Cảnh giác mã QR giả mạo khi thanh toán và đăng nhập Sunwin
Trên chiếc máy đánh chữ, mọi dòng đều đọc được bằng mắt thường: gõ gì hiện nấy, sai chữ nào thấy ngay chữ đó. Mã QR thì ngược lại. Nó là một ô vuông đen trắng mà mắt người không đọc nổi, chỉ có điện thoại mới giải được. Chính điều đó khiến nó trở thành chỗ lý tưởng để giấu một dòng bản thảo giả: bạn không thể nhìn mà biết nó dẫn đến đâu. Hiện tượng lừa đảo dùng mã QR được gọi là quishing, ghép từ QR và phishing. Bài này giúp bạn đọc được "dòng chữ ẩn" trong ô vuông ấy trước khi để điện thoại bước theo.
Ảnh: HY ART / Unsplash
Quishing là gì
Phishing là kiểu lừa dụ bạn vào trang giả để lấy thông tin. Quishing chỉ khác ở lối dẫn: thay vì đường dẫn bằng chữ, kẻ gian đưa một mã QR. Bạn quét, điện thoại mở một địa chỉ, và nếu địa chỉ ấy là trang giả mô phỏng giao diện đăng nhập hay thanh toán của Sunwin, bạn có thể nhập tài khoản, mật khẩu hoặc thông tin thanh toán ngay vào tay kẻ gian.
Vì sao nó hiệu quả? Bởi người ta quen tin mã QR là tiện lợi và vô hại. Hơn nữa nhiều bộ lọc thư rác quét được đường dẫn chữ nhưng không đọc được hình ảnh mã QR, nên kẻ gian lách được chỗ ấy. Khi quét bằng điện thoại cá nhân, bạn còn rời khỏi lớp bảo vệ của máy tính công ty hay trình duyệt đã cấu hình an toàn.
Kẻ gian dán đè mã QR như thế nào
Cách phổ biến và thô sơ nhất là dán đè. Tại những nơi có mã QR thật, như bảng thanh toán, tờ rơi, áp phích hay biển hướng dẫn, kẻ gian dán một nhãn QR giả đè lên mã gốc. Nhìn bằng mắt thường, hai mã đều là ô vuông đen trắng, không ai nhận ra sự khác biệt. Người quét tin rằng mình đang quét mã của nơi đó, nhưng thực tế được chuyển đến địa chỉ khác.
Ngoài ra còn có các hình thức:
- Gửi mã QR qua tin nhắn hoặc thư với lời nhắc "xác minh tài khoản", "nhận hỗ trợ", "cập nhật bảo mật".
- Đăng ảnh mã QR trong bài quảng cáo giả hoặc nhóm trò chuyện, hứa hẹn ưu đãi.
- Tạo trang giả có nút "quét để đăng nhập", sao cho bạn đưa điện thoại vào luồng của kẻ gian.
- Tráo mã tại điểm thanh toán để tiền chuyển vào tài khoản khác.
Cái chung là mã luôn xuất hiện ở nơi bạn lơ là kiểm tra: góc tờ rơi, tin nhắn lạ, trang không rõ nguồn.
Cách kiểm tra đích đến trước khi bấm
Điều quan trọng nhất là đừng bấm mở ngay. Phần lớn ứng dụng quét mã hiển thị địa chỉ đích trước khi mở; hãy tập thói quen đọc dòng ấy như người đọc lại dòng gõ trước khi rút giấy.
- Dừng ở bước xem trước. Nếu ứng dụng cho phép xem địa chỉ, đọc nó kỹ trước khi chạm vào.
- Đọc tên miền từ phải sang trái ở phần cuối. Phần quan trọng là tên miền chính, không phải đoạn chữ dài đặt phía trước. Kẻ gian hay đặt tên thương hiệu vào đoạn đầu để đánh lừa mắt.
- Soi những dấu hiệu lạ: đổi chữ cái giống nhau như chữ l và số 1, thêm gạch nối, thêm đuôi miền hiếm gặp, địa chỉ rút gọn không cho thấy đích thực sự.
- Xem vật lý: mã QR có bị dán đè, nhãn có lệch mép, chất liệu có khác phần xung quanh không.
- Đối chiếu với nguồn chính thức: nếu cần vào Sunwin, hãy mở ứng dụng hoặc trình duyệt và tự gõ hoặc dùng dấu trang bạn đã lưu từ trước, thay vì đi qua mã vừa gặp.
Xác minh tên miền là thao tác cốt lõi. Một tên miền chỉ khác tên thật một ký tự vẫn là một nơi hoàn toàn khác, và không có lý do gì để bạn đặt niềm tin vào nó chỉ vì giao diện trông quen.
Quy tắc ứng xử khi dùng mã QR
Về nguyên tắc, đừng quét mã QR từ nguồn bạn không biết. Mã trong tin nhắn lạ, trong thư không mong đợi, hay dán ở nơi công cộng không ai quản lý đều nên bị coi là đáng ngờ cho đến khi chứng minh được ngược lại.
Với thanh toán, hãy đối chiếu tên người nhận hiển thị trong ứng dụng ngân hàng hoặc ví trước khi xác nhận. Nếu tên người nhận không khớp với nơi bạn định trả, dừng lại. Với đăng nhập, một dịch vụ nghiêm túc sẽ không yêu cầu bạn quét một mã nhận từ người khác rồi nhập mật khẩu ở trang lạ. Đăng nhập luôn nên bắt đầu từ ứng dụng hoặc trang chính thức bạn tự mở.
Nếu một người tự xưng là hỗ trợ gửi mã QR bảo bạn quét để "giải quyết sự cố", hãy dừng. Giống như quy tắc với cuộc gọi lạ, bạn cúp cuộc trò chuyện, rồi tự mình liên hệ lại qua kênh chính thức.
Nếu lỡ quét hoặc đã nhập thông tin
Đừng hoảng, nhưng hành động nhanh gọn:
- Đóng trang ngay, không nhập thêm gì.
- Nếu đã nhập mật khẩu, đổi mật khẩu tài khoản từ một thiết bị sạch, và đổi luôn ở những nơi dùng cùng mật khẩu đó.
- Đăng xuất khỏi các thiết bị khác, bật xác thực hai bước nếu chưa bật.
- Nếu đã nhập thông tin thanh toán hoặc chuyển tiền, liên hệ ngay ngân hàng hoặc ví để được hướng dẫn xử lý và khoá giao dịch nếu còn kịp.
- Báo qua kênh hỗ trợ chính thức để họ biết có mã giả đang lưu hành.
Cập nhật hệ điều hành và ứng dụng đều đặn cũng góp phần vá những lỗ hổng mà kẻ gian có thể lợi dụng sau cú quét.
Lưu ý 18+ và chơi có trách nhiệm
Sunwin là dịch vụ giải trí dành cho người từ đủ 18 tuổi, và bạn cần tuân thủ pháp luật nơi mình sinh sống. Hãy đặt ra giới hạn giải trí rõ ràng về thời gian lẫn ngân sách, và chỉ dùng khoản tiền bạn thoải mái chi cho mục đích vui chơi. Mọi quyết định thanh toán đều do bạn tự chịu trách nhiệm, vì vậy hãy chậm lại đủ để kiểm tra người nhận và tên miền trước khi xác nhận bất cứ điều gì. Nếu bạn thấy mình hối hả, bị thúc ép hoặc mất kiểm soát, hãy dừng lại và tìm sự hỗ trợ phù hợp.
Tham khảo thông tin tại customplays.in.net.