Nhận diện tấn công giả mạo qua tin nhắn SMS smishing nhắm Tipclub
Hồi xưa, có người dán một tờ giấy đánh máy lên cửa nhà hàng xóm: "Ống nước hỏng, xin gọi số này gấp." Nhiều người gọi ngay mà không hỏi ai viết. Tin nhắn SMS ngày nay là phiên bản số của tờ giấy ấy. Ngắn, gấp gáp, trông như tin của một đơn vị đáng tin, và chỉ cần một lần bấm vào đường dẫn là đủ để mất tài khoản. Hình thức này có tên là smishing. Nếu bạn dùng Tipclub, hiểu cách nó vận hành giúp bạn giữ tài khoản và tiền của mình an toàn.
Ảnh: Gene Gallin / Unsplash
Smishing là gì
Smishing là ghép của SMS và phishing: lừa đảo qua tin nhắn văn bản. Kẻ gửi giả danh một tổ chức mà bạn có thể đang dùng, như ngân hàng, nhà mạng, đơn vị giao hàng hay một nền tảng giải trí, rồi dụ bạn bấm vào đường dẫn, gọi một số điện thoại, hoặc gửi lại thông tin. Mục tiêu thường là:
- Lấy tên đăng nhập, mật khẩu hoặc mã OTP.
- Dẫn bạn tới trang giả để nhập thông tin thanh toán.
- Cài ứng dụng độc hại lên điện thoại.
- Khiến bạn chuyển tiền trực tiếp.
SMS dễ bị lợi dụng vì ai cũng có thể giả tên người gửi, và tin nhắn đến thẳng tay người dùng, kèm cảm giác khẩn cấp.
Các mẫu tin nhắn mồi thường gặp
Dù đóng vai khác nhau, những tin nhắn này có chung bộ khung. Một số mẫu để bạn nhận ra:
- Cảnh báo tài khoản: "Tài khoản của bạn bị khóa do hoạt động bất thường, xác minh ngay."
- Tin trúng thưởng: "Chúc mừng bạn nhận quà tri ân, bấm nhận trong hôm nay."
- Thông báo thanh toán: "Giao dịch bất thường đã phát sinh, nếu không phải bạn hãy bấm hủy."
- Hoàn tiền hoặc ưu đãi: "Bạn được hoàn một khoản, cập nhật thông tin để nhận."
- Mạo danh hỗ trợ: "Nhân viên hỗ trợ cần mã xác nhận để giúp bạn."
- Mạo danh người quen: số lạ nhắn "mình đổi số mới, chuyển giúp mình gấp".
Đặc điểm chung: thúc giục, dọa mất mát hoặc hứa lợi ích, và luôn hướng bạn tới một hành động ngay lập tức.
Liên kết rút gọn và dấu hiệu bất thường
Liên kết là mắt xích nguy hiểm nhất của tin nhắn. Kẻ lừa đảo thường dùng dịch vụ rút gọn để che địa chỉ thật, khiến bạn không thể nhìn ra trang đích. Một số điểm cần cảnh giác:
- Liên kết rút gọn trong tin nhắn tự xưng là của một tổ chức lớn. Tổ chức nghiêm túc hiếm khi dùng liên kết che đích trong tin nhắn cảnh báo.
- Tên miền lạ, có thêm từ thừa, hoặc đổi chữ cái giống nhau.
- Lỗi chính tả, văn phong ngượng nghịu, thiếu dấu, cách xưng hô chung chung kiểu "khách hàng thân mến".
- Người gửi là số điện thoại thường hoặc mã gửi lạ, nhưng lại nhắn về tài khoản của một nền tảng cụ thể.
- Tin nhắn nằm lẫn trong chuỗi tin nhắn thật, do kẻ gửi giả mạo tên hiển thị.
Một lưu ý: đừng bao giờ bấm thử "xem cho biết". Một số trang chỉ cần mở là đã cố cài mã độc hoặc ghi nhận rằng số của bạn đang hoạt động, rồi nhắm bạn tiếp.
Quy tắc không bấm liên kết trong SMS
Đơn giản nhất và hiệu quả nhất: không bấm liên kết trong SMS liên quan đến tài khoản hay tiền bạc, kể cả khi tin có vẻ thật. Thay vào đó:
- Dừng lại, hít một hơi. Sự gấp gáp là vũ khí của kẻ gửi, nên hãy đánh bại nó bằng việc chậm lại.
- Không trả lời, không gọi lại số trong tin nhắn.
- Tự mở ứng dụng hoặc trang đã lưu của Tipclub bằng dấu trang bạn tự tạo, rồi xem trong tài khoản có thông báo nào không.
- Nếu thông báo có thật, bạn sẽ thấy nó ở kênh chính thức.
- Chặn số gửi và báo cáo tin nhắn rác cho nhà mạng hoặc kênh tiếp nhận của hệ điều hành.
Nguyên tắc gọn lại thành một câu: tin nhắn tới tìm bạn, thì bạn đi tìm thông tin thật bằng đường của mình.
Xác minh qua kênh chính thức
Khi bạn cần chắc chắn, hãy dùng kênh mà bạn tự tìm ra, không dùng kênh do tin nhắn cung cấp:
- Mở ứng dụng hoặc trang chính thức bằng dấu trang đã lưu, xem mục thông báo.
- Liên hệ bộ phận hỗ trợ qua thông tin liên hệ đăng trên các kênh chính thức của nền tảng.
- Với ngân hàng hoặc nhà mạng, gọi tổng đài in sau thẻ hoặc trên hóa đơn.
- Hỏi người thân nếu tin nhắn tự nhận là của người quen, bằng cách gọi trực tiếp số cũ của họ.
Nhớ rằng nhân viên hỗ trợ thật không bao giờ hỏi mật khẩu, mã OTP hay mã khôi phục. Hễ có ai yêu cầu những thứ đó, hãy dừng cuộc trò chuyện.
Nếu lỡ bấm vào hoặc đã nhập thông tin
Đừng hoảng. Hãy làm theo thứ tự:
- Ngắt kết nối mạng nếu thấy điện thoại có hành vi lạ, và gỡ ứng dụng vừa cài từ liên kết.
- Đổi ngay mật khẩu tài khoản bị liên quan từ một thiết bị tin cậy, bật xác thực hai lớp.
- Đăng xuất mọi phiên đăng nhập, kiểm tra lịch sử đăng nhập và các thay đổi lạ.
- Gọi ngân hàng nếu đã nhập thông tin thanh toán để khóa thẻ hoặc theo dõi giao dịch.
- Lưu ảnh chụp tin nhắn và báo cho cơ quan chức năng nếu có thiệt hại.
- Cảnh báo người thân, vì kẻ gửi thường nhắn hàng loạt.
Bạn không có lỗi khi gặp tin lừa đảo, và việc báo sớm là giá trị lớn nhất bạn đóng góp cho cả cộng đồng.
Thói quen phòng ngừa
Tắt tính năng tự động tải liên kết xem trước, giữ hệ điều hành cập nhật, bật bộ lọc tin rác, và hạn chế để lộ số điện thoại ở nơi công khai. Dùng số điện thoại riêng cho các dịch vụ quan trọng cũng giúp giảm lượng tin lạ. Tờ giấy dán cửa có thể giống thật đến mức nào, bạn vẫn luôn có quyền hỏi: ai viết, và vì sao cần tôi làm điều đó ngay.
Nội dung về Tipclub dành cho người từ đủ 18 tuổi, mang tính tham khảo. Mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí hợp lý và tự chịu trách nhiệm với quyết định của mình.