Cảnh giác mã QR giả mạo khi thanh toán và đăng nhập Hitclub
Trong ngăn kéo của tôi có một tập tem dán thư. Có hôm tôi nhận ra một con tem bị dán đè lên con tem cũ, mép hơi lệch, màu hơi khác. Chỉ nhìn qua thì chẳng ai để ý, nhưng thư gửi theo con tem ấy sẽ đi một nẻo khác. Mã QR giả mạo cũng hoạt động như thế: một ô vuông dán đè lên ô vuông thật, và người quét cứ ngoan ngoãn đi theo. Với người dùng Hitclub, hiểu chiêu này giúp giữ tài khoản và tiền bạc khỏi những đường rẽ không mong muốn.
Ảnh: Isaac Iverson / Unsplash
QR phishing, hay "quishing", là gì
Mã QR thực chất chỉ là một dòng chữ được nén thành hình ô vuông, thường là một địa chỉ trang web. Máy quét đọc dòng chữ ấy rồi mở ra. Bản thân mã không có gì nguy hiểm, nhưng vì mắt người không đọc được nó, chúng ta không biết dòng chữ bên trong là gì cho đến khi máy mở trang. Kẻ gian lợi dụng đúng khoảng mù ấy. Hình thức lừa đảo qua mã QR được gọi là quishing, ghép từ QR và phishing, tức giăng mồi lấy thông tin.
Khác với đường dẫn gửi qua tin nhắn mà bạn còn có thể liếc xem, mã QR che giấu địa chỉ ngay từ đầu. Chính vì vậy các bộ lọc thư rác khó phát hiện, và người dùng dễ mất cảnh giác hơn.
Kẻ gian dán đè và dẫn đi đâu
Có vài cách phổ biến. Cách thứ nhất là dán đè: kẻ gian in mã giả rồi dán chồng lên mã thật ở nơi công cộng, như bàn thanh toán, áp phích, biển quảng cáo hoặc tờ rơi. Cách thứ hai là gửi mã trong email, tin nhắn hoặc ảnh, kèm lời dọa "tài khoản sắp bị khóa" hoặc lời hứa "nhận quà". Cách thứ ba là giả một màn hình thanh toán hoặc trang đăng nhập, đưa mã ngay trên đó để bạn quét bằng điện thoại khác, khiến bạn tưởng đang xác minh bảo mật.
Điểm đến thường là một trang đăng nhập giả giống đến từng nét. Bạn nhập tên đăng nhập, mật khẩu, thậm chí cả mã xác thực, và tất cả rơi vào tay kẻ gian. Có khi mã dẫn tới việc tải một ứng dụng độc hại, hoặc một trang thanh toán chuyển tiền vào tài khoản lạ. Nguy hiểm nhất là khi bạn đã quen bấm quét mà không nghĩ.
Kiểm tra đích đến trước khi bấm
Thói quen cốt lõi là coi việc quét mã như việc nhận một bức thư: nhìn người gửi, đọc địa chỉ, rồi mới mở.
- Dừng lại một nhịp. Ứng dụng camera của nhiều máy hiện bản xem trước dòng địa chỉ trước khi mở. Hãy đọc nó, đừng bấm ngay.
- Đọc kỹ tên miền, tức phần địa chỉ chính. Tên miền thật thường ngắn gọn, đúng chính tả. Hãy cảnh giác với chữ bị đổi nhẹ, thêm bớt ký tự, dấu gạch nối lạ, hoặc đuôi miền kỳ quặc.
- Nhớ rằng phần trước tên miền chỉ là trang trí. Kẻ gian có thể viết một cụm giống tên thương hiệu ở phía trước để đánh lừa, trong khi tên miền thật nằm ở phần sau.
- Kiểm tra biểu tượng và chứng chỉ bảo mật của trang sau khi mở, nhưng đừng coi ổ khóa là bằng chứng trang đó đáng tin, vì trang giả cũng có thể có ổ khóa.
- Nếu thấy một trang đòi đăng nhập trong khi bạn chỉ quét một mã quảng cáo, hãy đóng lại.
Cách tốt hơn: đi bằng đường chính thức
Quy tắc an toàn nhất là không đăng nhập hay thanh toán bằng mã QR do người lạ đưa. Thay vào đó, tự mở ứng dụng Hitclub hoặc trang chính thức mà bạn đã lưu dấu từ trước, đăng nhập từ đó. Nếu bạn cần quét mã để liên kết thiết bị hay xác nhận một thao tác, hãy chắc chắn thao tác ấy do chính bạn khởi tạo từ bên trong ứng dụng thật, chứ không phải do một tin nhắn thúc giục.
Đối với thanh toán, hãy so sánh tên người nhận, số tiền hiển thị trong ứng dụng ngân hàng hoặc ví với thông tin bạn dự định trả. Nếu tên người nhận lạ hoặc không khớp, dừng lại. Ở nơi công cộng, hãy kiểm tra xem mã QR có bị dán chồng, mép bong hay lệch bề mặt không. Có thể dùng ngón tay chạm nhẹ để thấy lớp giấy dán thêm.
Xác minh tên miền, từng bước
Khi nghi ngờ một địa chỉ, bạn có thể làm vài bước đơn giản. Hãy so với địa chỉ bạn đã lưu trong dấu trang hoặc ứng dụng chính thức. Gõ lại tên thương hiệu vào công cụ tìm kiếm rồi vào bằng kết quả bạn tự chọn, thay vì theo mã. Hỏi một người tin cậy hoặc kênh hỗ trợ chính thức. Và nếu vẫn chưa chắc, tốt nhất là không vào.
Thêm vài lớp phụ giúp bạn: bật xác thực hai lớp để dù mật khẩu rò rỉ thì kẻ gian vẫn chưa vào được, dùng mật khẩu riêng cho từng nơi, cập nhật điện thoại, và bật cảnh báo trang nguy hiểm của trình duyệt.
Sai lầm thường gặp
- Quét mọi mã thấy trên đường vì tò mò hoặc vì "ưu đãi".
- Tin một trang vì nó giống y hệt giao diện thật.
- Nhập mã xác thực vào trang mở ra từ mã QR lạ.
- Quên rằng một mã ngay trên tin nhắn dọa khóa tài khoản vẫn là mồi, dù nhìn rất nghiêm trọng.
- Không báo cho ai khi bị lừa, khiến mã độc dán đè tiếp tục hại người khác.
Lưu ý 18+ và chơi có trách nhiệm
Hitclub là hình thức giải trí trực tuyến chỉ dành cho người đủ 18 tuổi. Hãy tuân thủ pháp luật nơi bạn sinh sống, xem đây là giải trí chứ không phải cách kiếm tiền, tự đặt giới hạn thời gian và ngân sách, và tự chịu trách nhiệm cho quyết định của mình. Mọi giao dịch nên đi qua kênh chính thức, được kiểm tra kỹ, vì an toàn của tài khoản cũng là một phần của việc chơi có trách nhiệm.
Con tem dán đè khó nhận ra khi ta vội. Hãy cho mình một nhịp để đọc lại địa chỉ trước khi đóng dấu gửi đi, và ô vuông đen trắng kia sẽ chỉ còn là một dòng chữ vô hại.
Tham khảo thông tin tại Tải Hit Club.