Giải pháp ngăn chặn chiêu trò lừa đảo từ những ứng dụng dịch vụ công giả mạo

Người dân khi cài đặt các ứng dụng cần kiểm tra kỹ thông tin về ứng dụng, quyền truy cập và các tính năng của ứng dụng trước khi tải về và cài đặt; tránh cài đặt ứng dụng yêu cầu cấp quyền, truy cập tệp tin, truy cập tin nhắn, điều khiển màn hình...

Phương thức lừa đảo giả mạo các ứng dụng công nghệ cao ngày càng tinh vi

Ông Nguyễn Trần Nam - giám đốc khối ngân hàng số Ngân hàng Á Châu (ACB) - cho hay những khách hàng dùng app ngân hàng nói chung trên hệ điều hành Android đang có nguy cơ bị theo dõi hành vi sử dụng điện thoại, bao gồm việc sử dụng mobile banking app và chiếm quyền điều khiển từ xa. Theo đó, hacker điều khiển điện thoại thao tác mà người dùng không hay biết, từ đó đánh cắp thông tin đăng nhập, mật khẩu, mã PIN, OTP để chiếm đoạt tiền trong tài khoản.

Có một số ngân hàng đã báo cáo nhiều khách hàng bị mất tiền trong tài khoản, bắt đầu từ khoảng tháng 5 nhưng rộ lên thời gian gần đây.

Theo đại diện ACB, kết hợp với thông tin từ ngân hàng bạn và Cơ quan cảnh sát điều tra thuộc A05 thì đối tượng lợi dụng một quyền trong hệ điều hành Android gọi là "accessibility" - tạm dịch là quyền trợ năng. Quyền này được tạo ra nhằm mục đích hỗ trợ các khách hàng yếu thế như người già, khuyết tật, giới hạn chức năng như mắt mờ, tai nghe không rõ... sử dụng điện thoại thuận tiện hơn.  Tuy nhiên, hacker lợi dụng quyền này để thực hiện "record" - theo dõi hành vi người dùng và "remote" - điều khiển từ xa điện thoại của khách hàng.

Thủ đoạn là hacker dẫn dụ khách hàng nhấp vào đường link hoặc tải app giả mạo của các cơ quan như thuế, điện lực, tìm việc làm hoặc game giải trí... có chứa mã độc. App này sẽ xin quyền "accessibility" và khách hàng nếu không cẩn thận sẽ bấm "accept", cấp quyền này cho app. Kể từ đó, app giả mạo sẽ tiến hành theo dõi để thu thập thông tin đăng nhập của khách hàng mỗi lần khách hàng sử dụng app ngân hàng. Sau khi có đủ thông tin, hacker sẽ đợi khi tài khoản khách hàng có nhiều tiền hoặc khi đêm khuya, khách hàng không để ý điện thoại để tiến hành remote vào điện thoại của khách hàng để chuyển tiền, chiếm đoạt.

Hacker lợi dụng tính năng này, sử dụng accessibility service để lập trình mã độc đọc được nội dung và tương tác được trên các ứng dụng khác. Dù Google đã sớm nhận ra và loại bỏ gần như toàn bộ ứng dụng sử dụng quyền này trên kho ứng dụng chính thống CH Play, nhưng hacker vẫn tìm ra khe hở bằng cách phát tán phần mềm trên mạng, nơi Google không thể can thiệp. Đó là lý do các phần mềm độc hại không có trên CH Play mà vẫn gây tai họa tại Việt Nam vì chúng được đưa lên các link, tải trực tiếp dưới dạng tập tin .apk.

Theo đại diện ACB, đại đa số vụ việc mất tiền là do lừa đảo, không phải do xâm nhập hệ thống ngân hàng. Tiền bị lừa đảo thường khó thu hồi ngay cả khi bắt được đối tượng vì được chuyển đi ngay qua nhiều tài khoản hoặc được "rửa" qua một hệ thống phức tạp bằng cách chuyển đổi thành thẻ cào, tiền kỹ thuật số, hoặc nạp vào các tài khoản cá độ, chơi game bất hợp pháp. Khách hàng rất khó có thể yêu cầu ngân hàng đền bù thiệt hại cho các giao dịch được xác thực bởi đầy đủ thông tin đăng nhập và mã OTP xác thực và trên cùng thiết bị mà khách hàng đang sử dụng cho các giao dịch bình thường khác. Do đó, hệ thống ngân hàng xác nhận đây là các giao dịch hợp lệ và đã thực hiện như các giao dịch khác do chủ tài khoản thực hiện, đúng theo quy định cung cấp và sử dụng dịch vụ ngân hàng điện tử giữa khách hàng và ngân hàng. Vì vậy, ngân hàng chỉ có thể phối hợp với cơ quan phòng chống tội phạm công nghệ cao, cơ quan công an và điều tra để hỗ trợ khách hàng trong việc cung cấp thông tin nhanh nhất và đầy đủ để cơ quan chức năng với đủ thẩm quyền và nguồn lực chuyên ngành để thực hiện các công tác điều tra và xử lý.

Các ngân hàng và khách hàng đều phải đợi kết quả điều tra từ cơ quan chức năng. "Khách hàng cần phải cảnh giác, hiểu rõ quyền và trách nhiệm của mình khi giao dịch ngân hàng, đặc biệt là trên không gian mạng; nâng cao nhận thức về các thủ đoạn mới, được truyền thông liên tục trên báo đài và từ các ngân hàng, để cảnh giác hơn trước đối tượng lừa đảo", đại diện ACB khuyến cáo.

Người dân có thể tự bảo vệ thông tin cá nhân của mình

Chuyên gia Vũ Ngọc Sơn - Giám đốc công nghệ Công ty an ninh mạng NCS chia sẻ: "Hiện các ứng dụng giả mạo chỉ hoạt động trên hệ điều hành Android, đường dẫn tải phần mềm nằm ngoài chợ ứng dụng CH Play. Các điện thoại iPhone hiện tại không cho phép cài từ nguồn bên ngoài chợ ứng dụng Apple Store nên không bị tấn công theo dạng này". Bên cạnh đó, ông Sơn cũng khuyến cáo người dùng cần cảnh giác với những yêu cầu cài đặt phần mềm, đặc biệt là phần mềm trên hệ điều hành Android. Người dùng tuyệt đối không cấp quyền accessibility cho dù bất cứ lý do nào. Tất cả các ứng dụng của ngân hàng, thuế hay bất kỳ cơ quan nào khác đều không yêu cầu quyền này.

Với điện thoại Android, người dùng chỉ cài ứng dụng từ CH Play. Với điện thoại iPhone thì chỉ cài từ Apple Store. Tuyệt đối không bấm vào các đường dẫn nhận được qua tin nhắn. Nếu có nghi vấn, cần xác thực lại với cơ quan, tổ chức qua số điện thoại chính thức. Người dùng tuyệt đối không cấp quyền accessibility cho dù bất cứ lý do nào. Tất cả các ứng dụng của ngân hàng, thuế hay bất kỳ cơ quan nào khác đều không yêu cầu quyền này. Với điện thoại Android, người dùng chỉ cài ứng dụng từ CH Play. Với điện thoại iPhone thì chỉ cài từ Apple Store. Tuyệt đối không bấm vào các đường dẫn nhận được qua tin nhắn. Nếu có nghi vấn, cần xác thực lại với cơ quan, tổ chức qua số điện thoại chính thức.

Cách kiểm tra trang web giả mạo, lừa đảo

Người dùng có thể kiểm tra một trang web có phải là giả mạo nhằm mục đích lừa đảo, đánh cắp thông tin bằng cách truy cập vào công cụ của Trung tâm Giám sát an toàn không gian mạng quốc gia và nhập địa chỉ trang web muốn kiểm định sau nhấn nút "Kiểm tra". Kết quả xuất hiện có thể không chính xác hoàn toàn nhưng mang có tính chất tham khảo. Website Phishing là website mà kẻ tấn công tạo ra, giả mạo. Ngoài ra, người dùng còn có thể tự thẩm định bằng cách chú ý đường dẫn giả mạo thường chứa nhiều ký tự vô nghĩa và các chuỗi văn bản bổ sung. Bên cạnh đó, người dùng còn có thể kiểm tra chứng thư số của website, kiểm tra thanh địa chỉ để biết thông tin chi tiết của tổ chức...

Theo VietQ