Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm Sunwin
Có những mẩu giấy nhắn gõ máy chỉ vài dòng, nhét qua khe cửa, mà người nhận đọc xong lập tức làm theo vì tưởng khẩn cấp. Tin nhắn SMS giả mạo là phiên bản hiện đại của mẩu giấy ấy: ngắn, gấp gáp, đến thẳng điện thoại. Giới bảo mật gọi chiêu này là smishing, ghép từ SMS và phishing. Với người dùng Sunwin, và rộng ra là mọi người dùng dịch vụ trực tuyến, biết nhận diện smishing là kỹ năng nền tảng để giữ tài khoản và tiền bạc an toàn.
Ảnh: Georg Bommeli / Unsplash
Smishing là gì và vì sao nó hiệu quả
Smishing là hình thức lừa đảo qua tin nhắn văn bản, trong đó kẻ xấu giả danh một tổ chức đáng tin như ngân hàng, nhà mạng, cơ quan nhà nước, đơn vị giao hàng hoặc chính dịch vụ bạn đang dùng, nhằm khiến bạn bấm vào đường dẫn, gọi một số điện thoại hoặc cung cấp thông tin nhạy cảm như mật khẩu, mã OTP.
Nó hiệu quả vì vài lý do tâm lý. Tin nhắn có cảm giác thân mật và đáng tin hơn thư rác. Màn hình nhỏ khiến khó soi kỹ đường dẫn. Người nhận thường đọc khi đang bận, nên phản ứng theo phản xạ. Và kẻ lừa đảo có thể làm tin giả hiện chung luồng với tin thật của một thương hiệu trên điện thoại, khiến người ta tin lầm.
Các mẫu tin nhắn mồi thường gặp
Dù nội dung thay đổi, khung của chúng khá giống nhau. Hãy nhận diện qua các mẫu sau, đã được viết khái quát:
- Cảnh báo bất thường tài khoản: "Tài khoản của bạn có hoạt động lạ, xác minh ngay để tránh bị khoá".
- Thông báo khoá hoặc hết hạn: doạ tạm ngưng tài khoản nếu không cập nhật thông tin trong thời gian ngắn.
- Quà tặng, ưu đãi bất ngờ: báo bạn trúng thưởng hoặc nhận thưởng, chỉ cần bấm vào nhận.
- Hoàn tiền hoặc giao dịch nhầm: nói có khoản tiền chờ hoàn, yêu cầu điền thông tin để nhận.
- Mã xác thực "gửi nhầm": người lạ nhắn xin bạn đọc lại mã vừa nhận được.
- Gói hàng gặp sự cố: báo đơn hàng chưa giao được, cần bấm vào đường dẫn để xác nhận địa chỉ.
Điểm chung là cảm xúc: sợ mất, mừng được, hoặc gấp gáp. Kẻ lừa đảo cố đẩy bạn vào trạng thái không kịp nghĩ. Khi thấy tin nhắn khiến tim mình đập nhanh, đó là lúc dừng lại nhiều nhất.
Đường dẫn rút gọn và các cạm bẫy trong link
Tin nhắn thường kèm đường dẫn ngắn, chỉ vài ký tự, che mất địa chỉ đích thật. Bạn không thể biết nó dẫn tới đâu nếu chỉ nhìn. Những điều cần cảnh giác:
- Đường dẫn rút gọn từ người hoặc số lạ, đặc biệt trong tin nhắn khẩn.
- Tên miền gần giống thương hiệu nhưng sai một vài ký tự hay thêm chữ lạ.
- Trang đích trông như trang đăng nhập thật nhưng yêu cầu nhập mật khẩu hay mã OTP.
- Yêu cầu tải ứng dụng hoặc tệp từ ngoài kho ứng dụng chính thức, vì có thể chứa phần mềm độc hại.
- Trang yêu cầu nhập nhiều thông tin hơn mức cần thiết như số thẻ, mã bảo mật mặt sau.
Dù trang đích có ổ khóa HTTPS cũng chưa nói lên điều gì, vì ổ khóa chỉ cho biết kênh được mã hóa chứ không xác nhận chủ trang là ai. Vì vậy cách an toàn nhất là không bấm.
Quy tắc vàng: không bấm link trong SMS
Đây là quy tắc đơn giản nhất và hiệu quả nhất: không bấm đường dẫn trong tin nhắn nếu nó kêu bạn đăng nhập, xác minh hay cung cấp thông tin. Với các dịch vụ như Sunwin, nếu có thông báo thật cần xử lý, bạn luôn có thể kiểm tra bằng cách tự mở ứng dụng hoặc dấu trang đã xác minh từ trước, chứ không cần đi qua đường dẫn người khác gửi.
Kèm theo là một số nguyên tắc phụ:
- Không bao giờ đọc hay gửi mã OTP cho bất kỳ ai, kể cả người xưng là nhân viên hỗ trợ. Mã OTP chỉ để bạn tự nhập.
- Không gọi vào số điện thoại nằm trong tin nhắn đáng ngờ.
- Không trả lời tin nhắn lạ, kể cả để nhắn "dừng", vì trả lời cho kẻ xấu biết số bạn đang hoạt động.
- Không bị thúc ép bởi đồng hồ đếm ngược hay lời đe doạ.
Hãy tự nhắc: dịch vụ đàng hoàng không bao giờ cần bạn tiết lộ mật khẩu hay mã xác thực qua tin nhắn.
Xác minh qua kênh chính thức
Khi nhận một tin nhắn khiến bạn lo, hãy làm theo trình tự bình tĩnh:
- Không phản hồi, không bấm. Giữ nguyên tin nhắn để làm bằng chứng.
- Tự mở dịch vụ bằng cách bạn vẫn dùng, như ứng dụng đã cài từ kho chính thức hoặc dấu trang đã lưu. Kiểm tra xem có thông báo tương tự trong tài khoản không.
- Liên hệ kênh hỗ trợ chính thức qua thông tin mà bạn đã tự xác minh trước đó, không dùng số hay liên kết trong tin nhắn.
- Hỏi lại người thân hoặc bạn bè nếu còn phân vân.
- Báo cáo và chặn số. Chuyển tiếp tin nhắn lừa đảo cho nhà mạng hoặc kênh báo cáo của cơ quan chức năng theo hướng dẫn, rồi chặn số gửi.
Nếu lỡ bấm đường dẫn hoặc nhập thông tin, đừng hoảng: đổi ngay mật khẩu ở thiết bị an toàn, bật hoặc kiểm tra lại xác thực hai bước, đăng xuất các thiết bị lạ, liên hệ ngân hàng nếu đã nhập thông tin thẻ, và quét thiết bị nếu lỡ tải ứng dụng lạ.
Thói quen phòng ngừa lâu dài
Vài thói quen nhỏ tạo ra khác biệt lớn. Bật xác thực hai bước, ưu tiên ứng dụng xác thực hoặc khóa bảo mật thay vì chỉ SMS. Dùng mật khẩu riêng cho từng dịch vụ qua trình quản lý mật khẩu, để một tài khoản lộ không kéo theo cả loạt. Bật bộ lọc tin nhắn rác của điện thoại và nhà mạng. Cập nhật hệ điều hành thường xuyên. Và quan trọng nhất, chia sẻ cho người thân, đặc biệt người lớn tuổi, biết rằng tin nhắn có thể giả mạo. Một mẩu giấy gõ rất đẹp vẫn có thể do người lạ viết.
Lưu ý 18+ và chơi có trách nhiệm
Dịch vụ giải trí liên quan đến Sunwin chỉ dành cho người đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, xem đây là hoạt động giải trí, đặt giới hạn thời gian và ngân sách rõ ràng, và tự chịu trách nhiệm với lựa chọn của mình. Không chuyển tiền hay chia sẻ mã xác thực theo bất kỳ tin nhắn lạ nào. Khi thấy bất an hoặc mất cân bằng, hãy dừng lại và tìm sự hỗ trợ phù hợp.
Tham khảo thông tin tại customplays.in.net.