Mánh khóe "móc" tiền trong tài khoản ngân hàng bằng tin nhắn mạo danh

Theo Cục An toàn thông tin (Bộ Thông tin và Truyền thông), thời gian qua nhiều thuê bao di động nhận được các tin nhắn mạo danh các tổ chức tài chính, ngân hàng như TPBank, Sacombank, ACB, Zalopay,… gửi các nội dung giả mạo, lừa đảo nhằm chiếm đoạt tiền của người dân.

3 bước "móc" tiền trong tài khoản ngân hàng bằng tin nhắn mạo danh

Qua xác minh, đánh giá cho thấy các tin nhắn mạo danh này không xuất phát từ hệ thống của các tổ chức tài chính, ngân hàng và doanh nghiệp viễn thông mà được phát tán thông qua các thiết bị phát sóng di động giả mạo.

Đây là các thiết bị có nguồn gốc từ nước ngoài, được các đối tượng mua bán, sử dụng trái phép nhằm mục đích thực hiện các cuộc tấn công phát tán tin nhắn rác lừa đảo người dùng, đặc biệt là người dùng tại các khu vực đô thị.

Theo Cục An toàn thông tin, các bước mà đối tượng lừa đảo tiến hành bằng tin nhắn mạo danh gồm 3 bước.

Bước thứ nhất, phát tán tin nhắn rác lừa đảo. Theo đó, đối tượng tấn công sử dụng các thiết bị phát sóng mạo danh (IMSI Catcher/SMS Broadcaster) để thực hiện gửi tin nhắn rác trực tiếp vào điện thoại mà không thông qua mạng viễn thông di động.

Các tin nhắn này bị các đổi tượng thay đổi thông tin nguồn gửi (số điện thoại, đầu số hoặc tên định danh) nhằm mục đích tạo lòng tin, đánh lừa người dùng.

Nội dung tin nhắn thường là quảng cáo, hướng dẫn hoặc chứa đường link tới website giả mạo giống như các website chính thống của các tổ chức tài chính, ngân hàng để dẫn dụ và đánh cắp thông tin của người dùng như tài khoản, mật khẩu, mã OTP,…

Bước 2, người dùng cung cấp thông tin cá nhân. Người dùng không nhận biết được website giả mạo nên sẽ cung cấp thông tin cá nhân truy cập vào tài khoản ngân hàng như điền tên tài khoản, mật khẩu. Sau khi người dùng cung cấp thông tin, website giả mạo sẽ điều hướng sang website khác hoặc thông báo đề nghị người dùng chờ đợi.

Đối tượng dùng thông tin cá nhân của người dùng để đăng nhập vào website chính thức của các tổ chức tài chính, ngân hàng để lấy mã xác thực OTP (nếu cần).

Cuối cùng là lấy mã OTP của người dùng. Sau khi điện thoại người dùng nhận được mã xác thực OTP, website giả mạo sẽ được điều hướng sang trạng thái yêu cầu người dùng cung cấp mã xác thực OTP. Người dùng mà không cảnh giác sẽ cung cấp thông tin mã OTP để đối tượng hoàn tất quá trình chiếm đoạt tiền trong tài khoản.

Đây là hành vi rất tinh vi và nguy hiểm, Cục An toàn thông tin đang phối hợp chặt chẽ với lực lượng công an, các cơ quan chức năng, các doanh nghiệp viễn thông để triển khai các biện pháp ngăn chặn, điều tra, xác minh và xử lý đối tượng vi phạm pháp luật.

Cảnh báo của các ngân hàng

Để phòng ngừa và phối hợp xử lý, Cục An toàn thông tin đề nghị người dân kiểm tra, xác minh kỹ các website, ứng dụng (app) trong các tin nhắn mà người dùng nhận được, kể cả các tin nhắn thương hiệu, tin nhắn từ các đầu số ngắn; tuyệt đối không truy cập vào các website, ứng dụng có nguồn gốc, nội dung không rõ ràng.

Trước đó, các ngân hàng thương mại cũng đã đồng loạt gửi thư, thông báo để cảnh báo đến các khách hàng của mình về tình trạng lừa đảo bằng tin nhắn mạo danh.

Ngân hàng TMCP Á Châu (ACB) cũng cảnh báo tin nhắn mạo danh ngân hàng này để lừa đảo với thủ đoạn tương tự. ACB khẳng định các yêu cầu cung cấp thông tin hoặc số OTP hoặc mời mở link đường dẫn để là giả mạo."Đây không phải là hiện tượng lừa đảo mới. Hiện tại, với các bước xác nhận thông tin nhiều lớp của Techcombank, việc lừa đảo này không dễ dàng có thể đánh cắp được tài khoản của khách hàng. Tuy nhiên, vào thời điểm cuối năm, khi nhu cầu thanh toán, mua sắm tăng cao, việc kẻ gian sử dụng tên TECHCOMBANK làm tên email có thể khiến khách hàng hiểu lầm, dẫn tới cung cấp thông tin cá nhân, có thể bị khai thác cho mục đích xấu" – đại diện Techcombank nói.

Nhiều ngân hàng, ví điện tử khác cũng cảnh báo thủ đoạn này và khuyến cáo khách hàng cần tuyệt đối bảo mật thông tin, nhất là không cung cấp mã OTP cho bất cứ ai trong bất kỳ trường hợp nào để tránh mất tiền oan.

Để bảo vệ an toàn tài khoản, các ngân hàng khuyến cáo người dùng cần cẩn trọng trước các yêu cầu "download" (tải về) hoặc khai báo thông tin, đặc biệt là các thông tin bảo mật của tài khoản bao gồm: số CMND, số điện thoại, địa chỉ email, mật khẩu đăng nhập, mã SmartOTP, số thẻ...

Đặc biệt, tuyệt đối không truy cập các đường link, liên kết trong tin nhắn/email lạ hoặc không rõ nguồn gốc. Các ngân hàng không bao giờ yêu cầu khách hàng cung cấp thông tin bảo mật của khách hàng dưới bất cứ hình thức nào…