Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm Hitclub
Có những mẩu giấy ghi chú được nhét qua khe cửa: "Gọi gấp số này", "Bạn có bưu phẩm chưa nhận". Người cẩn thận sẽ không gọi liền, vì họ biết mẩu giấy không có người ký. Tin nhắn SMS lừa đảo là phiên bản số của mẩu giấy ấy, và nó đang nhắm đến người dùng mọi dịch vụ trực tuyến, trong đó có những ai quan tâm đến Hitclub. Nhận diện được nó là kỹ năng tự bảo vệ đơn giản mà hiệu quả.
Ảnh: Markus Winkler / Unsplash
Smishing là gì
Smishing là cách gọi ghép của "SMS" và "phishing", tức hình thức lừa đảo giả mạo thông qua tin nhắn văn bản. Kẻ gian gửi tin nhắn giả danh một đơn vị đáng tin, như ngân hàng, nhà mạng, đơn vị giao hàng, cơ quan nhà nước hay một dịch vụ trực tuyến, nhằm khiến bạn làm một trong hai việc: bấm vào đường dẫn dẫn tới trang giả, hoặc cung cấp thông tin nhạy cảm như mật khẩu, mã xác thực, số thẻ.
SMS là kênh được ưa chuộng vì nó có cảm giác khẩn cấp và cá nhân, thường được đọc ngay, và nhiều người vẫn tin rằng tin nhắn đến từ nhà mạng là an toàn. Thực tế, người gửi có thể làm giả tên hiển thị, khiến tin nhắn lọt vào cùng chuỗi hội thoại với tin thật. Vì vậy, tên người gửi trông quen mắt chưa phải bằng chứng.
Các mẫu tin nhắn mồi thường gặp
Hãy làm quen với những khuôn mẫu sau, vì kẻ gian hay lặp lại chúng với chút thay đổi.
Mẫu khóa tài khoản: thông báo tài khoản bị khóa hoặc có hoạt động bất thường, yêu cầu đăng nhập ngay để xác minh. Mẫu thưởng hoặc quà tặng: báo bạn trúng thưởng, được tặng ưu đãi lớn, chỉ cần bấm nhận. Mẫu khoản tiền hoàn lại hoặc giao dịch lạ: nói có khoản tiền chờ nhận hay một giao dịch bạn không thực hiện, thúc giục xác nhận. Mẫu yêu cầu cập nhật thông tin: đòi bạn cập nhật dữ liệu cá nhân kẻo bị ngừng dịch vụ. Mẫu mã xác thực: nhắn nhầm mã rồi nhờ bạn đọc lại. Mẫu nhân viên hỗ trợ: tự xưng là bộ phận chăm sóc của dịch vụ, chủ động hướng dẫn bạn thao tác.
Điểm chung của chúng: giọng điệu khẩn cấp, hứa hẹn quyền lợi hoặc dọa hậu quả, và luôn kèm một đường dẫn hay một yêu cầu cung cấp thông tin. Những ai từng đăng ký hay tìm hiểu một dịch vụ như Hitclub càng nên cảnh giác với các tin nhắn mượn danh nó.
Link rút gọn và đường dẫn độc hại
Đường dẫn trong smishing thường được rút gọn hoặc ngụy trang để che địa chỉ thật. Bạn nhìn thấy một chuỗi ngắn, không biết nó dẫn đến đâu. Bấm vào, bạn có thể đến trang đăng nhập giả để lấy mật khẩu, trang yêu cầu cài một ứng dụng lạ có chứa mã độc, hoặc trang thu thập thông tin cá nhân.
Một số dấu hiệu cần để ý: đường dẫn rút gọn từ người lạ; tên miền có lỗi chính tả hay thêm ký tự lạ; dùng đuôi miền kỳ quặc; hoặc dẫn tới tệp cài đặt thay vì trang thông tin. Đặc biệt nguy hiểm là yêu cầu cài ứng dụng ngoài kho ứng dụng chính thức, vì ứng dụng độc hại có thể đọc tin nhắn, kể cả mã xác thực của bạn. Tuyệt đối không cài ứng dụng từ đường dẫn trong tin nhắn.
Quy tắc vàng: không bấm link trong SMS
Quy tắc ngắn gọn và dễ nhớ nhất: không bấm đường dẫn trong tin nhắn đến từ nơi bạn không chủ động yêu cầu. Nếu muốn kiểm tra một thông báo, hãy rời khỏi tin nhắn và tự đi đường khác, như mở ứng dụng chính thức đã cài từ kho ứng dụng uy tín, hoặc gõ thẳng địa chỉ đã lưu trong dấu trang.
Ngoài ra, không bao giờ cung cấp mã xác thực một lần cho bất kỳ ai, kể cả người xưng là nhân viên. Mã ấy là chìa khóa tạm thời; dịch vụ thật không bao giờ hỏi bạn đọc nó qua điện thoại hay tin nhắn. Không trả lời tin nhắn nghi ngờ, vì phản hồi báo cho kẻ gian biết số của bạn đang hoạt động. Hãy dùng chức năng báo cáo tin rác của điện thoại hoặc nhà mạng và chặn số gửi.
Xác minh qua kênh chính thức
Khi một tin nhắn làm bạn băn khoăn, hãy xác minh theo các bước sau. Đừng dùng số điện thoại hay đường dẫn trong chính tin nhắn đó. Hãy mở ứng dụng hoặc trang chính thức của dịch vụ qua con đường bạn tự biết là đáng tin, rồi xem phần thông báo trong tài khoản. Nếu có việc thật, nó sẽ hiện ở đó. Nếu cần liên hệ, hãy lấy thông tin hỗ trợ từ kênh chính thức của Hitclub hoặc của tổ chức liên quan, thay vì thông tin trong tin nhắn.
Với tin nhắn tự xưng ngân hàng, hãy gọi số in trên thẻ hoặc trong ứng dụng ngân hàng. Với tin về bưu phẩm, kiểm tra trực tiếp với đơn vị giao hàng qua ứng dụng của họ. Và khi vẫn chưa chắc, hỏi một người thân am hiểu, hoặc chờ vài giờ: lừa đảo sống nhờ sự vội vàng, chậm lại là vũ khí tốt nhất.
Nếu lỡ bấm hoặc lỡ cung cấp thông tin
Đừng hoảng loạn, hãy hành động theo thứ tự. Ngắt kết nối mạng nếu đã tải về thứ gì lạ. Đổi ngay mật khẩu các tài khoản liên quan từ một thiết bị sạch, và bật xác thực hai lớp. Nếu đã nhập thông tin ngân hàng hoặc thẻ, liên hệ ngân hàng ngay để khóa hoặc theo dõi giao dịch. Quét thiết bị bằng công cụ bảo mật uy tín, gỡ ứng dụng lạ. Lưu lại bằng chứng như ảnh chụp tin nhắn và số gửi, rồi báo cho cơ quan chức năng. Càng báo sớm càng dễ chặn thiệt hại.
Những sai lầm thường gặp
Tin vào tên người gửi quen mắt. Bấm vào đường dẫn "để xem thử". Đọc mã xác thực cho người tự xưng hỗ trợ. Gọi lại số điện thoại ghi trong tin nhắn. Xấu hổ vì bị lừa nên giấu kín. Và dùng cùng một mật khẩu cho nhiều nơi nên một sơ hở kéo theo nhiều nơi.
Gấp mẩu giấy lại
Mẩu giấy nhét qua khe cửa chỉ đáng tin khi ta xác minh người viết. Tin nhắn SMS cũng thế. Không bấm, không đọc mã cho người lạ, tự đi đường chính thức: ba thói quen nhỏ đủ chặn phần lớn mánh khóe.
Lưu ý: dịch vụ giải trí trực tuyến chỉ dành cho người từ đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, coi Hitclub là một hình thức giải trí trong giới hạn thời gian và ngân sách do bạn tự đặt, và tự chịu trách nhiệm với lựa chọn của mình.