Tin nhắn hiện đúng tên ngân hàng ở dòng người gửi, thậm chí nằm chung một luồng với các tin nhắn thật trước đó, vẫn có thể là giả. Một cách kẻ gian làm được điều này là dùng thiết bị phát sóng giả mạo trạm di động, khiến điện thoại ở gần kết nối vào rồi nhận tin nhắn với tên người gửi tuỳ ý.
Vì vậy quy tắc tự vệ không dựa vào việc xem tin nhắn đến từ ai, mà dựa vào nội dung: ngân hàng không gửi đường dẫn yêu cầu bạn đăng nhập, cập nhật thông tin hay nhận tiền qua tin nhắn. Tin nhắn nào mang tên ngân hàng mà chứa đường dẫn như vậy, coi là giả cho tới khi kiểm chứng qua ứng dụng chính thức.
Bài này giải thích nguyên lý của trạm phát sóng giả ở mức người dùng cần hiểu (không đi vào chi tiết kỹ thuật), vì sao tên người gửi không đáng tin, các dấu hiệu nhận ra, và việc cần làm nếu lỡ bấm vào.
Tên người gửi trên tin nhắn không phải chữ ký
Nhiều người tin rằng tin nhắn hiện tên thương hiệu (thay vì số điện thoại) là đã được nhà mạng kiểm duyệt. Trong điều kiện bình thường, điều này phần lớn đúng: doanh nghiệp phải đăng ký tên định danh với nhà mạng để gửi tin. Nhưng tên người gửi là một trường dữ liệu đi kèm tin nhắn, không phải chữ ký số mà điện thoại kiểm tra được.
Điện thoại gom tin nhắn theo tên người gửi. Vì thế khi một tin giả mang đúng tên ngân hàng tới máy, nó sẽ nằm ngay dưới những tin biến động số dư thật bạn nhận hằng ngày. Đây là điểm khiến chiêu này đặc biệt hiệu quả: bối cảnh quen thuộc làm người đọc hạ cảnh giác.
Ngoài trạm phát sóng giả, tin nhắn mang tên giả còn có thể đến từ các dịch vụ gửi tin quốc tế bị lạm dụng, hoặc từ ứng dụng nhắn tin qua internet nơi ai cũng đặt tên hiển thị được. Dù đường đi nào, kết luận cho người dùng là một: tên người gửi không chứng minh gì cả.
Trạm phát sóng giả hoạt động thế nào (ở mức nguyên lý)
Điện thoại di động luôn tìm trạm phát sóng có tín hiệu mạnh nhất ở gần để kết nối. Trạm phát sóng giả là thiết bị đóng vai một trạm của nhà mạng, phát tín hiệu mạnh trong bán kính hẹp. Một số điện thoại trong vùng sẽ bắt vào trạm này, thường là qua chuẩn mạng thế hệ cũ (2G) vốn không yêu cầu mạng chứng minh mình là thật với điện thoại.
Khi điện thoại đã bắt vào, thiết bị giả gửi tin nhắn hàng loạt với tên người gửi bất kỳ, rồi nhả kết nối để điện thoại quay về mạng thật. Người dùng thường không nhận ra gì, có thể chỉ thấy mất sóng hoặc biểu tượng mạng đổi trong chốc lát. Kẻ gian thường đặt thiết bị trên xe, chạy qua khu đông người, nên tin nhắn giả đổ về hàng loạt người ở cùng một khu vực.
Công an Việt Nam đã nhiều lần phát hiện và bắt giữ các nhóm dùng thiết bị loại này trên ô tô ở các thành phố lớn, theo các bản tin chính thức. Các nhà mạng cũng có biện pháp phát hiện và đang thu hẹp mạng 2G theo lộ trình của cơ quan quản lý. Dù vậy, người dùng không nên trông chờ kỹ thuật chặn hết, vì kẻ gian liên tục đổi cách.
Dấu hiệu nhận ra tin nhắn giả mang tên ngân hàng
Tin nhắn giả thường lặp lại một số mẫu. Bảng dưới liệt kê các mẫu hay gặp và lý do chúng là dấu hiệu đáng ngờ:
| Nội dung tin | Vì sao đáng ngờ |
|---|---|
| Có đường dẫn để "xác thực", "cập nhật", "nhận điểm thưởng" | Ngân hàng không yêu cầu đăng nhập qua đường dẫn trong tin nhắn |
| Báo tài khoản bị khoá, giao dịch lạ, kèm đường dẫn xử lý | Tạo hoảng sợ để bạn bấm nhanh |
| Báo điểm thưởng sắp hết hạn, đổi quà ngay | Đánh vào tâm lý tiếc của |
| Đường dẫn có tên miền gần giống tên ngân hàng, thêm chữ, thêm dấu gạch | Tên miền giả bắt chước tên thật |
| Yêu cầu cập nhật sinh trắc học, căn cước qua đường dẫn | Mượn đúng việc ngân hàng đang yêu cầu thật |
| Tin nhắn đến khi bạn đang ở chỗ đông người, nhiều người xung quanh cũng nhận | Dấu hiệu phát hàng loạt từ thiết bị giả |
Đặc biệt lưu ý dòng thứ năm: kẻ gian luôn bám vào những việc ngân hàng đang yêu cầu thật, vì người dùng đã quen nghe. Khi ngân hàng yêu cầu cập nhật sinh trắc học, tin nhắn giả "cập nhật sinh trắc học" cũng tăng theo. Việc thật thì làm trong ứng dụng, không qua đường dẫn.
Nếu bấm vào đường dẫn, chuyện gì xảy ra
Đường dẫn thường dẫn tới một trang trông giống hệt trang đăng nhập ngân hàng. Bạn nhập tên đăng nhập, mật khẩu; trang hỏi tiếp mã xác thực "để hoàn tất". Thực chất, kẻ gian đang dùng những thông tin bạn gõ để đăng nhập vào tài khoản thật của bạn cùng lúc, và mã xác thực bạn nhập là mã cho giao dịch chúng đang thực hiện.
Một biến thể khác là trang yêu cầu tải về một "ứng dụng ngân hàng phiên bản mới". Đó là ứng dụng độc hại, có thể xin quyền trợ năng để điều khiển máy, như phân tích trong bài về mã độc chiếm quyền trợ năng cùng chuyên mục.
Chỉ bấm vào đường dẫn mà chưa nhập gì thường chưa gây mất tiền ngay, nhưng có thể báo cho kẻ gian biết số của bạn đang hoạt động và bạn dễ bấm, nên bạn có thể nhận nhiều tin lừa hơn. Nếu đã nhập thông tin hoặc cài ứng dụng, cần xử lý ngay theo các bước ở mục dưới.
Lỡ bấm và nhập thông tin rồi: làm gì ngay
Tốc độ quyết định. Làm theo thứ tự:
- Gọi ngay tổng đài ngân hàng bằng số in trên thẻ hoặc trong ứng dụng thật, yêu cầu khoá dịch vụ ngân hàng điện tử và thẻ. Nhiều ứng dụng cũng có nút khoá khẩn cấp.
- Nếu đã cài ứng dụng lạ, tắt nguồn điện thoại, dùng máy khác để gọi.
- Đổi mật khẩu ngân hàng từ một thiết bị sạch khi ngân hàng mở lại quyền truy cập.
- Kiểm tra lịch sử giao dịch, ghi lại giờ, số tiền, tài khoản nhận nếu có giao dịch lạ.
- Trình báo cơ quan công an, mang theo ảnh chụp tin nhắn (có thời gian nhận), đường dẫn, lịch sử giao dịch.
- Báo cho người thân, đồng nghiệp ở cùng khu vực vì có thể họ cũng vừa nhận tin tương tự.
Đừng ngại gọi tổng đài vì sợ "làm phiền" khi chưa chắc đã mất tiền. Khoá nhầm thì mở lại được trong ít phút; chậm vài phút khi tài khoản đang bị chiếm có thể mất cả số dư. Ghi lại tên nhân viên và thời điểm gọi để sau này đối chiếu.
Không chỉ ngân hàng: các tên thương hiệu hay bị mượn
Ngân hàng là tên bị mượn nhiều nhất vì đích cuối là tiền trong tài khoản. Nhưng cùng một kỹ thuật, kẻ gian còn mượn tên nhà mạng (báo điểm thưởng, gói cước sắp hết hạn), tên đơn vị điện lực (báo cắt điện vì nợ tiền), tên cơ quan thuế, bảo hiểm xã hội, sàn thương mại điện tử, đơn vị chuyển phát. Mỗi tên đi kèm một cái cớ hợp với nó.
Điểm chung của tất cả: tin nhắn dẫn bạn tới một đường dẫn, và trang đích cuối cùng sẽ xin thông tin ngân hàng, thông tin thẻ hoặc mã xác thực. Dù tin mang tên ai, câu hỏi kiểm tra vẫn là "tại sao bên này lại cần thông tin ngân hàng của mình qua một đường dẫn?".
Với các thông báo có thể là thật (tiền điện chưa trả, gói cước sắp hết), cách xử lý vẫn giống nhau: mở ứng dụng hoặc gọi tổng đài chính thức của đơn vị đó mà bạn tự tìm, kiểm tra tình trạng tài khoản. Nếu có nợ thật, trả qua kênh bạn vẫn dùng. Không có khoản nợ nào bắt buộc phải trả qua đường dẫn trong tin nhắn.
Thói quen tự vệ lâu dài
Không bao giờ đăng nhập ngân hàng qua đường dẫn. Chỉ mở ứng dụng đã cài từ kho chính thức, hoặc gõ địa chỉ trang ngân hàng mà bạn đã lưu sẵn. Thói quen này vô hiệu hoá gần như mọi biến thể tin nhắn giả.
Coi mọi đường dẫn trong tin nhắn mang tên ngân hàng là giả. Nhiều ngân hàng đã công bố không gửi tin nhắn chứa đường dẫn. Kể cả khi một ngân hàng nào đó có gửi, bạn vẫn mất rất ít nếu tự mở ứng dụng thay vì bấm.
Xem cài đặt mạng của điện thoại. Một số điện thoại đời mới có tuỳ chọn không cho máy dùng mạng 2G. Bật tuỳ chọn này, nếu có và nếu khu vực của bạn đã có sóng 4G ổn định, giảm khả năng máy bắt vào trạm giả. Tuy vậy không phải máy nào cũng có.
Báo cáo tin nhắn giả. Chuyển tiếp hoặc báo cáo qua kênh tiếp nhận tin nhắn rác của cơ quan quản lý viễn thông, và báo ngân hàng bị mạo danh. Thông tin từ người dùng giúp khoanh vùng nơi thiết bị giả hoạt động.
Vì sao lỗ hổng này tồn tại lâu như vậy
Câu hỏi hợp lý từ người đọc kỹ thuật: tại sao mạng di động lại cho phép trạm giả? Lý do nằm ở lịch sử. Chuẩn 2G được thiết kế từ cuối những năm 1980, khi mối lo chính là nghe lén, nên chỉ có cơ chế để mạng kiểm tra thuê bao, không có cơ chế để thuê bao kiểm tra mạng. Các chuẩn sau như 3G, 4G đã bổ sung xác thực hai chiều, nhưng điện thoại vẫn giữ khả năng lùi về 2G để bảo đảm liên lạc ở nơi sóng yếu.
Đó là lý do việc tắt dần mạng 2G được nhiều nước, kể cả Việt Nam, đưa vào lộ trình. Khi điện thoại không còn lùi về chuẩn cũ, trạm giả kiểu này khó hoạt động hơn. Trong lúc chờ, cách phòng tốt nhất vẫn ở phía hành vi người dùng.
Nhìn rộng, đây là ví dụ điển hình về "nợ kỹ thuật" trong an ninh: những thiết kế hợp lý ở thời của chúng trở thành lỗ hổng hàng chục năm sau, và việc sửa đòi hỏi thay thế cả hạ tầng lẫn thiết bị của hàng triệu người. Người dùng không sửa được hạ tầng, nhưng có thể không bấm vào đường dẫn.
Câu hỏi thường gặp
Tin nhắn giả có thể hiện số dư hay tên của mình không?
Tin nhắn từ trạm phát sóng giả thường được gửi hàng loạt nên ít khi có tên riêng. Tuy vậy, kẻ gian có thể có dữ liệu bị lộ để cá nhân hoá. Dù tin nhắn có đúng tên bạn, quy tắc vẫn không đổi: không bấm đường dẫn, kiểm tra trong ứng dụng chính thức.
Tin nhắn mã xác thực thật của ngân hàng có chứa đường dẫn không?
Tin nhắn mã xác thực thường chỉ chứa mã, nội dung giao dịch và lời nhắc không cung cấp mã cho ai. Nếu một tin mã xác thực kèm đường dẫn hoặc yêu cầu bạn gửi mã lại, hãy coi là đáng ngờ và liên hệ ngân hàng.
Dùng iPhone có an toàn hơn trước trạm phát sóng giả không?
Trạm giả nhắm vào cách mạng di động hoạt động, không phụ thuộc hãng điện thoại. Mọi máy có thể nhận tin nhắn giả nếu kết nối vào trạm đó. Khác biệt nằm ở các tuỳ chọn bảo mật mỗi hệ điều hành cung cấp, nên hãy cập nhật hệ điều hành và xem phần cài đặt mạng.
Nhận tin nhắn giả nhưng không bấm, có cần làm gì nữa không?
Xoá tin, có thể báo cáo qua kênh tiếp nhận tin nhắn rác. Nếu ở nơi đông người, báo cho người đi cùng. Không cần đổi mật khẩu hay khoá tài khoản nếu bạn không bấm hay nhập gì.
Tại sao ngân hàng vẫn gửi tin nhắn mà không bỏ hẳn?
Tin nhắn vẫn là kênh phổ biến nhất để thông báo biến động số dư và gửi mã cho người không dùng ứng dụng. Xu hướng là chuyển dần sang thông báo trong ứng dụng, an toàn hơn vì gắn với thiết bị đã xác thực. Trong giai đoạn chuyển đổi, người dùng nên bật thông báo trong ứng dụng.
