Chiêu trò 'nhập sai số mật khẩu tài khoản ngân hàng'

Cái bẫy tinh vi

Nhóm CyProtek, thuộc dự án Chongluadao.vn, vừa phát cảnh báo về hình thức nhập sai tài khoản ngân hàng để thao túng sau đó lừa đảo người dùng.

Ảnh: Chụp màn hình

Theo ông Ngô Minh Hiếu, đồng sáng lập dự án Chongluadao.vn, đây là một trong nhiều kịch bản được hacker sử dụng để lừa nạn nhân tải về các ứng dụng giả mạo chứa mã độc. Cụ thể, hacker thu thập và mua thông tin trên các chợ đen giao dịch dữ liệu hoặc tìm kiếm dữ liệu công khai bị lộ do chính người dùng đăng tải trên các mạng xã hội. Tiếp đó, hacker sử dụng tên đăng nhập và mật khẩu từ tệp dữ liệu lộ lọt để thử đăng nhập các tài khoản liên quan. Trong một số trường hợp, chúng có thể truy cập thành công, cho phép xem số dư tài khoản và thu thập thêm thông tin cá nhân của nạn nhân (tất nhiên là không chuyển tiền ra được vì cần mã OTP hoặc sinh trắc học).

Kẻ lừa đảo vào ứng dụng ngân hàng bằng tên đăng nhập của nạn nhân, cố tình nhiều lần nhập sai mật khẩu để khiến tài khoản bị khóa. Sau đó, hacker và các đồng phạm sẽ giả danh nhân viên ngân hàng gọi điện trực tiếp, yêu cầu nạn nhân làm một số thao tác như tải ứng dụng hoặc quét mã để mở lại tài khoản. Việc biết số điện thoại của người sở hữu tài khoản không có gì khó khăn đối với nhóm lừa đảo bởi thông tin cá nhân, bao gồm số điện thoại, thường bị giao dịch tràn lan trên thị trường chợ đen. Khi thao túng thành công tâm lý của nạn nhân bằng các kịch bản được chuẩn bị kỹ lưỡng, nhóm lừa đảo sẽ bắt đầu dẫn dụ nạn nhân tải ứng dụng độc hại thông qua đường link giả hoặc quét mã QR chứa mã độc và chiếm quyền kiểm soát thiết bị, tài khoản để lấy tiền. 

Hiện bọn tội phạm thường chuyển tiền khỏi tài khoản của nạn nhân qua các giao dịch nhỏ dưới 10 triệu đồng/lần, đảm bảo tổng số giao dịch trong ngày không vượt quá 20 triệu đồng để tránh các bước xác minh sinh trắc học hoặc bảo mật nâng cao. Để làm được điều này, hacker gửi cho nạn nhân đường link dẫn đến trang web giả mạo, thiết kế giống hệt website chính thức của ngân hàng hoặc tổ chức tài chính. Khi nạn nhân nhập thông tin tài khoản, hacker sử dụng kỹ thuật theo dõi thời gian thực để nắm bắt dữ liệu, bao gồm: Tên đăng nhập và mật khẩu, mã OTP được gửi qua tin nhắn văn bản SMS hoặc email, mã PIN dùng cho SmartOTP, ảnh chụp mặt trước và sau của thẻ tín dụng, hình ảnh CCCD hoặc giấy tờ tùy thân khác. Hacker tiếp tục điều hướng các thao tác trên website giả mạo, thực hiện các hành động chuyển khoản hoặc lấy thêm thông tin cần thiết cho các giao dịch tiếp theo.

Chưa hết, hacker còn có thể sử dụng các kịch bản tinh vi hơn để lừa đảo chiếm đoạt số tiền lớn, nhắm vào người dùng Android bằng cách giả mạo các tổ chức uy tín và dẫn dụ nạn nhân tải ứng dụng độc hại. Chẳng hạn như giả danh Công an (VNEID), Bảo hiểm xã hội (VSSID), Điện lực (EVN), Cục Thuế (ETax Mobile), Dịch vụ công trực tuyến…và thông qua điện thoại, Zalo, các app OTT, email, hoặc tin nhắn, tạo cảm giác cấp bách, yêu cầu nạn nhân cài ứng dụng giả mạo hoặc yêu cầu tải ứng dụng có đuôi .apk (dành cho hệ điều hành Android). Sau khi nạn nhân cài đặt ứng dụng, hacker sẽ theo dõi toàn bộ hoạt động trên thiết bị, thu thập thông tin nhạy cảm, bao gồm mật khẩu, OTP, hoặc mã PIN, thực hiện các giao dịch lớn hoặc chiếm đoạt tài khoản.

Không dễ khóa tài khoản ngân hàng để chiếm đoạt

Chiêu trò khóa tài khoản ngân hàng hiện phổ biến đến mức khá nhiều người liên tiếp nhận được các cuộc gọi mạo danh nhằm đe dọa, dẫn dụ kết bạn Zalo và nhấn vào đường link để tải app. Là một người từng gặp khá nhiều cuộc gọi mạo danh, ông Ngô Lập Thu, Hiệu trưởng Trường THCS và THPT Sương Nguyệt Ánh, Q.10 (TP.HCM) kể: "Cách đây 2 ngày tôi nhận được cuộc điện thoại gọi đến, hỏi đúng tên và chức danh, đơn vị, sau đó hạch hỏi tại sao chưa đóng tiền điện và hăm dọa sẽ cắt điện. Tôi đã quá nhiều kinh nghiệm nên phát hiện ngay trò bịp. Kẻ lừa đảo thấy không dễ xơi nên văng tục và cúp máy. Trong những buổi sinh hoạt với giáo viên, tôi cũng thường xuyên cảnh báo hình thức lừa đảo trực tuyến này, nhưng rất tiếc ngay trong trường của tôi vẫn có cô giáo mắc bẫy và bị lừa mất hết tiền trong tài khoản".

Ảnh: Khang Ka

Về hình thức lừa đảo nhập sai mật khẩu ngân hàng để khóa tài khoản, Công an TP.HCM cho rằng trường hợp trên chỉ xảy ra khi tội phạm có trong tay đủ 2 yếu tố. Một là, ứng dụng của ngân hàng cho phép đăng nhập bằng cách nhập số tài khoản (hiện nay chỉ còn ít ngân hàng cho phép đăng nhập bằng cách này). Thứ hai, số tài khoản phải do khách hàng đăng ký trùng với số điện thoại đang sử dụng (đây là dịch vụ chọn số tài khoản được nhiều ngân hàng cung cấp thời gian qua).

Như vậy, theo Công an TP.HCM, không phải số tài khoản ngân hàng nào cũng sẽ bị kẻ xấu sử dụng để nhập sai mật khẩu và khóa tài khoản. Ngoài ra, quy định của ngân hàng là "tuyệt đối không cho phép tiết lộ thông tin" liên hệ của khách hàng cho bất kỳ cá nhân, tổ chức nào (trừ các trường hợp theo quy định của pháp luật).

"Do đó người dân có thể yên tâm, không hoang mang lo sợ bị mất tài sản nếu ngân hàng và số tài khoản của mình không thuộc 2 yếu tố nêu trên. Mặt khác, nếu người dân bị khóa tài khoản thì phải đến phòng giao dịch để mở lại theo quy định bảo mật của ngân hàng", Công an TP.HCM khuyến cáo. Để phòng tránh nguy cơ bị chiếm đoạt tài sản, người dân không làm theo, không bấm vào các đường link mà người lạ cung cấp; không cài đặt các ứng dụng (app) không rõ nguồn gốc; không cung cấp thông tin về số thẻ CCCD cũng như mã OTP cho bất kỳ ai, kể cả nhân viên ngân hàng.