Một ứng dụng tài chính chính thống thường chỉ cần vài quyền gắn trực tiếp với chức năng: camera để quét mã QR và chụp giấy tờ khi mở tài khoản, thông báo để báo biến động số dư, đôi khi vị trí để chống gian lận hoặc tìm điểm giao dịch. Các quyền như danh bạ, tin nhắn, ghi âm liên tục hay đặc biệt là quyền trợ năng cần được nghi ngờ, trừ khi bạn hiểu rõ vì sao ứng dụng cần.
Quy tắc gọn: quyền phải khớp với việc bạn đang làm. Quét QR thì cần camera; chuyển tiền cho bạn bè thì có thể cần danh bạ nếu bạn muốn chọn người nhận từ danh bạ, nhưng không cần đọc toàn bộ danh bạ thường trực. Bài này đối chiếu từng quyền với mục đích hợp lý, chỉ ra quyền nguy hiểm nhất và cách thu hồi.
Vì sao quyền ứng dụng là chuyện tiền, không chỉ chuyện riêng tư
Trên điện thoại hiện đại, ứng dụng không tự do đọc mọi thứ; nó phải xin quyền và bạn phải đồng ý. Cơ chế này được thiết kế để bạn là người gác cổng. Nhưng phần lớn người dùng bấm "Cho phép" theo phản xạ, nhất là khi ứng dụng nói rằng không cấp thì không dùng được.
Với ứng dụng tài chính, hậu quả của việc cấp quyền sai lớn hơn nhiều so với ứng dụng giải trí. Một ứng dụng độc hại có quyền đọc tin nhắn có thể lấy mã OTP. Một ứng dụng có quyền trợ năng có thể đọc mọi thứ trên màn hình và bấm thay bạn — kể cả trong ứng dụng ngân hàng. Một ứng dụng cho vay có quyền danh bạ có thể nhắn tin cho cả họ hàng, đồng nghiệp của bạn khi đòi nợ. Ở Việt Nam, các vụ lừa đảo dụ người dùng cài ứng dụng giả mạo cơ quan nhà nước hay ngân hàng rồi chiếm quyền điều khiển điện thoại đã được cơ quan chức năng cảnh báo nhiều lần.
Vì vậy, xem xét quyền của ứng dụng tài chính là một phần của việc giữ tiền, giống như không để lộ mã PIN.
Bảng đối chiếu: quyền nào, dùng để làm gì, khi nào nên nghi
Bảng dưới áp dụng cho ứng dụng ngân hàng, ví điện tử, ứng dụng đầu tư, bảo hiểm. Tên quyền có thể khác chút giữa các hệ điều hành:
| Quyền | Mục đích hợp lý | Dấu hiệu đáng nghi |
|---|---|---|
| Camera | Quét QR, chụp giấy tờ và khuôn mặt khi định danh | Đòi camera ngay khi mở ứng dụng mà không làm việc gì cần đến |
| Thông báo | Báo biến động số dư, mã xác thực, cảnh báo | Gửi quảng cáo dày đặc — có thể tắt riêng loại quảng cáo |
| Vị trí | Chống gian lận, tìm điểm giao dịch, ATM | Đòi vị trí "luôn luôn" kể cả khi không mở ứng dụng |
| Danh bạ | Chọn người nhận từ danh bạ khi bạn chủ động bấm | Bắt buộc cấp mới cho dùng; ứng dụng cho vay đòi đọc danh bạ |
| Tin nhắn SMS | Hầu như không cần với ứng dụng chính thống hiện nay | Đòi đọc toàn bộ tin nhắn — rủi ro lộ mã OTP |
| Micro | Trợ lý giọng nói, gọi video với nhân viên hỗ trợ | Đòi micro thường trực khi không có tính năng giọng nói |
| Ảnh, tệp | Tải ảnh mã QR có sẵn, đính kèm chứng từ | Đòi toàn bộ thư viện thay vì chỉ ảnh bạn chọn |
| Trợ năng (Accessibility) | Chỉ ứng dụng hỗ trợ người khuyết tật thật sự cần | Bất kỳ ứng dụng tài chính hay ứng dụng lạ nào đòi — dấu hiệu nguy hiểm |
Cột cuối không có nghĩa ứng dụng đó chắc chắn độc hại, mà là lúc bạn cần dừng lại, đọc kỹ và tự hỏi: tính năng mình định dùng có thật sự cần quyền này không.
Quyền trợ năng và quyền hiển thị đè: hai quyền nguy hiểm nhất
Quyền trợ năng được tạo ra cho người khuyết tật. Nó cho phép một ứng dụng đọc nội dung màn hình và thao tác thay người dùng, để phục vụ trình đọc màn hình, điều khiển bằng công tắc. Đó là lý do nó mạnh đến vậy.
Kẻ gian lợi dụng chính sức mạnh đó. Khi một ứng dụng độc hại có quyền này, nó có thể đọc số dư, mã OTP hiện trên màn hình, tự bấm chuyển tiền trong lúc bạn không để ý. Nhiều vụ lừa cài "ứng dụng dịch vụ công giả", "ứng dụng hoàn thuế giả" đều xin quyền này.
Quyền hiển thị đè lên ứng dụng khác. Cho phép vẽ một lớp giao diện lên trên ứng dụng đang mở. Kẻ gian dùng nó để phủ một màn hình đăng nhập giả lên ứng dụng ngân hàng thật, lấy mật khẩu bạn gõ.
Phản ứng của ngân hàng. Một số ứng dụng ngân hàng đã cảnh báo hoặc từ chối hoạt động khi phát hiện ứng dụng không rõ nguồn gốc đang giữ quyền trợ năng. Nếu ứng dụng ngân hàng của bạn báo như vậy, đừng tìm cách vượt qua — hãy tìm và gỡ ứng dụng đáng nghi.
Quy tắc tuyệt đối. Không cấp quyền trợ năng cho ứng dụng tải từ đường dẫn trong tin nhắn, cuộc gọi hoặc nhóm chat. Ứng dụng của cơ quan nhà nước, ngân hàng chỉ tải từ kho ứng dụng chính thức và không cần quyền này.
Nhận diện một kịch bản lừa đảo qua cấp quyền
Biết trước kịch bản là cách phòng thủ tốt nhất. Các vụ được cảnh báo thường đi theo trình tự giống nhau, dù vỏ bọc thay đổi:
- Mở đầu bằng một lý do khẩn cấp: cuộc gọi tự xưng cán bộ cơ quan thuế, điện lực, bảo hiểm xã hội, công an, hoặc nhân viên ngân hàng, báo bạn cần "cập nhật thông tin", "nhận tiền hoàn", "xác minh tài khoản" ngay hôm nay.
- Dẫn bạn ra khỏi kho ứng dụng chính thức: gửi đường dẫn qua tin nhắn hoặc ứng dụng chat để tải một tệp cài đặt, với lý do "phiên bản dành riêng" hay "kho ứng dụng chưa cập nhật".
- Xin quyền mạnh ngay sau khi cài: trợ năng, hiển thị đè, đọc tin nhắn, cài ứng dụng từ nguồn không xác định. Kẻ gian thường hướng dẫn từng bước qua điện thoại để bạn bấm cho nhanh.
- Đánh lạc hướng: yêu cầu bạn chờ "hệ thống xử lý", để điện thoại sạc, hoặc nói chuyện tiếp trong khi ứng dụng độc hại thao tác ngầm.
- Rút tiền: tiền bị chuyển đi qua nhiều tài khoản trung gian chỉ trong ít phút.
Chỉ cần gặp một trong hai dấu hiệu — được hướng dẫn cài ứng dụng ngoài kho chính thức, hoặc được yêu cầu bật quyền trợ năng — là đủ để dừng cuộc gọi. Cơ quan nhà nước và ngân hàng không làm việc theo cách đó.
Kiểm tra và thu hồi quyền trên điện thoại
Thao tác chung, chi tiết đường dẫn trong cài đặt có thể khác theo hãng và phiên bản:
- Mở Cài đặt, vào mục Quyền riêng tư hoặc Ứng dụng, tìm Trình quản lý quyền. Xem từng nhóm quyền (vị trí, danh bạ, camera, micro, tin nhắn) và danh sách ứng dụng đang được cấp.
- Riêng với quyền trợ năng, vào mục Trợ năng của điện thoại, xem phần ứng dụng đã cài hoặc dịch vụ đã tải xuống. Nếu thấy ứng dụng lạ đang bật, tắt ngay và gỡ cài đặt.
- Với vị trí, chuyển các ứng dụng tài chính sang "Chỉ khi dùng ứng dụng" thay vì "Luôn luôn".
- Với ảnh, chọn chế độ chỉ cho phép ảnh được chọn nếu hệ điều hành hỗ trợ.
- Gỡ những ứng dụng tài chính, cho vay không còn dùng — ứng dụng nằm im vẫn giữ quyền đã cấp.
- Lặp lại việc rà soát sau mỗi lần cài ứng dụng mới hoặc mỗi vài tháng.
Các hệ điều hành gần đây có tính năng tự thu hồi quyền của ứng dụng lâu không dùng. Nên giữ tính năng này ở trạng thái bật, và đừng coi đó là lý do để bỏ qua việc tự rà soát.
Ứng dụng cho vay và quyền danh bạ: chuyện cũ vẫn chưa hết
Trường hợp được nói nhiều nhất là các ứng dụng cho vay trực tuyến đòi quyền đọc danh bạ, ảnh và vị trí như điều kiện để giải ngân. Khi người vay chậm trả, danh bạ trở thành công cụ gây sức ép: tin nhắn, cuộc gọi tới người thân, đồng nghiệp, thậm chí ghép ảnh bôi nhọ. Nguồn gốc của vấn đề nằm ở thời điểm cấp quyền: người vay đang cần tiền gấp nên bấm đồng ý mọi thứ.
Nguyên tắc dùng cho mọi dịch vụ tài chính: một tổ chức đánh giá khả năng trả nợ không cần biết bạn quen những ai. Việc đòi danh bạ để giải ngân là dấu hiệu cho thấy mô hình kinh doanh dựa vào gây áp lực xã hội, không phải vào thẩm định. Theo luật bảo vệ dữ liệu cá nhân, dữ liệu của những người trong danh bạ — những người không hề đồng ý — cũng là dữ liệu cá nhân được pháp luật bảo vệ.
Nếu bạn đã lỡ cấp quyền cho một ứng dụng như vậy, hãy thu hồi quyền, gỡ ứng dụng, báo trước cho người thân để họ không hoảng hốt khi nhận tin nhắn lạ, và lưu lại bằng chứng nếu bị quấy rối để trình báo cơ quan chức năng.
Trước khi cài một ứng dụng tài chính: năm câu hỏi
Một là, ứng dụng này do ai phát hành? Tên nhà phát triển trên kho ứng dụng phải khớp với tên tổ chức tài chính. Ứng dụng tải qua tệp cài đặt gửi trong tin nhắn hay đường dẫn lạ thì không cài, bất kể lời mời hấp dẫn đến đâu.
Hai là, tổ chức đó có được phép cung cấp dịch vụ này không? Ngân hàng, công ty tài chính, công ty trung gian thanh toán đều cần giấy phép; danh sách tổ chức được cấp phép thường được công bố trên cổng thông tin của Ngân hàng Nhà nước.
Ba là, quyền xin có khớp chức năng không? Đối chiếu với bảng ở trên.
Bốn là, chính sách quyền riêng tư nói gì về chia sẻ dữ liệu? Một ứng dụng nghiêm túc sẽ có văn bản rõ ràng, liệt kê mục đích và bên nhận dữ liệu.
Năm là, nếu từ chối một quyền, ứng dụng có vẫn dùng được không? Ứng dụng tôn trọng người dùng sẽ chỉ hỏi quyền khi bạn bắt đầu dùng chức năng cần đến nó, và vẫn cho dùng phần còn lại nếu bạn từ chối.
Câu hỏi thường gặp
Ứng dụng ngân hàng có cần quyền đọc tin nhắn để tự điền OTP không?
Phần lớn ứng dụng chính thống hiện nay không cần, vì hệ điều hành có cơ chế tự gợi ý mã từ tin nhắn mà không cấp quyền đọc toàn bộ hộp thư. Nhiều ngân hàng cũng đã chuyển sang mã xác thực ngay trong ứng dụng. Nếu một ứng dụng đòi quyền đọc tin nhắn, hãy hỏi lại ngân hàng.
Cấp quyền vị trí cho ứng dụng ví có rủi ro gì?
Ví biết bạn thường ở đâu, đi đâu, mua sắm khu vực nào. Dữ liệu này hữu ích cho chống gian lận nhưng cũng có giá trị quảng cáo. Chọn chế độ chỉ khi dùng ứng dụng là cân bằng hợp lý giữa an toàn và riêng tư.
Đã lỡ cấp quyền trợ năng cho ứng dụng lạ thì làm gì?
Ngắt mạng điện thoại ngay, tắt quyền trợ năng của ứng dụng đó và gỡ cài đặt. Dùng một thiết bị khác gọi tổng đài ngân hàng để khoá tạm dịch vụ ngân hàng điện tử, đổi mật khẩu sau khi đã gỡ ứng dụng lạ. Nếu đã mất tiền, trình báo cơ quan công an.
Từ chối quyền danh bạ thì có chuyển tiền cho người quen được không?
Được. Bạn vẫn nhập số tài khoản, quét mã QR hoặc chọn từ danh sách người nhận đã lưu trong ứng dụng. Quyền danh bạ chỉ giúp tiện hơn khi chọn người nhận qua số điện thoại, không phải điều kiện để chuyển tiền.
Làm sao biết ứng dụng tài chính trên kho ứng dụng là thật?
Xem tên nhà phát triển, số lượt tải, đánh giá và đối chiếu với đường dẫn trên trang chính thức của tổ chức đó. Ứng dụng giả thường có tên na ná, biểu tượng giống hệt nhưng nhà phát triển là cá nhân hoặc công ty lạ.
