Cảnh giác mã QR giả mạo khi thanh toán và đăng nhập Hitclub
Có một thứ trên bàn làm việc của tôi mà máy chữ không bao giờ làm được: nó không thể gõ ra một tấm tem dán. Còn tem dán thì lại là vũ khí quen thuộc của kẻ gian trong chuyện mã QR. Một mẩu giấy nhỏ, đúng kích cỡ, dán đè lên mã thật, thế là mọi người đi ngang qua đều vô tình trao thông tin cho người lạ. Mã QR là ô vuông trông vô hại, nhưng đằng sau nó là một đường dẫn mà mắt người không đọc được. Bài này tôi gõ chậm về chuyện đó, và về cách giữ an toàn khi thanh toán hay đăng nhập liên quan đến Hitclub.
Ảnh: Kasia / Unsplash
Mã QR thực chất là gì
Mã QR chỉ là một cách đóng gói văn bản thành hình, phổ biến nhất là một đường dẫn trang web. Khi bạn quét, điện thoại giải mã ô vuông ấy và mở đường dẫn tương ứng. Vấn đề nằm ở chỗ: bạn không thể nhìn vào ô vuông mà biết nó dẫn đi đâu. Hai mã trông gần như giống nhau có thể dẫn tới hai nơi hoàn toàn khác.
Chính sự mù mờ này làm QR thành mảnh đất tốt cho một kiểu lừa đảo mà người ta gọi là quishing, tức lừa đảo qua mã QR, họ hàng của lừa đảo qua tin nhắn và email giả mạo. Kẻ gian không cần hack gì phức tạp. Chúng chỉ cần bạn tự quét.
Cách kẻ gian dán đè và dẫn tới trang giả
Có vài cách thường gặp. Cách thứ nhất là dán đè: in một mã QR giả rồi dán lên mã thật ở nơi công cộng, như bàn thanh toán, áp phích, tờ rơi, hoặc thiết bị đặt ở quầy. Cách thứ hai là gửi mã QR qua email, tin nhắn hoặc mạng xã hội kèm lời nhắc kiểu "quét để xác minh tài khoản" hay "quét để nhận ưu đãi". Cách thứ ba là chèn mã QR vào những tài liệu trông rất chính thức, vì mắt người ít nghi ngờ hình ảnh hơn chữ.
Đích đến thường là một trang giả được dựng giống hệt trang đăng nhập hoặc trang thanh toán thật. Bạn nhập thông tin, nghĩ rằng mình đang làm việc với dịch vụ quen thuộc, nhưng thực chất đang đưa dữ liệu thẳng cho kẻ dựng trang. Với tài khoản Hitclub, hậu quả có thể là bị chiếm quyền đăng nhập hoặc bị lấy thông tin thanh toán. Cũng có khi trang giả chỉ để bạn cài một ứng dụng lạ, rồi ứng dụng ấy mới là thứ gây hại.
Kiểm tra đích đến trước khi bấm
Điều tôi muốn bạn tập thành phản xạ là một khoảng dừng nhỏ giữa lúc quét và lúc bấm vào. Phần lớn ứng dụng camera hoặc quét mã hiện ra bản xem trước đường dẫn trước khi mở. Hãy dùng khoảnh khắc đó.
Đọc tên miền, tức phần địa chỉ chính, chứ đừng chỉ nhìn phần đầu. Kẻ gian rất thích những tên na ná: thêm một chữ, đổi một ký tự, chèn dấu gạch ngang, hoặc dùng một cụm trông thân thiện đứng trước tên thật. Hãy đọc chậm từng ký tự như người dò lỗi chính tả, nhưng nhớ rằng tên miền quan trọng nằm ở phần ngay trước đuôi, không phải phần đầu dài dòng. Đường dẫn rút gọn là dấu hiệu cần dè chừng thêm, vì nó che mất đích thật.
Biểu tượng ổ khóa trên trình duyệt không đủ để kết luận. Trang giả cũng có thể có ổ khóa. Điều cần kiểm tra là tên miền có đúng là nơi chính thức bạn từng truy cập hay không.
Nguyên tắc: không quét mã lạ, tự mở nơi chính thức
Quy tắc đơn giản nhất mà hiệu quả nhất là chủ động. Đừng quét mã từ nguồn bạn không rõ gốc. Nếu một tin nhắn hay email bảo bạn quét mã để đăng nhập hoặc nhận ưu đãi, hãy bỏ qua mã đó, và tự mở ứng dụng hoặc trang chính thức của Hitclub bằng cách bạn vẫn quen dùng, chẳng hạn từ ứng dụng đã cài sẵn hay từ dấu trang bạn tự lưu.
Với mã dán ở nơi công cộng, hãy nhìn kỹ xem có dấu hiệu bị dán đè không: mép giấy nổi lên, màu sắc khác biệt, chất liệu khác với phần còn lại, hoặc vị trí lệch. Nếu nghi ngờ, hỏi lại nhân viên tại chỗ hoặc chọn một phương thức thanh toán khác. Với việc thanh toán, tôi luôn khuyên: kiểm tra tên người nhận hoặc đơn vị nhận hiển thị trong ứng dụng ngân hàng của bạn trước khi xác nhận. Nếu tên không khớp với nơi bạn định trả, dừng lại.
Thói quen kỹ thuật giúp bạn an toàn hơn
Một vài thiết lập nhỏ sẽ làm khoảng dừng ấy dễ dàng hơn. Bật chức năng xem trước đường dẫn trong ứng dụng quét mã nếu có. Dùng ứng dụng quét mã của hệ điều hành hoặc từ nhà phát hành đáng tin, thay vì những ứng dụng lạ đầy quảng cáo. Cập nhật điện thoại thường xuyên. Bật xác thực hai bước cho tài khoản, để dù lỡ nhập mật khẩu vào trang giả, kẻ gian vẫn chưa vào được ngay. Và dùng trình quản lý mật khẩu: nó thường chỉ tự điền khi tên miền khớp, nên nếu nó im lặng trên một trang lẽ ra phải quen, đó là một lời cảnh báo miễn phí.
Nếu đã lỡ quét và nhập thông tin vào nơi đáng ngờ, hãy hành động ngay. Đổi mật khẩu từ một thiết bị sạch, thoát các phiên đăng nhập đang mở, liên hệ ngân hàng nếu có nhập thông tin thanh toán, và báo cho kênh hỗ trợ chính thức. Đừng đợi.
Checklist ngắn để gõ vào trí nhớ
Trước khi quét: mã này đến từ đâu, tôi có tự tìm đến nó không. Sau khi quét: tên miền có khớp nơi chính thức không, tôi có đọc từng ký tự chưa. Trước khi nhập gì: trang này có xin thứ mà bình thường nó không xin không. Trước khi thanh toán: tên người nhận có đúng không. Bốn câu hỏi, chưa tới một phút, nhưng chúng ngăn được phần lớn các màn kịch mà kẻ gian dựng.
Một ô vuông đen trắng chỉ là hình. Quyết định bấm vào hay không vẫn là của bạn, và đó là quyền lực lớn nhất bạn có.
Lưu ý quan trọng: các dịch vụ giải trí chỉ dành cho người từ đủ 18 tuổi trở lên. Hãy tuân thủ quy định pháp luật nơi bạn cư trú, coi mọi hoạt động là giải trí, đặt trước giới hạn thời gian và ngân sách, và tự chịu trách nhiệm với lựa chọn của mình. Khi thấy việc tham gia bắt đầu chi phối cuộc sống, hãy dừng lại và tìm sự hỗ trợ đáng tin cậy.
Tham khảo thông tin tại nhà cái Hitclub.