Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm B52club
Có những tờ giấy không bao giờ đi qua bưu điện. Chúng được nhét qua khe cửa lúc nửa đêm, nét chữ vội, nội dung giục giã: "Làm ngay kẻo mất". Người đánh máy cẩn thận sẽ không tin một mẩu giấy như vậy chỉ vì nó trông khẩn cấp. Tin nhắn SMS giả mạo, thường gọi là smishing, là phiên bản số của mẩu giấy ấy: ngắn, gấp, và đánh vào lúc ta ít chú ý nhất. Bài này giúp bạn nhận ra chúng, đặc biệt khi chúng mượn tên B52club.
Ảnh: Adam Adreveno / Unsplash
Smishing là gì
Smishing là kiểu lừa đảo gửi tin nhắn văn bản giả danh một tổ chức đáng tin để dụ người nhận bấm vào đường dẫn, gọi số điện thoại hoặc cung cấp thông tin. Cái tên ghép từ SMS và phishing. Mục tiêu thường là lấy thông tin đăng nhập, mã OTP, thông tin thanh toán, hoặc cài phần mềm độc hại lên điện thoại.
Tin nhắn là kênh nguy hiểm vì ba lý do. Người ta đọc tin nhắn rất nhanh và hay phản xạ. Số người gửi có thể bị giả để hiển thị giống một tên thương hiệu, thậm chí xen vào chuỗi tin nhắn thật trước đó. Và màn hình nhỏ che bớt những chi tiết lẽ ra giúp ta phát hiện ra sự bất thường.
Những mẫu tin nhắn mồi thường gặp
Các tin nhắn mồi dù khoác bao nhiêu lớp áo cũng xoay quanh vài motif quen thuộc:
- Cảnh báo tài khoản bị khoá, bị đăng nhập lạ hoặc sắp bị đình chỉ, kèm yêu cầu "xác minh ngay".
- Thông báo có khuyến mãi, quà tặng hay khoản thưởng đang chờ nhận, hết hạn trong ít phút.
- Thông báo giao dịch bất thường hoặc hoàn tiền, nhằm khiến bạn hoảng và bấm để "huỷ".
- Tin nhắn bảo đã nhận nhầm tiền, nhờ gửi trả.
- Yêu cầu cập nhật ứng dụng, tải một tệp để tiếp tục sử dụng B52club.
- Tin nhắn hỏi bạn cung cấp mã vừa gửi đến điện thoại "để xác nhận danh tính".
Điểm chung là tạo cảm giác khẩn cấp, gợi ý hậu quả nếu không làm, và đưa ra một hành động duy nhất, thường là bấm vào đường dẫn. Hễ gặp tổ hợp này, hãy chậm lại.
Đường dẫn rút gọn và cách chúng che mắt
Đường dẫn rút gọn là địa chỉ web được nén lại cho ngắn, vốn có nhiều công dụng hợp pháp. Nhưng kẻ lừa đảo thích chúng vì chúng che mất đích đến thật: bạn không thể biết nó dẫn tới đâu trước khi bấm. Những chiêu khác gồm: dùng tên miền gần giống tên thương hiệu, thêm từ khoá như "xác minh" hay "hỗ trợ", dùng mã QR thay đường dẫn trong ảnh đính kèm, hoặc gửi tệp cài đặt có đuôi lạ.
Quy tắc đơn giản nhất: đừng bấm. Một đường dẫn trong tin nhắn từ nguồn bạn không chủ động liên hệ chưa bao giờ là con đường duy nhất để đến được dịch vụ. Nếu cần xem trước đích đến, hãy dùng công cụ mở rộng đường dẫn đáng tin hoặc đơn giản là bỏ qua, vì rủi ro thường lớn hơn lợi ích.
Quy tắc không bấm link trong SMS
Hãy biến sự thận trọng thành phản xạ bằng bốn nguyên tắc:
- Không bấm đường dẫn, không gọi số lạ và không tải tệp đính kèm từ một tin nhắn bạn không chờ đợi.
- Không bao giờ chia sẻ mã OTP, mật khẩu hay mã khôi phục qua tin nhắn hoặc điện thoại, dù người nhắn nói họ là ai. Dịch vụ thật không hỏi những thứ này.
- Dừng lại ít nhất mười phút trước khi hành động theo một tin nhắn mang tính khẩn cấp; sự khẩn cấp thường là thứ bị bịa ra.
- Nếu tin nhắn tự nhận từ B52club hay từ ngân hàng, hãy xử lý như chưa từng đọc và chuyển sang bước xác minh bên dưới.
Cũng nên bật tính năng lọc tin nhắn rác của điện thoại, chặn số đáng ngờ và báo cáo tin nhắn lừa đảo cho nhà mạng. Mỗi báo cáo giúp người khác tránh được cùng một chiêu.
Xác minh qua kênh chính thức
Khi nghi ngờ, đừng trả lời tin nhắn mà hãy tự đi tìm sự thật theo con đường của bạn:
- Mở trình duyệt, gõ lại địa chỉ đã lưu hoặc mở dấu trang đã xác minh để vào B52club, rồi xem trong tài khoản có thông báo nào tương ứng không.
- Nếu tin nhắn nhắc tới ngân hàng, hãy mở ứng dụng ngân hàng chính thức hoặc gọi số in trên mặt thẻ.
- Hỏi người thân hoặc bạn bè xem họ có nhận tin tương tự không.
- Đối chiếu với thông báo trên kênh chính thức mà bạn đã tự kiểm chứng từ trước.
Nếu mọi kênh chính thức đều không có dấu vết gì, kết luận khá rõ: đó là mẩu giấy luồn qua khe cửa, không phải thư thật.
Nếu đã lỡ bấm hoặc cung cấp thông tin
Bình tĩnh và làm theo thứ tự. Đóng trang, không nhập thêm gì. Nếu đã nhập mật khẩu, đổi ngay mật khẩu ở nơi đó và mọi nơi dùng chung mật khẩu ấy, đăng xuất các phiên lạ, bật xác thực hai lớp. Nếu đã lộ mã OTP hay thông tin thẻ, báo ngay cho ngân hàng để khoá hoặc theo dõi giao dịch. Nếu đã tải tệp lạ, đưa điện thoại về chế độ máy bay, chạy quét bảo mật và cân nhắc khôi phục cài đặt gốc. Cuối cùng, lưu lại bằng chứng gồm ảnh chụp tin nhắn, số gửi, thời gian, rồi trình báo cho cơ quan chức năng khi có thiệt hại.
Đừng ngại kể với người xung quanh. Smishing đánh vào cảm giác vội vàng chứ không phải sự kém hiểu biết, và ai cũng có lúc sơ ý.
Chậm lại một nhịp
Người đánh máy lão luyện không bao giờ trả lời mẩu giấy lạ ngay trong đêm. Họ để đến sáng, đọc kỹ, so với sổ sách rồi mới quyết định. Hãy làm đúng như vậy với mọi tin nhắn nhắc đến B52club: không bấm, không đọc mã cho ai, tự mở đường vào bằng kênh bạn đã xác minh. Một nhịp chậm lại là đủ để đa số mánh lừa mất tác dụng.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.