Tấn công lừa đảo
Tấn công lừa đảo (tiếng Anh: Phishing) là một hình thức tấn công mạng trong đó kẻ tấn công giả mạo danh tính của ngân hàng, tổ chức tài chính, công ty công nghệ hoặc cơ quan nhà nước... nhằm đánh lừa người dùng cung cấp thông tin đăng nhập (tên đăng nhập, mật khẩu, mã OTP), thông tin thẻ tín dụng hoặc thực hiện giao dịch chuyển tiền. Kênh tấn công phổ biến bao gồm email, tin nhắn SMS, cuộc gọi, trang web giả mạo và mạng xã hội. Đây là một trong những phương thức gian lận trực tuyến phổ biến nhất hiện nay, đặc biệt trong lĩnh vực ngân hàng số tại Việt Nam.
Phân loại các hình thức tấn công lừa đảo phổ biến
Trong thực tiễn ngân hàng Việt Nam, có thể phân loại tấn công lừa đảo theo kênh và kỹ thuật thực hiện:
- Email Phishing (Lừa đảo qua email): Kẻ gửi email giả mạo ngân hàng với logo, địa chỉ người gửi gần giống thật, yêu cầu khách hàng nhấp vào đường link dẫn đến trang web giả để cập nhật thông tin hoặc xác nhận giao dịch. Thực tế ghi nhận nhiều trường hợp email giả mạo ngân hàng có đuôi tên miền gần giống (ví dụ thay đổi một ký tự, dùng tên miền phụ).
- Smishing (Lừa đảo qua SMS): Tin nhắn giả mạo thông báo tài khoản bị khóa, có giao dịch bất thường hoặc trúng thưởng, kèm đường link dẫn đến trang đăng nhập giả. Hình thức này bùng nổ mạnh tại Việt Nam trong giai đoạn 2022-2025.
- Vishing (Lừa đảo qua cuộc gọi): Kẻ gọi điện tự xưng là nhân viên ngân hàng, công an hoặc cơ quan thuế, yêu cầu cung cấp mã OTP hoặc chuyển khoản xác minh.
- Phishing trên mạng xã hội: Tạo fanpage, tài khoản giả mạo ngân hàng để tư vấn "rút tiền thẻ tín dụng", "vay vốn ưu đãi", dẫn dụ nạn nhân cung cấp thông tin cá nhân.
Quy trình một cuộc tấn công lừa đảo điển hình
Một cuộc tấn công lừa đảo nhắm vào khách hàng ngân hàng thường diễn ra theo các bước:
- Thu thập thông tin nạn nhân: Kẻ tấn công mua dữ liệu cá nhân (số điện thoại, email, họ tên) từ các vụ rò rỉ dữ liệu hoặc quét thông tin công khai trên mạng xã hội.
- Tạo kênh liên lạc giả mạo: Dựng trang web giả có giao diện giống ngân hàng đến 90%, đăng ký tên miền tương tự (ví dụ: chỉ khác một chữ cái hoặc thêm ký tự đặc biệt).
- Gửi mồi nhử: Gửi email, SMS hoặc tin nhắn mạng xã hội với nội dung gây sốt ruột (tài khoản bị khóa, có giao dịch lạ, cần xác minh danh tính).
- Thu hoạch thông tin: Nạn nhân nhấp vào link, đăng nhập vào trang giả, mã OTP có thể bị đánh cắp qua phần mềm độc hại hoặc kỹ thuật xã hội (social engineering) yêu cầu đọc mã qua điện thoại.
- Chiếm đoạt tài sản: Kẻ gian thực hiện chuyển khoản, thanh toán online hoặc mở khoản vay từ thông tin đánh cắp được.
Tác động và hậu quả với ngân hàng – khách hàng
- Với khách hàng: Mất tiền trong tài khoản, bị lộ thông tin cá nhân và tài chính, ảnh hưởng đến lịch sử tín dụng nếu bị lợi dụng mở khoản vay.
- Với ngân hàng: Tổn thất tài sản (trong nhiều trường hợp phải bồi hoàn cho khách hàng theo quy định), chi phí vận hành hệ thống bảo mật tăng, uy tín thương hiệu bị ảnh hưởng, áp lực tuân thủ quy định phòng chống gian lận của Ngân hàng Nhà nước.
- Với hệ thống tài chính: Làm giảm lòng tin của người dân vào các kênh giao dịch số, cản trở quá trình chuyển đổi số ngành ngân hàng.
Biện pháp phòng chống và nhận diện
- Với khách hàng: Không nhấp vào link lạ trong email/SMS; chỉ đăng nhập qua ứng dụng ngân hàng chính thức hoặc gõ trực tiếp địa chỉ trang web ngân hàng; không cung cấp mã OTP, mật khẩu cho bất kỳ ai kể cả người tự xưng nhân viên ngân hàng; bật xác thực sinh trắc học và thông báo biến động số dư.
- Với ngân hàng: Triển khai hệ thống chống gian lận (anti-fraud), giám sát giao dịch bất thường theo thời gian thực, sử dụng AI phát hiện hành vi bất thường, đăng ký tên miền ".vn" và các biến thể để ngăn chặn giả mạo.
- Với cơ quan quản lý: Ngân hàng Nhà nước và Bộ Công an thường xuyên phát cảnh báo, đồng thời yêu cầu các ngân hàng triển khai xác thực sinh trắc học khuôn mặt khớp với giấy tờ tùy thân khi chuyển tiền trên một hạn mức nhất định.
Câu hỏi thường gặp
Hỏi: Nếu lỡ nhấp vào link lừa đảo nhưng chưa nhập mật khẩu thì có mất tiền không?
Khả năng mất tiền ở thời điểm đó rất thấp, nhưng vẫn có rủi ro bị cài phần mềm độc hại (malware) lên thiết bị, cho phép kẻ gian theo dõi thao tác sau này. Bạn nên ngay lập tức đổi mật khẩu Internet Banking/mobile banking, quét virus toàn bộ thiết bị và liên hệ tổng đài ngân hàng để tạm khóa dịch vụ nếu nghi ngờ đã bị xâm nhập.
Hỏi: Làm sao phân biệt được email/tin nhắn thật của ngân hàng với email/tin nhắn lừa đảo?
Email thật từ ngân hàng thường được gửi từ tên miền chính thức (ví dụ: @vietcombank.com.vn) và không bao giờ chứa đường link trực tiếp yêu cầu đăng nhập. Ngân hàng không yêu cầu khách hàng cung cấp mật khẩu, mã OTP qua bất kỳ kênh nào. Khi nhận thông báo nghi ngờ, hãy đăng nhập trực tiếp vào ứng dụng ngân hàng hoặc gọi lên tổng đài chính thức để xác minh.
Hỏi: Nếu bị mất tiền do tấn công lừa đảo, khách hàng có được ngân hàng hoàn trả không?
Câu trả lời phụ thuộc vào nguyên nhân cụ thể và quy định hiện hành của Ngân hàng Nhà nước về phòng chống gian lận. Nếu khách hàng tự ý cung cấp thông tin bảo mật (OTP, mật khẩu) cho kẻ gian, khả năng được hoàn trả sẽ rất thấp. Nếu lỗi do hệ thống bảo mật của ngân hàng, khách hàng thường được bồi hoàn. Trong mọi trường hợp, nạn nhân cần báo cáo ngay cho ngân hàng và cơ quan công an trong vòng 24 giờ để được hỗ trợ và truy vết.
Disclaimer: Nội dung trên mang tính tham khảo tổng quát, không thay thế hướng dẫn chính thức từ ngân hàng và tư vấn pháp lý chuyên nghiệp. Để cập nhật quy định mới nhất về phòng chống gian lận, vui lòng tham khảo trang thông tin chính thức của Ngân hàng Nhà nước Việt Nam và từng ngân hàng thương mại.