Cảnh báo: Dán đè mã QR giả lên mã thật để đánh tráo, chiếm đoạt tiền

Tình trạng lừa đảo bằng mã QR được ghi nhận tăng mạnh trên thế giới, thậm chí xuất hiện cả ở Việt Nam trong thời gian qua.

Một ngân hàng tại Việt Nam đầu tháng 8-2023 phát cảnh báo tình trạng lừa đảo thẻ tín dụng thông qua mã QR. Cảnh báo cho biết kẻ gian sau khi kết bạn qua mạng xã hội để trao đổi với nạn nhân sẽ gửi mã QR để người dùng quét. Mã này dẫn tới các website giả mạo ngân hàng, trong đó yêu cầu người dùng nhập thông tin họ tên, số CCCD, tài khoản, mã bí mật hoặc OTP. Từ đó, người dùng bị chiếm tài khoản.

Tổ chức bảo mật Cofense mới đây phát hiện “chiến dịch mã QR” nhắm tới thông tin đăng nhập của người dùng Microsoft tại nhiều doanh nghiệp, tổ chức ở Mỹ. Chuyên gia của Cofense cho biết kẻ xấu đã gửi mã QR tới email dưới dạng tệp hình ảnh hoặc PDF, dẫn tới website mạo danh Bing.com nhưng thực chất là trang chứa mã độc.

Cuối tháng 7-2023 cũng đã xảy chiến dịch “đánh tráo mã QR” tại các trạm đỗ xe công cộng ở Anh. Theo đó, kẻ gian dán đè mã QR gốc của đơn vị quản lý và khi người dùng quét mã để thanh toán dịch vụ, họ bị dẫn đến một trang giả mạo và bị dụ nhập thông tin tài khoản. Nhiều người cho biết đã bị dịch vụ mạo danh này âm thầm trừ tiền trong thời gian dài với khoảng 50 euro/tháng.

Tình trạng dán đè nhằm “đánh tráo mã QR” chuyển tiền gần đây cũng được ghi nhận ở Việt Nam.

Lừa đảo thông qua phương thức quét mã QR trên điện thoại tăng mạnh trong thời gian qua. Ảnh minh hoạ: Internet

Tổ chức Cofense lý giải mã QR trước đây không phổ biến trong các cuộc tấn công mạng do hạn chế về khả năng tương tác, bởi người dùng không thể truy cập trực tiếp nội dung độc hại qua QR mà phải sử dụng công cụ quét.

Tuy nhiên, so với đường link độc hại truyền thống thì mã QR có lợi thế là có thể chèn trực tiếp vào email, tin nhắn mà không bị các bộ lọc chặn lại, từ đó dễ dàng tiếp cận người dùng. Hơn nữa, việc phải quét bằng camera cũng khiến phần lớn người dùng truy cập bằng điện thoại cá nhân và kết nối di động, giúp kẻ gian tránh được hàng rào bảo vệ vốn chỉ được trang bị cho máy tính.

Các chuyên gia công nghệ khuyến cáo người dùng sau khi quét mã QR dẫn tới đường link, cần kiểm tra tên miền có quen thuộc không và nếu nghi ngờ thì tuyệt đối không bấm vào.

Đối với doanh nghiệp, các chuyên gia góp ý cần quán triệt nhân viên không quét mã QR trong email để hạn chế nguy cơ bị tấn công và bảo đảm an toàn cho tài khoản.