Cách gài bẫy phổ biến là giả danh lực lượng chức năng gọi hướng dẫn cài đặt, kích hoạt tài khoản định danh điện tử mức 2 (VNeid) hoặc app (ứng dụng) của Tổng cục Thuế... 

Từ đó, tội phạm đánh cắp thông tin đăng nhập, mật khẩu, mã PIN, OTP, chiếm quyền điều khiển từ xa để lấy cắp tiền trong tài khoản.

Mạo danh app VNeid, app Tổng cục Thuế

Cuối tháng 8 vừa qua, Phòng an ninh mạng Công an tỉnh Đồng Tháp đã thông tin vụ việc người dân báo mất 1 tỉ đồng do bị kẻ lừa đảo giả danh Công an huyện Hồng Ngự gọi đến để hướng dẫn cài đặt, kích hoạt tài khoản định danh điện tử mức 2. 

Ông này được yêu cầu truy cập vào một đường link lạ để tải ứng dụng. Sau cài đặt ứng dụng tên AN NINH MẠNG, có logo của Cục An toàn thông tin và thực hiện các thao tác theo hướng dẫn, ông phát hiện tài khoản ngân hàng đã bị mất số tiền lớn nên đã trình báo công an.

Trên thực tế, ông đã sa vào bẫy tải app giả mạo chứa mã độc có thể thu thập thông tin cá nhân, thông tin tài khoản ngân hàng, yêu cầu cấp quyền truy cập và từ đó kẻ xấu điều khiển từ xa, truy cập dữ liệu cá nhân và đọc được cả tin nhắn. 

Khi kiểm soát được tài khoản ngân hàng và tin nhắn chứa mã OTP, chúng dễ dàng chuyển tiền đến tài khoản khác để chiếm đoạt.

Cuối tháng 7 vừa qua, Công an TP Hà Nội cũng phát thông tin cảnh báo về việc xuất hiện các phần mềm giả mạo ứng dụng của cơ quan thuế nhằm lấy cắp thông tin cá nhân, chiếm đoạt tài sản... 

Người dân đã trình báo có kẻ giả danh là cán bộ chi cục thuế gọi điện, gửi đường link và hướng dẫn truy cập để cài đặt phần mềm nộp thuế. Làm theo, người trình báo nhanh chóng phát hiện tài khoản ngân hàng bị mất hơn 400 triệu đồng.

"Người dân không cho phép bất kỳ cá nhân nào truy cập trực tiếp vào máy tính, điện thoại của mình để hỗ trợ cài đặt, sử dụng phần mềm của cơ quan thuế. 

Người dân khi cài đặt các ứng dụng cần kiểm tra kỹ thông tin về ứng dụng, quyền truy cập và các tính năng của ứng dụng trước khi tải về và cài đặt; tránh cài đặt ứng dụng yêu cầu cấp quyền, truy cập tệp tin, truy cập tin nhắn, điều khiển màn hình...", Phòng an ninh mạng và phòng chống tội phạm sử dụng công nghệ cao Công an TP Hà Nội khuyến cáo.

Cẩn thận quyền trợ năng trên điện thoại

Ông Nguyễn Trần Nam - giám đốc khối ngân hàng số Ngân hàng Á Châu (ACB) - cho hay những khách hàng dùng app ngân hàng nói chung trên hệ điều hành Android (chưa ghi nhận trên hệ điều hành IOS) đang có nguy cơ bị theo dõi hành vi sử dụng điện thoại, bao gồm việc sử dụng mobile banking app và chiếm quyền điều khiển từ xa.

Theo đó, hacker điều khiển điện thoại thao tác mà người dùng không hay biết, từ đó đánh cắp thông tin đăng nhập, mật khẩu, mã PIN, OTP để chiếm đoạt tiền trong tài khoản.

Có một số ngân hàng đã báo cáo nhiều khách hàng bị mất tiền trong tài khoản, bắt đầu từ khoảng tháng 5 nhưng rộ lên thời gian gần đây.

Theo đại diện ACB, kết hợp với thông tin từ ngân hàng bạn và Cơ quan cảnh sát điều tra thuộc A05 thì đối tượng lợi dụng một quyền trong hệ điều hành Android gọi là "accessibility" - tạm dịch là quyền trợ năng.

Quyền này được tạo ra nhằm mục đích hỗ trợ các khách hàng yếu thế như người già, khuyết tật, giới hạn chức năng như mắt mờ, tai nghe không rõ... sử dụng điện thoại thuận tiện hơn. 

Tuy nhiên, hacker lợi dụng quyền này để thực hiện "record" - theo dõi hành vi người dùng và "remote" - điều khiển từ xa điện thoại của khách hàng.

Thủ đoạn là hacker dẫn dụ khách hàng nhấp vào đường link hoặc tải app giả mạo của các cơ quan như thuế, điện lực, tìm việc làm hoặc game giải trí... có chứa mã độc. App này sẽ xin quyền "accessibility" và khách hàng nếu không cẩn thận sẽ bấm "accept", cấp quyền này cho app.

Kể từ đó, app giả mạo sẽ tiến hành theo dõi để thu thập thông tin đăng nhập của khách hàng mỗi lần khách hàng sử dụng app ngân hàng. 

Sau khi có đủ thông tin, hacker sẽ đợi khi tài khoản khách hàng có nhiều tiền hoặc khi đêm khuya, khách hàng không để ý điện thoại để tiến hành remote vào điện thoại của khách hàng để chuyển tiền, chiếm đoạt.

Theo đại diện ACB, đại đa số vụ việc mất tiền là do lừa đảo, không phải do xâm nhập hệ thống ngân hàng. 

Tiền bị lừa đảo thường khó thu hồi ngay cả khi bắt được đối tượng vì được chuyển đi ngay qua nhiều tài khoản hoặc được "rửa" qua một hệ thống phức tạp bằng cách chuyển đổi thành thẻ cào, tiền kỹ thuật số, hoặc nạp vào các tài khoản cá độ, chơi game bất hợp pháp.

Khách hàng rất khó có thể yêu cầu ngân hàng đền bù thiệt hại cho các giao dịch được xác thực bởi đầy đủ thông tin đăng nhập và mã OTP xác thực và trên cùng thiết bị mà khách hàng đang sử dụng cho các giao dịch bình thường khác. 

Do đó, hệ thống ngân hàng xác nhận đây là các giao dịch hợp lệ và đã thực hiện như các giao dịch khác do chủ tài khoản thực hiện, đúng theo quy định cung cấp và sử dụng dịch vụ ngân hàng điện tử giữa khách hàng và ngân hàng.

Vì vậy, ngân hàng chỉ có thể phối hợp với cơ quan phòng chống tội phạm công nghệ cao, cơ quan công an và điều tra để hỗ trợ khách hàng trong việc cung cấp thông tin nhanh nhất và đầy đủ để cơ quan chức năng với đủ thẩm quyền và nguồn lực chuyên ngành để thực hiện các công tác điều tra và xử lý. Các ngân hàng và khách hàng đều phải đợi kết quả điều tra từ cơ quan chức năng.

"Khách hàng cần phải cảnh giác, hiểu rõ quyền và trách nhiệm của mình khi giao dịch ngân hàng, đặc biệt là trên không gian mạng; nâng cao nhận thức về các thủ đoạn mới, được truyền thông liên tục trên báo đài và từ các ngân hàng, để cảnh giác hơn trước đối tượng lừa đảo", đại diện ACB khuyến cáo.