Từ thiệp cưới, vé xem phim đến ứng dụng kiếm tiền: Những chiếc bẫy mới trên điện thoại

Ông Ngô Minh Hiếu giới thiệu các hình thức lừa đảo trực truyến.

Khi những hoạt động quen thuộc trở thành cái bẫy

Một tin nhắn mời xem thiệp cưới điện tử, đường dẫn xem phim hoặc thông báo nhận quà thường không khiến người dùng nghi ngờ. Những hoạt động này đã trở thành một phần quen thuộc của đời sống số, đặc biệt khi việc trao đổi thông tin, mua sắm và thanh toán qua điện thoại ngày càng phổ biến.

Tuy nhiên, chính sự quen thuộc ấy đang bị tội phạm mạng lợi dụng. Thay vì bắt đầu bằng một lời đe dọa hoặc yêu cầu chuyển tiền trực tiếp, kẻ gian có thể tiếp cận nạn nhân thông qua những nội dung tưởng như vô hại, sau đó từng bước dẫn họ đến việc cung cấp thông tin cá nhân, cài ứng dụng hoặc thực hiện giao dịch.

Trao đổi với phóng viên báo Tin tức và Dân tộc hôm 28/10, chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC) cho biết kẻ gian thường đặt bẫy trong những hoạt động người dùng ít đề phòng như xem thiệp cưới, xem phim, đăng nhập tài khoản hoặc nhận quà. Đáng chú ý, tin nhắn độc hại còn có thể được gửi từ tài khoản của người quen đã bị chiếm quyền, khiến người nhận dễ tin tưởng hơn.

Theo ông Ngô Minh Hiếu, dấu hiệu cần cảnh giác không nằm ở bản thân hoạt động xem thiệp hay nhận quà, mà ở những yêu cầu bất thường đi kèm. Chẳng hạn, một đường dẫn xem thiệp cưới lại yêu cầu nhập mật khẩu, cài ứng dụng không rõ nguồn gốc; hoặc một lời mời kiếm tiền trực tuyến đòi người tham gia phải nạp tiền trước khi nhận được thu nhập.

Đây là sự thay đổi đáng chú ý trong cách tiếp cận nạn nhân. Kẻ gian không nhất thiết phải tạo ra một tình huống quá khác thường. Chúng có thể bắt đầu bằng việc mô phỏng chính những trải nghiệm quen thuộc trên điện thoại, khiến người dùng khó nhận ra thời điểm một hoạt động bình thường chuyển thành hành vi có nguy cơ mất an toàn.

Trước đó, tại một cuộc hội thảo ngày 23/10, ông Ngô Minh Hiếu cũng cảnh báo việc trí tuệ nhân tạo (AI) đang được các đối tượng sử dụng để tạo hình ảnh, giọng nói và video giả mạo, đồng thời phục vụ nhiều hoạt động tấn công trên không gian mạng.

Rõ ràng AI đang khiến việc xây dựng nội dung giả trở nên nhanh chóng và thuyết phục hơn. Khi những thông điệp này được phát tán qua tài khoản quen thuộc hoặc gắn với một hoạt động thường ngày, người dùng càng dễ bỏ qua bước kiểm chứng cần thiết.

Thượng tá, Tiến sĩ Đào Trung Hiếu, thành viên Hiệp hội An ninh mạng Quốc gia. Ảnh: NVCC

Tội phạm không chỉ lấy tiền mà còn thao túng quyết định

Điểm chung của nhiều thủ đoạn lừa đảo trực tuyến là khiến nạn nhân tự thực hiện những hành động có lợi cho đối tượng phạm tội. Để đạt được mục đích, kẻ gian thường kết hợp nhiều yếu tố tâm lý, từ lòng tin, sự tò mò đến nỗi sợ hãi và mong muốn kiếm thêm thu nhập.

Theo ông Ngô Minh Hiếu, trong các kịch bản lừa đảo kiếm tiền trực tuyến, đối tượng có thể cho người tham gia nhận một khoản tiền nhỏ ở giai đoạn đầu để tạo lòng tin. Sau đó, chúng yêu cầu nạp những khoản tiền lớn hơn với lời hứa về lợi nhuận hoặc phần thưởng.

Khi nạn nhân muốn dừng lại, đối tượng tiếp tục viện lý do phải đóng thêm phí, hoàn thành nhiệm vụ hoặc thực hiện một giao dịch cuối cùng mới có thể rút tiền. Càng tiếc số tiền đã bỏ ra, người tham gia càng dễ tiếp tục chuyển thêm, dù những dấu hiệu bất thường đã xuất hiện.

Cơ chế này tương đồng với phân tích của Thượng tá, Tiến sĩ Đào Trung Hiếu, thành viên Hiệp hội An ninh mạng Quốc gia, trong bài viết “Thanh toán số và bài toán bảo vệ niềm tin”. Theo ông Đào Trung Hiếu, nhiều vụ lừa đảo tài chính trên không gian mạng diễn ra theo ba bước: “mượn danh, gài bẫy, dẫn tiền đi”.

Ở bước đầu, đối tượng tạo vỏ bọc đáng tin cậy, có thể là nhân viên ngân hàng, cán bộ cơ quan chức năng, đơn vị giao hàng, nhà tuyển dụng hoặc người quen. Tiếp đó, chúng dựng tình huống để tác động đến cảm xúc, gây áp lực hoặc thúc đẩy nạn nhân đưa ra quyết định. Cuối cùng, người bị lừa được dẫn đến việc cung cấp mã xác thực, cài ứng dụng giả mạo, chia sẻ màn hình hoặc chuyển tiền.

Điều đáng chú ý là tội phạm không nhất thiết phải vượt qua hệ thống bảo mật của ngân hàng để chiếm đoạt tài sản. Trong nhiều trường hợp, chúng tìm cách khiến chính chủ tài khoản thực hiện giao dịch.

Ông Đào Trung Hiếu nhận định, trước khi chiếm đoạt tiền, đối tượng đã tìm cách chiếm quyền quyết định của nạn nhân. Đây cũng là lý do nhiều người dù có hiểu biết về công nghệ vẫn có thể bị lừa khi rơi vào tình huống bị thúc ép, đe dọa hoặc dẫn dắt tâm lý.

Trong bài viết “Cái bẫy sau màn hình”, ông Đào Trung Hiếu tiếp tục phân biệt hai yếu tố thường bị nhầm lẫn: “điểm mù số” và “lỗ hổng tâm lý”. Trong đó, “điểm mù số” xuất hiện khi người dùng không nhận diện được rủi ro, chẳng hạn tin rằng một website có giao diện đẹp, logo quen thuộc hoặc tài khoản có nhiều người theo dõi chắc chắn là đáng tin cậy còn “lỗ hổng tâm lý” là trạng thái cảm xúc hoặc nhu cầu khiến con người mất khả năng đánh giá thận trọng.

Một người có thể thành thạo ứng dụng ngân hàng, mua sắm trực tuyến và thanh toán không dùng tiền mặt, nhưng vẫn làm theo hướng dẫn của đối tượng lừa đảo khi bị đặt vào tình huống quá khẩn cấp hoặc quá hấp dẫn. Theo cách phân tích của ông Đào Trung Hiếu, những lời đề nghị “quá hời, quá gấp và quá bí mật” là các dấu hiệu cần đặc biệt cảnh giác.

Sự kết hợp giữa công nghệ giả mạo và thao túng tâm lý vì thế khiến lừa đảo trực tuyến không còn đơn thuần là vấn đề thiếu kiến thức sử dụng thiết bị. Đây còn là cuộc tấn công vào lòng tin, thói quen và khả năng ra quyết định của con người.

Một ứng dụng lạ có thể mở đường cho nhiều rủi ro

Bên cạnh việc dụ nạn nhân tự chuyển tiền, một số thủ đoạn còn tìm cách chiếm quyền truy cập dữ liệu hoặc điều khiển thiết bị thông qua ứng dụng độc hại.

Theo chuyên gia Ngô Minh Hiếu, rủi ro phụ thuộc vào loại ứng dụng và những quyền mà người dùng đã cấp. Chẳng hạn, quyền truy cập danh bạ có thể bị lợi dụng để thu thập thông tin về các mối quan hệ, phục vụ việc mạo danh hoặc tiếp tục phát tán nội dung lừa đảo. Quyền đọc tin nhắn có thể làm lộ những thông tin nhạy cảm, bao gồm mã xác thực được gửi qua SMS. Đặc biệt, trên thiết bị Android, quyền trợ năng nếu bị ứng dụng độc hại lạm dụng có thể cho phép đọc nội dung hiển thị trên màn hình và thực hiện một số thao tác thay người dùng, tùy thuộc thiết bị và cơ chế bảo vệ.

Những quyền này vốn được thiết kế để phục vụ các chức năng hợp pháp của điện thoại. Tuy nhiên, khi được trao cho ứng dụng không đáng tin cậy, chúng có thể trở thành công cụ hỗ trợ hành vi xâm nhập và chiếm đoạt thông tin.

Ông Ngô Minh Hiếu lưu ý, không phải cứ bấm vào một đường dẫn là người dùng lập tức bị mất tiền. Mức độ nguy hiểm phụ thuộc vào hành vi tiếp theo, loại mã độc, quyền truy cập đã được cấp và các biện pháp bảo vệ đang hoạt động trên thiết bị.

Việc phân biệt các mức độ rủi ro có ý nghĩa quan trọng trong truyền thông phòng chống lừa đảo. Nếu mọi tình huống đều được mô tả như một nguy cơ mất tiền tức thì, người dùng có thể hoang mang nhưng lại không biết cần kiểm tra hoặc xử lý điều gì.

Thay vào đó, cần giúp người dân nhận diện những hành động có thể làm gia tăng nguy cơ, đặc biệt là cài ứng dụng từ nguồn không rõ ràng, cấp quyền truy cập không cần thiết, cung cấp mật khẩu, mã OTP hoặc thực hiện giao dịch theo hướng dẫn của người chưa được xác minh.

Chống lừa đảo phải bắt đầu trước khi tiền bị chuyển đi

Theo các chuyên gia, khi một vụ lừa đảo đã xảy ra, việc xử lý thường trở nên phức tạp do đối tượng có thể nhanh chóng chuyển tiền qua nhiều tài khoản hoặc nền tảng. Vì vậy, biện pháp bảo vệ cần được triển khai ngay từ khi xuất hiện dấu hiệu bất thường, thay vì chỉ tập trung vào việc truy tìm thiệt hại sau giao dịch.

Những thủ đoạn lừa đảo ngày càng tinh vi cũng đặt ra yêu cầu cấp thiết trong triển khai Nghị quyết 57-NQ/TW của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia. Nghị quyết 57 xác định “bảo đảm chủ quyền quốc gia trên không gian mạng; bảo đảm an ninh mạng, an ninh dữ liệu, an toàn thông tin của tổ chức và cá nhân là yêu cầu xuyên suốt, không thể tách rời trong quá trình phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia”; đồng thời nhấn mạnh nhiệm vụ “ngăn chặn hiệu quả tội phạm trong lĩnh vực chuyển đổi số, chống lừa đảo trực tuyến”. Để hiện thực hóa mục tiêu này, bên cạnh hoàn thiện công nghệ bảo mật, cần xây dựng cơ chế cảnh báo sớm, tăng cường phối hợp giữa cơ quan chức năng, ngân hàng và các nền tảng số, đồng thời nâng cao kỹ năng nhận diện lừa đảo cho người dân. Bởi chuyển đổi số chỉ thực sự bền vững khi người dân không chỉ được tiếp cận các tiện ích công nghệ mà còn được bảo vệ trước những rủi ro phát sinh trên môi trường số.

Liên quan tới vấn đề này, ông Ngô Minh Hiếu cho rằng cần kết nối thông tin từ phản ánh của người dân đến các nền tảng số, ngân hàng và cơ quan chức năng. Trong đó, nền tảng số có trách nhiệm xử lý những tài khoản, quảng cáo và ứng dụng vi phạm theo quy định. Ngân hàng cần có kênh tiếp nhận khẩn cấp và áp dụng các biện pháp bảo vệ phù hợp với thẩm quyền. Cơ quan chức năng thực hiện xác minh, điều tra và xử lý hành vi phạm pháp.

Sự phối hợp này đặc biệt cần thiết trong những tình huống nạn nhân vừa phát hiện giao dịch đáng ngờ hoặc nghi ngờ thiết bị đã bị xâm nhập. Nếu thông tin được tiếp nhận và chuyển xử lý nhanh, cơ hội hạn chế thiệt hại có thể được cải thiện.

Với người sử dụng, ông Ngô Minh Hiếu khuyến nghị cần dừng tương tác khi bị thúc ép, xác minh thông tin qua kênh độc lập và liên hệ ngân hàng ngay khi nghi ngờ bị lừa. Đồng thời, cần lưu giữ tin nhắn, đường dẫn, thông tin giao dịch và những bằng chứng liên quan để phục vụ xác minh. Trường hợp nghi điện thoại đã nhiễm mã độc, người dùng nên sử dụng một thiết bị an toàn khác để liên hệ ngân hàng hoặc bộ phận hỗ trợ, tránh tiếp tục thao tác với thông tin nhạy cảm trên thiết bị có nguy cơ bị kiểm soát.

Những khuyến nghị này cũng tương đồng với nguyên tắc “DỪNG - KHÓA - LƯU - BÁO” được Thượng tá, Tiến sĩ Đào Trung Hiếu đề cập trong bài viết “Thanh toán số và bài toán bảo vệ niềm tin”. Theo đó, khi phát hiện dấu hiệu lừa đảo, người dân cần dừng liên lạc và giao dịch; nhanh chóng liên hệ ngân hàng để áp dụng biện pháp bảo vệ tài khoản; lưu giữ chứng cứ; đồng thời thông báo cho ngân hàng và cơ quan công an.

Tuy nhiên, phòng chống lừa đảo không thể chỉ đặt trách nhiệm lên người sử dụng. Khi đối tượng phạm tội có khả năng giả mạo danh tính, phát tán thông tin qua tài khoản bị chiếm quyền và khai thác các ứng dụng độc hại, việc bảo vệ người dân đòi hỏi sự phối hợp giữa nhiều chủ thể. Các nền tảng cần hạn chế sự lan truyền của nội dung độc hại; ngân hàng phải duy trì cơ chế phát hiện và phản ứng với giao dịch đáng ngờ; cơ quan chức năng cần tăng cường tiếp nhận, xác minh và xử lý; còn người dân phải được trang bị kỹ năng nhận diện những yêu cầu bất thường.

Trong môi trường số, một chiếc bẫy nguy hiểm không nhất thiết bắt đầu bằng lời đe dọa. Nó có thể xuất hiện dưới hình thức một tấm thiệp cưới, lời mời xem phim hoặc cơ hội kiếm thêm thu nhập. Vì vậy, khả năng nhận ra thời điểm cần dừng lại và kiểm chứng độc lập chính là một trong những lớp bảo vệ quan trọng nhất trước lừa đảo trực tuyến.