Cảnh giác quét mã QR độc hại chứa link tải mã độc

Mã QR độc hại là mã dẫn tới trang lừa đảo, trang tải ứng dụng chứa mã độc hoặc tài khoản nhận tiền của kẻ gian, thường được dán đè lên mã thật ở nơi công cộng hay gửi qua email, tin nhắn. Để an toàn: luôn xem trước đường link hiện ra sau khi quét, kiểm tra tên miền và tên người nhận tiền trước khi xác nhận, không cài ứng dụng hay nhập mật khẩu từ mã QR lạ, và cảnh giác với mã QR dán chồng lên nhau. Mã QR chỉ là một cách khác để mở đường link, nên mọi nguyên tắc an toàn với link đều áp dụng.

Vì sao mã QR bị lợi dụng

Mã QR được dùng khắp nơi: thanh toán ở quán ăn, gửi xe, xem thực đơn, đăng ký sự kiện, kết bạn Zalo. Người dùng đã quen quét mà không nghĩ ngợi. Khác với link dạng chữ, mã QR không thể đọc bằng mắt, nên bạn không biết nó dẫn tới đâu cho đến khi quét. Kẻ gian tận dụng đúng điểm mù này.

Trong bảo mật, lừa đảo qua mã QR được gọi là "quishing" (ghép từ QR và phishing). Email chứa mã QR thay vì link cũng là cách để né bộ lọc thư rác vốn quét các đường link trong nội dung.

Các kịch bản thường gặp

Dán đè mã thanh toán

Kẻ gian in mã QR chuyển khoản của mình, dán đè lên mã của cửa hàng, quầy gửi xe, trạm sạc. Khách quét và chuyển tiền vào tài khoản kẻ gian thay vì chủ cửa hàng.

Mã QR "nhận quà", "khảo sát"

Tờ rơi, bài đăng mạng xã hội kèm mã QR "quét nhận voucher", "khảo sát nhận thưởng" dẫn tới trang yêu cầu đăng nhập Facebook, ngân hàng hoặc nhập thông tin thẻ.

Mã QR trong email

Email giả mạo bộ phận IT, ngân hàng, dịch vụ chữ ký điện tử yêu cầu "quét mã để xác thực tài khoản", "quét để xem tài liệu". Việc quét bằng điện thoại cũng đưa bạn ra khỏi môi trường máy tính công ty vốn có lớp bảo vệ.

Mã QR tải ứng dụng

Mã dẫn tới tệp cài đặt APK giả mạo ứng dụng ngân hàng, ứng dụng dịch vụ công, ứng dụng gửi xe. Sau khi cài, ứng dụng xin quyền đọc tin nhắn, trợ năng để đánh cắp OTP. Xem cách nhận biết trong bài nhận diện phần mềm độc hại chạy ngầm.

Mã QR tự động thực hiện hành động

Ngoài link web, mã QR có thể chứa lệnh kết nối Wi-Fi, soạn tin nhắn, thêm danh bạ. Điện thoại hiện đại thường hỏi xác nhận, nhưng người dùng quen bấm "Đồng ý".

Kiểm tra trước khi quét và sau khi quét

Kỹ năng đọc tên miền được hướng dẫn chi tiết trong bài kiểm tra độ tin cậy của đường link.

Quét mã QR thanh toán an toàn

• Quét bằng chính ứng dụng ngân hàng hoặc ví điện tử; ứng dụng sẽ hiển thị tên chủ tài khoản nhận.
• Kiểm tra tên người nhận trước khi xác nhận. Nếu cửa hàng tên "Quán Bún Bà Sáu" mà tên tài khoản là một cá nhân lạ, hỏi lại nhân viên.
• Ở cửa hàng có máy POS hoặc màn hình hiển thị mã động theo từng đơn, rủi ro dán đè thấp hơn mã in cố định.
• Giữ lại biên lai, ảnh chụp giao dịch.

Lời khuyên cho chủ cửa hàng

• Định kỳ kiểm tra mã QR dán tại quầy có bị dán đè không.
• Đặt mã trong khung có nắp trong suốt hoặc dùng màn hình hiển thị mã động.
• Nhắc khách kiểm tra tên tài khoản trước khi chuyển.
• Bật thông báo biến động số dư để đối chiếu từng giao dịch với khách.

Thiết lập trên điện thoại

• Dùng ứng dụng camera mặc định hoặc ứng dụng quét có hiển thị bản xem trước link trước khi mở.
• Tắt quyền cài ứng dụng không rõ nguồn trên Android.
• Cập nhật hệ điều hành và trình duyệt.
• Bật tính năng duyệt web an toàn trong trình duyệt để được cảnh báo trang lừa đảo đã biết.

Lỡ quét mã độc thì làm gì

1. Nếu chỉ mở trang mà chưa nhập gì: đóng tab, xóa lịch sử phiên đó.
2. Nếu đã nhập mật khẩu: đổi mật khẩu ngay từ thiết bị khác, bật 2FA.
3. Nếu đã nhập thông tin thẻ hoặc OTP: gọi ngân hàng khóa thẻ; xem bài xử lý khi lộ thông tin thẻ.
4. Nếu đã cài ứng dụng: bật chế độ máy bay, gỡ ứng dụng, báo ngân hàng.
5. Nếu đã chuyển tiền nhầm vào mã dán đè: báo ngân hàng, báo chủ cửa hàng, trình báo công an kèm ảnh mã QR.

Mã QR trên hóa đơn, thư từ và bưu phẩm

Một biến thể ít được chú ý là mã QR in trên giấy gửi tận nhà: thư báo nợ cước giả, phiếu phạt nguội giả kẹp trên xe, phiếu báo giao hàng thất bại dán ở cửa. Những tờ giấy này trông chính thức, có logo, có mã QR "tra cứu và thanh toán". Khi nhận giấy tờ kiểu này, đừng quét mã in trên đó; hãy tự tra cứu trên cổng thông tin chính thức của cơ quan hoặc ứng dụng của đơn vị liên quan bằng thông tin bạn tự tìm. Cơ quan nhà nước và doanh nghiệp lớn đều có kênh tra cứu công khai mà không cần quét mã lạ.

Tạo thói quen tạm dừng ba giây

Phần lớn rủi ro từ mã QR có thể tránh được chỉ bằng một nhịp dừng ngắn: sau khi quét, nhìn link hoặc tên người nhận trong ba giây trước khi bấm tiếp. Thói quen này không làm chậm cuộc sống của bạn, nhưng đủ để nhận ra một tên miền lạ hay một cái tên không khớp.