Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm Hitclub
Khi còn đánh máy thuê, tôi từng thấy những mẩu giấy nhỏ luồn qua khe cửa, gõ ngắn gọn, giọng gấp gáp: "Xin liên hệ ngay, có việc quan trọng". Mẩu giấy không ký tên, không đóng dấu, nhưng cái gấp gáp của nó khiến người đọc cuống lên. Tin nhắn SMS lừa đảo ngày nay, thường gọi là smishing, cũng là mẩu giấy luồn qua khe cửa như vậy, và nó đang nhắm vào cả những người dùng Hitclub.
Ảnh: Ewan Kennedy / Unsplash
Smishing là gì
Smishing là sự kết hợp của "SMS" và "phishing": kẻ xấu gửi tin nhắn văn bản giả danh một tổ chức đáng tin để lừa bạn bấm vào đường dẫn, gọi số điện thoại hoặc cung cấp thông tin như mật khẩu, mã xác thực, thông tin thẻ. Điểm mạnh của chúng là tin nhắn đến thẳng điện thoại, nơi ta quen đọc nhanh và tin dễ dàng hơn so với email.
Chúng có thể giả làm ngân hàng, nhà mạng, đơn vị giao hàng, cơ quan nhà nước, hay chính một nền tảng giải trí như Hitclub. Kẻ gửi còn có thể làm tin nhắn xuất hiện trong cùng một chuỗi với các tin nhắn chính thức, khiến ta tưởng đó là một thông báo thật.
Mẫu tin nhắn mồi thường gặp
Dù nội dung thay đổi, khung của chúng khá lặp lại. Có mẫu dọa: "tài khoản của bạn bị khóa do hoạt động bất thường, xác minh ngay". Có mẫu dụ: "bạn nhận được quà tri ân, bấm để nhận". Có mẫu hối thúc về giao dịch: "phát hiện giao dịch lạ, hủy tại đây". Có mẫu giả hỗ trợ: "chúng tôi cần xác nhận mã OTP vừa gửi để hoàn tất".
Điểm chung là ba yếu tố: cảm giác khẩn cấp, một yêu cầu hành động nhanh, và một đường dẫn hoặc số điện thoại để làm theo. Cảm xúc dùng để khai thác là sợ mất hoặc tham được. Khi thấy cả ba yếu tố cùng lúc trong một tin nhắn, hãy xem đó là hồi chuông báo động, bất kể lời lẽ nghe thuyết phục đến đâu.
Link rút gọn và đích đến bị che giấu
Tin nhắn smishing rất thích dùng đường dẫn rút gọn vì ta không thấy được nó dẫn đi đâu. Một dãy ký tự ngắn có thể che giấu một trang giả mạo giao diện giống hệt, chỉ chờ bạn nhập thông tin. Có trang còn kéo lừa bạn tải về một ứng dụng lạ, vốn là phần mềm độc hại có thể đọc tin nhắn, lấy mã OTP.
Ngay cả khi đường dẫn trông dài và có vẻ chính thức, hãy nhớ kỹ thuật chơi chữ: thêm hoặc đổi một ký tự trong tên miền, thêm từ như "ho-tro" hay "xac-minh". Quy tắc an toàn không dựa vào việc bạn soi ra điểm bất thường, vì có lúc nó giả rất khéo. Quy tắc an toàn là không dựa vào đường dẫn trong tin nhắn nữa.
Quy tắc vàng: không bấm link trong SMS
Hãy gõ thẳng quy tắc này lên bản thảo thói quen của mình: không bấm đường dẫn trong tin nhắn nói về tài khoản hay giao dịch, không gọi vào số trong tin nhắn, không tải ứng dụng theo hướng dẫn của tin nhắn, và tuyệt đối không đọc hay gửi mã xác thực cho bất kỳ ai.
Mã OTP và mã xác thực chỉ để bạn tự nhập vào trang bạn chủ động mở. Không nhân viên thật nào của một dịch vụ cần bạn đọc mã đó qua điện thoại hay nhắn lại. Hễ có người đòi mã, dù tự xưng là hỗ trợ, bảo mật hay cơ quan chức năng, đó là dấu hiệu lừa đảo gần như chắc chắn.
Nếu bạn lỡ bấm vào đường dẫn, đừng nhập gì cả và đóng trang ngay. Nếu đã nhập, hãy đổi mật khẩu từ thiết bị khác, bật hoặc kiểm tra xác thực hai lớp, đăng xuất mọi phiên đang mở, và liên hệ ngân hàng nếu có thông tin thanh toán bị lộ.
Xác minh qua kênh chính thức
Khi nhận một tin nhắn khiến bạn lo, cách làm đúng là bỏ tin nhắn sang một bên và tự tìm đường vào. Mở ứng dụng hoặc trang bạn đã lưu dấu từ nguồn đã xác minh, xem thông báo trong chính tài khoản. Nếu có vấn đề thật, bạn sẽ thấy ở đó. Nếu cần hỗ trợ, tìm số hỗ trợ trong kênh chính thức do chính bạn tự mở, không phải số trong tin nhắn.
Với Hitclub, hãy chỉ tin những thông báo mà bạn thấy khi tự đăng nhập qua đường đã xác minh. Với ngân hàng, dùng số in trên thẻ hoặc ứng dụng chính thức. Cách làm này chậm hơn vài phút nhưng loại bỏ gần như toàn bộ rủi ro, vì kẻ lừa đảo không thể chen vào kênh bạn tự chủ động mở.
Thiết lập thêm lớp bảo vệ cho điện thoại
Hãy bật bộ lọc tin nhắn rác của nhà mạng hoặc hệ điều hành, và dùng chức năng báo cáo tin nhắn lừa đảo khi có. Chặn số gửi sau khi báo cáo. Hạn chế cài ứng dụng từ nguồn ngoài cửa hàng chính thức, và rà soát quyền của các ứng dụng đã cài, nhất là quyền đọc tin nhắn.
Bật xác thực hai lớp bằng ứng dụng tạo mã hoặc khóa bảo mật thay vì chỉ dựa vào mã qua SMS, vì SMS có thể bị chuyển hướng hoặc đọc trộm. Nói chuyện với người thân, nhất là người lớn tuổi, về các mẫu tin nhắn mồi; nhiều người trong nhà thường là mục tiêu dễ bị nhắm vì ít được cảnh báo.
Lời nhắc về chơi có trách nhiệm
Giải trí trực tuyến chỉ dành cho người đủ 18 tuổi trở lên, và bạn cần tuân thủ pháp luật nơi mình cư trú. Dùng Hitclub an toàn nghĩa là vừa giữ tài khoản vững vàng trước lừa đảo, vừa giữ cho giải trí nằm trong giới hạn: chỉ dùng tiền nhàn rỗi, đặt trước thời gian và ngân sách, nghỉ ngơi khi cần. Nếu thấy khó kiểm soát, hãy trò chuyện với người thân hoặc chuyên gia. Mỗi người tự chịu trách nhiệm về lựa chọn của mình.
Tham khảo thông tin tại nhà cái Hit Club.