại cài đặt xác thực hai lớp, rà lịch sử đăng nhập, và liên hệ ngân hàng nếu có liên quan đến thanh toán. Báo cho kênh hỗ trợ chính thức do bạn tự tìm ra. Hành động sớm gần như luôn rẻ hơn hành động muộn.
Mã QR tiện, nhưng sự tiện lợi không bao giờ thay cho việc soát lại. Với B52club, hãy tập thói quen đọc bản xem trước, soát tên miền, và khi nghi ngờ thì tự gõ lại thay vì quét.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.
Tham khảo thông tin tại B52 club.