Tin nhắn SMS 'Tài khoản có dư...', bẫy lừa đảo mới

Không còn mạo danh cơ quan công quyền hay ngân hàng như nhiều kịch bản trước đây, các đối tượng lừa đảo trên không gian mạng đang chuyển sang phát tán hàng loạt tin nhắn SMS với nội dung đánh mạnh vào sự tò mò của người dùng. Chỉ bằng một dòng thông báo ngắn như "Tài khoản có dư 378k!", "Nạp đầu 188 nhận ngay 376!" hoặc các lời mời nhận thưởng hấp dẫn, nhiều người đã vô tình truy cập vào các website giả mạo và trở thành nạn nhân của các vụ lừa đảo công nghệ cao.

Theo cảnh báo từ Công an tỉnh Gia Lai, thời gian gần đây, nhiều người dân liên tục phản ánh việc nhận được các tin nhắn từ số điện thoại lạ. Nội dung thường thông báo tài khoản được cộng tiền, nhận ưu đãi hoặc mời tham gia chương trình khuyến mại với mức lợi nhuận bất thường, kèm theo một đường link không rõ nguồn gốc.

Qua rà soát, lực lượng chức năng xác định đây là một trong những thủ đoạn lừa đảo mới nhằm dẫn dụ người dùng truy cập vào các website độc hại. Mục tiêu cuối cùng của các đối tượng là đánh cắp thông tin cá nhân, chiếm quyền kiểm soát tài khoản ngân hàng hoặc cài mã độc lên thiết bị của nạn nhân.

(Ảnh: Công an tỉnh Gia Lai )

Theo Công an tỉnh Gia Lai, người dân có thể nhận diện các tin nhắn này thông qua nhiều dấu hiệu. Trước hết, tin nhắn thường được gửi từ số điện thoại thông thường thay vì tên định danh của ngân hàng hoặc doanh nghiệp chính thức. Bên cạnh đó, các đường link đính kèm có tên miền bất thường như "ud23", "ug96"... không phải tên miền chính thức của các tổ chức uy tín.

Để tăng tỷ lệ người dùng nhấp vào liên kết, các đối tượng thường sử dụng những nội dung kích thích tâm lý như "Tài khoản có dư 378k!", "Nạp đầu 188 nhận ngay 376!", "Nhận thưởng", "Được cộng tiền", hoặc các chương trình ưu đãi với mức lợi nhuận rất cao. Đây đều là những thông điệp được thiết kế nhằm tạo cảm giác người nhận vừa có một khoản tiền bất ngờ hoặc đang đứng trước cơ hội kiếm lời dễ dàng.

Sau khi truy cập vào website giả mạo, nạn nhân thường được yêu cầu đăng nhập tài khoản ngân hàng, ví điện tử hoặc nhập thông tin cá nhân để "xác minh", "kích hoạt ưu đãi" hoặc "nhận thưởng". Một số website còn yêu cầu người dùng nhập mã OTP với lý do xác thực giao dịch. Chỉ cần hoàn tất các bước này, toàn bộ thông tin đăng nhập sẽ bị chuyển đến máy chủ của kẻ gian.

Ở một số trường hợp khác, website sẽ tự động yêu cầu tải xuống một ứng dụng hoặc tập tin có chứa mã độc. Khi người dùng cài đặt, phần mềm độc hại sẽ âm thầm thu thập dữ liệu, ghi lại thao tác trên điện thoại hoặc chiếm quyền điều khiển thiết bị, tạo điều kiện để các đối tượng thực hiện các giao dịch trái phép.

Thực tế, không ít người đã trở thành nạn nhân của chiêu trò này. Anh N.Q.T. (TP.HCM) cho biết bản thân nhận được tin nhắn với nội dung "Tài khoản có dư 420.000 đồng, nhấn vào link để kiểm tra". Tin rằng đây là thông báo từ một dịch vụ tài chính, anh truy cập website và đăng nhập theo hướng dẫn. Chỉ khoảng 10 phút sau, tài khoản ngân hàng của anh liên tiếp phát sinh các giao dịch chuyển tiền với tổng giá trị hơn 48 triệu đồng. Khi liên hệ ngân hàng, anh mới biết website mình vừa truy cập hoàn toàn là giả mạo.

Trong một vụ việc khác, chị L.T.H. tại Hà Nội nhận được tin nhắn quảng cáo "Nạp 188 nhận ngay 376". Nghĩ đây là chương trình ưu đãi của một ví điện tử, chị làm theo hướng dẫn, nhập thông tin tài khoản và chuyển khoản "kích hoạt". Sau nhiều lần được yêu cầu nạp thêm tiền để mở khóa phần thưởng, chị đã chuyển tổng cộng gần 12 triệu đồng trước khi phát hiện đối tượng chặn toàn bộ liên lạc.

Theo cơ quan chức năng, điểm nguy hiểm của thủ đoạn này nằm ở chỗ tin nhắn được phát tán hàng loạt với chi phí rất thấp nhưng có thể tiếp cận hàng chục nghìn người trong thời gian ngắn. Chỉ cần một tỷ lệ nhỏ người dùng mất cảnh giác truy cập vào đường link, các đối tượng đã có thể thu lợi bất chính với số tiền rất lớn.

Ngoài việc chiếm đoạt tiền trong tài khoản ngân hàng, dữ liệu cá nhân đánh cắp được còn có thể bị mua bán trên các diễn đàn ngầm hoặc tiếp tục được sử dụng trong những chiến dịch lừa đảo khác như giả danh ngân hàng, giả danh cơ quan chức năng hay vay tiền trực tuyến.

Trước tình trạng các chiến dịch phát tán tin nhắn lừa đảo ngày càng gia tăng, Công an tỉnh Gia Lai khuyến cáo người dân tuyệt đối không nhấp vào các đường link xuất hiện trong tin nhắn từ số điện thoại lạ hoặc những nguồn chưa được kiểm chứng.

Cơ quan chức năng cũng nhấn mạnh người dân không đăng nhập tài khoản ngân hàng, ví điện tử trên các website không rõ nguồn gốc; không chuyển tiền để "kích hoạt tài khoản", "nhận thưởng", "xác minh giao dịch" hay bất kỳ lý do nào do đối tượng đưa ra. Đồng thời, tuyệt đối không cung cấp mã OTP, mật khẩu hay thông tin cá nhân cho bất kỳ cá nhân hoặc tổ chức nào thông qua tin nhắn hoặc điện thoại.

Theo Công an tỉnh Gia Lai, mọi giao dịch tài chính chỉ nên được thực hiện trên website và ứng dụng chính thức của ngân hàng hoặc doanh nghiệp uy tín. Khi phát hiện tin nhắn có dấu hiệu bất thường, người dân nên xóa ngay, chặn số điện thoại gửi đến và báo cho cơ quan công an nếu nghi ngờ đã trở thành nạn nhân.

Ở góc độ chuyên gia an ninh mạng, ông Vũ Ngọc Sơn, khi nhận định về các vụ việc tương tự, cho rằng việc các ngân hàng khuyến cáo người dùng kiểm tra kỹ tên miền chính thức trước khi truy cập là cần thiết nhưng vẫn chưa đủ để ngăn chặn hoàn toàn các hình thức lừa đảo hiện nay.

Theo ông Sơn, một nguy cơ đáng chú ý đến từ việc sử dụng các đường link rút gọn. Hiện nay, nhiều ngân hàng tại Việt Nam sử dụng các dịch vụ như Bit.ly để gửi liên kết về chương trình khuyến mại hoặc hướng dẫn cài đặt ứng dụng SmartBanking. Điều này vô tình tạo cơ hội để các đối tượng lừa đảo tạo ra các đường link rút gọn có hình thức gần giống liên kết thật, chỉ thay đổi vài ký tự khiến người dùng rất khó nhận biết.

Chuyên gia cho rằng nếu kẻ gian đồng thời giả mạo cả đường link rút gọn và tên ngân hàng thì nguy cơ người dùng truy cập nhầm website giả mạo sẽ rất cao. Sau khi truy cập, người dùng có thể bị đánh cắp tài khoản ngân hàng hoặc bị cài mã độc mà không hề hay biết.

Từ thực tế đó, ông Vũ Ngọc Sơn khuyến nghị các ngân hàng nên hạn chế tối đa việc gửi đường link rút gọn qua tin nhắn, thay vào đó nên sử dụng đầy đủ tên miền chính thức đã được công bố. Đối với người dùng, nếu buộc phải mở một đường link rút gọn, nên kiểm tra kỹ địa chỉ website cuối cùng sau khi trình duyệt chuyển hướng để xác định đó có đúng là trang chính thức của ngân hàng hay không.

Các chuyên gia an ninh mạng cũng nhận định rằng tội phạm mạng hiện không còn tập trung vào việc tấn công hệ thống bảo mật của ngân hàng mà chuyển sang khai thác điểm yếu lớn nhất là sự mất cảnh giác của người dùng. Chỉ cần một cú nhấp chuột vào đường link giả hoặc một lần nhập thông tin đăng nhập trên website mạo danh, toàn bộ lớp bảo vệ của tài khoản ngân hàng có thể bị vô hiệu hóa.

Trong bối cảnh các hình thức lừa đảo trực tuyến liên tục biến đổi, việc hình thành thói quen kiểm chứng nguồn gửi, kiểm tra kỹ tên miền website và tuyệt đối không cung cấp mã OTP hay thông tin tài khoản qua các đường link nhận được trong tin nhắn vẫn là biện pháp hiệu quả nhất để bảo vệ tài sản và dữ liệu cá nhân trên môi trường số.