Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm Go88
Tin nhắn SMS có một vẻ ngoài rất khiêm tốn: vài dòng chữ, không logo hoa mỹ, không giao diện. Chính sự giản dị ấy khiến ta dễ tin. Chúng ta quen nhận tin từ ngân hàng, từ đơn vị giao hàng, từ nhà mạng, nên một tin nhắn xuất hiện trên màn hình khóa tự nhiên được xem là thật. Kẻ lừa đảo biết rõ điều này và biến SMS thành công cụ tấn công, gọi là smishing. Tôi gõ bài này thật chậm, vì người đọc càng đọc chậm thì tin nhắn giả càng dễ lộ mặt, kể cả khi nó mượn danh Go88.
Ảnh: FlyD / Unsplash
Smishing là gì
Smishing là từ ghép của SMS và phishing (lừa đảo giả mạo). Kẻ tấn công gửi tin nhắn tự xưng là một tổ chức đáng tin, nhằm dụ bạn bấm vào đường dẫn, gọi một số điện thoại, hoặc cung cấp thông tin như mật khẩu, mã OTP, số thẻ. Mục tiêu có thể là chiếm tài khoản, đánh cắp tiền, hoặc cài phần mềm độc hại lên thiết bị.
Vì sao hình thức này hiệu quả? Thứ nhất, người ta đọc gần như mọi tin nhắn SMS, tỷ lệ mở rất cao. Thứ hai, màn hình điện thoại nhỏ khiến việc soát đường dẫn khó hơn so với trên máy tính. Thứ ba, tin nhắn thường kèm cảm giác khẩn cấp, làm người nhận hành động trước khi kịp nghĩ. Thứ tư, kẻ gian có thể giả mạo tên hiển thị người gửi, khiến tin giả nằm chung một luồng với tin thật từ cùng một tên thương hiệu.
Điều cần nhớ: việc một tin xuất hiện đúng chuỗi hội thoại cũ không chứng minh nó là thật. Cái tên hiển thị không phải bằng chứng danh tính.
Các mẫu tin nhắn mồi thường gặp
Dù nội dung đổi liên tục, các mẫu mồi thường rơi vào vài nhóm quen thuộc. Nhóm thông báo tài khoản: "tài khoản của bạn bị khóa", "phát hiện đăng nhập bất thường, xác minh ngay". Nhóm phần thưởng: "bạn đã trúng thưởng", "nhận quà tri ân", "thưởng nạp đặc biệt chỉ trong hôm nay". Nhóm giao dịch: "giao dịch đang chờ xử lý, bấm để hủy", "hoàn tiền cho bạn". Nhóm giả cơ quan hay dịch vụ: tin tự nhận từ nhà mạng, đơn vị vận chuyển, ngân hàng. Nhóm thân quen: "con đây, mẹ chuyển giúp con khoản này".
Cả năm nhóm đều dùng chung ba chiêu tâm lý. Chiêu thứ nhất là nỗi sợ mất thứ gì đó: tài khoản, tiền, quyền lợi. Chiêu thứ hai là lòng tham trước một phần thưởng không có lý do. Chiêu thứ ba là áp lực thời gian: "trong 30 phút", "hết hạn hôm nay". Ngay khi tin nhắn khiến tim bạn đập nhanh hay đầu óc muốn hành động ngay, đó là lúc cần dừng tay nhất.
Một số dấu hiệu hình thức khác cũng đáng nhìn: lỗi chính tả và ngữ pháp lạ, cách xưng hô chung chung thay vì tên bạn, số điện thoại gửi là số cá nhân hoặc dãy ký tự lạ, và tin đến vào giờ khuya hoặc ngày nghỉ khi bạn khó kiểm chứng.
Link rút gọn và các đường dẫn độc hại
Đường dẫn trong tin giả thường được rút gọn hoặc ngụy trang. Link rút gọn che đi địa chỉ thật, nên bạn không biết nó dẫn đến đâu cho đến khi bấm. Một số tin dùng tên miền na ná tên thương hiệu, đổi một vài chữ cái hoặc thêm từ như "xac-minh", "nhan-thuong". Số khác dùng đường dẫn rất dài để phần quan trọng nằm ngoài vùng hiển thị của màn hình điện thoại.
Hậu quả khi bấm có thể là một trong ba. Thứ nhất, bạn tới một trang đăng nhập giả: nhập tài khoản và mật khẩu là gửi thẳng cho kẻ gian. Thứ hai, trang yêu cầu nhập mã OTP vừa đến, để chúng chuyển ngay sang trang thật. Thứ ba, trang tự động tải về một ứng dụng hoặc tập tin độc hại, hoặc dụ bạn cấp quyền truy cập cho một ứng dụng lạ.
Nếu bạn lỡ bấm, đừng hoảng. Đóng trang ngay, không nhập gì, không tải gì. Nếu đã nhập thông tin, đổi mật khẩu của dịch vụ đó và mọi nơi dùng chung mật khẩu ấy ngay từ một thiết bị sạch, bật xác thực hai lớp, rồi kiểm tra lịch sử đăng nhập. Nếu đã cài ứng dụng lạ, gỡ nó, chạy quét bảo mật, và cân nhắc khôi phục thiết bị.
Quy tắc không bấm link trong SMS
Quy tắc tôi giữ cho mình ngắn gọn: không bấm đường dẫn trong tin nhắn đến từ nguồn bạn chưa chủ động yêu cầu. Không có ngoại lệ vì "trông có vẻ thật". Nghe nghiêm khắc, nhưng nó loại bỏ gần như toàn bộ rủi ro của chiêu này chỉ bằng một nguyên tắc duy nhất.
Hãy thêm vài quy tắc phụ. Không bao giờ chia sẻ mã OTP với bất kỳ ai, kể cả người xưng là nhân viên hỗ trợ; mã OTP chỉ dành cho bạn nhập vào chính trang bạn tự mở. Không gọi lại số điện thoại trong tin nhắn đáng ngờ, vì số ấy thuộc về kẻ gửi. Không trả lời tin nhắn lạ, kể cả để "chặn" hay "hủy đăng ký", vì phản hồi xác nhận số của bạn đang hoạt động. Báo cáo tin nhắn rác theo tính năng của ứng dụng nhắn tin hoặc nhà mạng, rồi chặn số gửi.
Bật bộ lọc tin nhắn rác trên điện thoại và giữ hệ điều hành luôn được cập nhật cũng là lớp phòng thủ đáng làm. Với người lớn tuổi trong nhà, hãy ngồi cùng họ cài đặt các tính năng này.
Xác minh qua kênh chính thức
Khi tin nhắn khiến bạn lo, thay vì trả lời tin, hãy tự mình đi đường vòng để kiểm chứng. Mở ứng dụng hoặc trang dịch vụ bằng dấu trang bạn đã lưu từ trước, rồi xem thông báo trong chính tài khoản. Nếu thật sự có vấn đề, nó sẽ hiện ở đó. Với Go88, hãy dùng đúng lối vào bạn đã xác minh và lưu lại, không đi theo bất kỳ đường dẫn nào nhận được qua tin nhắn.
Bạn cũng có thể liên hệ bộ phận hỗ trợ qua kênh thông tin chính thống đã công bố trên trang hoặc ứng dụng chính thức mà bạn tự mở. Đừng liên hệ qua số điện thoại hoặc tài khoản mạng xã hội do tin nhắn đưa ra. Nếu vẫn không chắc, hãy hỏi người tin cậy, hoặc chờ vài giờ: tin thật hiếm khi biến mất sau một buổi, còn áp lực thời gian là đặc sản của tin giả.
Cuối cùng, hãy tập thói quen chia sẻ. Khi nhận một tin lừa đảo, chụp màn hình gửi cho người thân kèm lời nhắc ngắn. Một tin nhắn giả bị phơi ra trong gia đình sẽ mất hầu hết sức mạnh.
Dòng cuối của bản thảo
Smishing sống bằng sự vội vàng. Đối thủ lớn nhất của nó là một nhịp dừng: đọc chậm, nhận ra chiêu mồi, không bấm đường dẫn, và tự mở lối vào chính thức để kiểm chứng. Đó là toàn bộ nghệ thuật phòng thủ, và nó áp dụng được cho mọi tin nhắn, kể cả khi đang giải trí cùng Go88.
Xin gõ nhắc một dòng cần thiết: các hình thức giải trí có yếu tố may rủi chỉ dành cho người từ đủ 18 tuổi, và bạn cần tuân thủ pháp luật nơi mình cư trú. Hãy coi đó là giải trí, đặt giới hạn thời gian và ngân sách, chỉ dùng tiền dư, và tự chịu trách nhiệm với mọi quyết định của mình.