Chuyên gia phân tích chiêu trò của tội phạm lừa đảo qua mạng

Các thủ đoạn của hacker thời kỳ số ngày càng tinh vi

Những kẻ lừa đảo luôn sống nhờ vào việc khai thác những người dùng dễ tổn thương, thiếu hiểu biết và chúng thích ứng với bất cứ công nghệ hay xu hướng nào đang chiếm lĩnh thời đại. Năm 2025, điều đó đồng nghĩa rằng trí tuệ nhân tạo, tiền điện tử và dữ liệu cá nhân bị đánh cắp chính là những vũ khí ưa thích của chúng.

Và, như từ trước đến nay, nghĩa vụ, nỗi sợ hãi và niềm hy vọng của nạn nhân luôn tạo ra khe hở cho kẻ gian. Ngày nay, “nghĩa vụ” thường là làm theo chỉ thị của cấp trên hay đồng nghiệp - những người mà kẻ lừa đảo có thể mạo danh. “Nỗi sợ hãi” thường là khi tin rằng người thân - mà kẻ lừa đảo cũng có thể giả mạo, đang gặp nguy hiểm. Còn “niềm hy vọng” thường xuất hiện trong các vụ đầu tư hoặc cơ hội việc làm hứa hẹn lợi nhuận.

Lừa đảo bằng AI và deepfake

Trí tuệ nhân tạo không còn là công nghệ xa lạ – nó rẻ, dễ tiếp cận và hiệu quả. Doanh nghiệp dùng AI để quảng cáo và hỗ trợ khách hàng, còn kẻ lừa đảo thì lợi dụng chính công cụ ấy để mô phỏng thực tại với độ chính xác đáng lo ngại.

Tội phạm đang sử dụng âm thanh hoặc video do AI tạo ra để mạo danh giám đốc điều hành, quản lý hay thậm chí là người thân đang gặp nạn. Nhân viên đã bị lừa chuyển tiền hoặc tiết lộ dữ liệu nhạy cảm. Chỉ riêng tại Mỹ, trong năm 2024 đã ghi nhận hơn 105.000 vụ tấn công bằng deepfake, gây thiệt hại hơn 200 triệu USD chỉ trong quý 1/2025. Nạn nhân thường không thể phân biệt được giọng nói hay khuôn mặt nhân tạo với người thật.

Những kẻ gian còn tận dụng thủ đoạn thao túng cảm xúc. Chúng gọi điện hoặc gửi tin nhắn được AI soạn thảo cực kỳ thuyết phục, giả danh người thân hay bạn bè đang gặp nguy hiểm. Đặc biệt, người cao tuổi dễ bị mắc bẫy khi tin rằng cháu chắt hoặc người nhà của mình đang cần cứu gấp. Ủy ban Thương mại liên bang (Mỹ, FTC) đã chỉ ra cách những kẻ lừa đảo dựng lên các tình huống khẩn cấp giả để mạo danh người thân.

Lừa đảo tiền điện tử

Tiền điện tử vẫn là miền Tây hoang dã của tài chính – nhanh chóng, thiếu kiểm soát và đầy rẫy cơ hội cho kẻ gian lợi dụng.

Những kẻ lừa đảo theo kiểu “pump-and-dump (bơm thổi)” thổi giá một loại tiền điện tử bằng cách tạo sự cường điệu trên mạng xã hội, lôi kéo nhà đầu tư bằng lời hứa lợi nhuận khổng lồ - đó là “pump”. Sau đó, chúng bán tháo số coin mình nắm giữ - “dump” - để lại trong tay nạn nhân chỉ là những đồng token vô giá trị.

Một biến thể khác là “mổ lợn” (pig butchering) - sự kết hợp giữa lừa đảo tình cảm và gian lận tiền điện tử. Những kẻ này sẽ tạo dựng niềm tin trong nhiều tuần hay nhiều tháng, rồi dụ dỗ nạn nhân đầu tư vào các nền tảng tiền ảo giả mạo. Khi đã hút được đủ tiền, chúng lập tức biến mất.

Ngoài ra, kẻ lừa đảo còn dùng tiền điện tử làm phương tiện rút tiền từ các vụ mạo danh và nhiều hình thức gian lận khác. Ví dụ, chúng dụ nạn nhân nộp những khoản tiền lớn vào máy ATM bitcoin để chuyển thành tiền điện tử không thể truy vết, dưới danh nghĩa thanh toán tiền phạt hư cấu.

Phishing, smishing, hỗ trợ kỹ thuật giả và lừa đảo việc làm

Những chiêu trò cũ không biến mất; chúng tiến hóa.

Phishing (giả mạo qua email) và smishing (giả mạo qua tin nhắn) đã tồn tại nhiều năm. Nạn nhân bị lừa nhấp vào liên kết trong email hay tin nhắn, dẫn tới việc tải phần mềm độc hại, bị đánh cắp thông tin đăng nhập hoặc dính ransomware. Với AI, các mồi nhử này nay trở nên chân thực đến mức rùng mình, bắt chước giọng điệu doanh nghiệp, ngữ pháp và thậm chí cả nội dung video.

Lừa đảo “hỗ trợ kỹ thuật” thường bắt đầu bằng những cửa sổ bật lên trên máy tính cảnh báo vi rút hay đánh cắp danh tính, buộc người dùng gọi số điện thoại khẩn. Đôi khi chúng chủ động gọi trực tiếp cho nạn nhân. Một khi nạn nhân lên máy cùng “hỗ trợ kỹ thuật” giả mạo, kẻ gian sẽ dụ họ cấp quyền truy cập từ xa vào máy tính “bị xâm nhập”. Từ đó, chúng cài đặt mã độc, đánh cắp dữ liệu, tống tiền hoặc làm cả ba cùng lúc.

Các trang web và danh sách giả mạo cũng là một hình thức phổ biến hiện nay. Những trang web gian dối mạo danh trường đại học hoặc đơn vị bán vé, dụ nạn nhân trả tiền cho việc nhập học, vé xem hòa nhạc hay hàng hóa không có thật.

Một ví dụ: một trang web mang tên “Đại học Đông Nam Michigan” đã xuất hiện và cung cấp thông tin tuyển sinh. Trên thực tế, không hề có trường này. Đại học Eastern Michigan đã phải gửi đơn khiếu nại rằng trang web kia sao chép nội dung của mình để lừa gạt nạn nhân.

Sự trỗi dậy của công việc từ xa và việc làm tự do cũng mở ra nhiều con đường cho kẻ gian.

Nạn nhân được chào mời việc làm giả với lời hứa lương cao và thời gian linh hoạt. Thực tế, kẻ lừa đảo chỉ nhằm moi “phí xin việc” hoặc thu thập dữ liệu cá nhân nhạy cảm như số an sinh xã hội, thông tin ngân hàng, sau này dùng để đánh cắp danh tính.

Cách tự bảo vệ

Công nghệ đã thay đổi, nhưng nguyên tắc cơ bản vẫn như cũ: Đừng bao giờ nhấp vào liên kết đáng ngờ hoặc tải tệp đính kèm từ người gửi lạ và chỉ nhập thông tin cá nhân khi chắc chắn trang web là chính thống. Tránh dùng ứng dụng hoặc đường dẫn của bên thứ ba. Doanh nghiệp hợp pháp luôn có ứng dụng hoặc website chính thức của riêng mình.

Kích hoạt xác thực hai yếu tố bất cứ khi nào có thể. Đây là biện pháp bảo vệ hữu hiệu trước nguy cơ mật khẩu bị đánh cắp. Giữ phần mềm luôn được cập nhật để vá các lỗ hổng bảo mật. Hầu hết phần mềm đều cho phép cập nhật tự động hoặc sẽ cảnh báo khi cần cài bản vá.

Hãy nhớ rằng doanh nghiệp chân chính sẽ không bao giờ yêu cầu bạn cung cấp thông tin cá nhân hay chuyển tiền. Bất kỳ lời đề nghị nào như vậy đều là dấu hiệu cảnh báo.

Quan hệ cá nhân là lĩnh vực khó xử lý hơn. Bang California đã đưa ra hướng dẫn giúp người dân tránh trở thành nạn nhân của chiêu “mổ lợn”.

Công nghệ đã “siêu nạp” những trò lừa xưa cũ. AI khiến sự dối trá gần như không thể phân biệt với thực tại, tiền điện tử cho phép kẻ gian trộm tiền trong bóng tối, còn kỷ nguyên việc làm từ xa mở rộng thêm vô vàn cơ hội để lừa người. Điểm bất biến: kẻ lừa đảo luôn khai thác niềm tin, sự khẩn cấp và sự thiếu hiểu biết. Nhận thức và hoài nghi vẫn là tấm khiên bảo vệ tốt nhất của bạn.

Bùi Tú