Theo ghi nhận của Tuổi Trẻ, chiêu trò đang rộ lên thời gian gần đây là kẻ xấu phát tán mã QR độc hại qua phát tờ rơi với hình ảnh "nóng", tạo sự tò mò hoặc dán đè trực tiếp hình ảnh mã QR lên các mã đã có sẵn ở các điểm thanh toán. Thậm chí, chúng đưa lên các trang web, group, bài viết Facebook... để dụ người dùng quét mã.

Đủ trò phát tán mã QR độc hại

Với thói quen uống cà phê mỗi ngày, anh Hùng (quận Phú Nhuận, TP.HCM) thường xuyên tạt ngang các điểm bán hàng di động trên đường đi để mua cho tiện (hầu hết cho phép thanh toán không tiền mặt bằng quét mã QR). 

"Một lần tôi tạt vào một điểm quen nhưng khi quét mã thanh toán cho ly cà phê 20.000 đồng thì ra số tiền phải trả đến 200.000 đồng. May tôi hỏi lại người bán thì hoàn toàn không phải. Sau đó, họ phát hiện mã QR kia đã được dán đè lên mã QR của họ lúc nào không hay", anh Hùng kể lại.

Tương tự, chị Thanh Hương, chủ một tiệm tạp hóa trên đường Nơ Trang Long (quận Bình Thạnh) cũng cho biết vô tình phát hiện tờ giấy dán hình mã QR của tiệm hoàn toàn mới lạ. Chị Hương quét thử kiểm tra thì ra hóa đơn 1 triệu đồng nhưng tên người nhận lại hoàn toàn xa lạ...

Mới đây, Phòng An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao Công an tỉnh Lâm Đồng phối hợp Công an TP Đà Lạt đã bắt quả tang, ngăn chặn kịp thời hai đối tượng có hành vi phát tán tờ rơi nhằm lừa đảo, chiếm đoạt tài sản trên không gian mạng. 

Trước đó, nhiều tài xế và chủ xe ô tô nhận được danh thiếp lạ dưới dạng card visit cài hoặc kẹp trên xe của mình. Card visit có nội dung khiêu dâm với hình ảnh các cô gái ăn mặc hở hang; hướng dẫn cách sử dụng dịch vụ "massage thư giãn tận nơi, hẹn hò tình cảm" bằng cách truy cập vào đường link website, quét mã QR... và tải ứng dụng trên website.

Qua kiểm tra mã QR, cơ quan chức năng xác định các nội dung trên đều chứa nhiều loại mã độc chuyên dùng để đánh cắp các thông tin, dữ liệu của người dùng. Mục tiêu của kẻ xấu là đánh lừa người dùng cài đặt các ứng dụng chứa mã độc vào điện thoại cá nhân. Sau khi cài đặt, mã độc sẽ thu thập thông tin, điều khiển các ứng dụng ngân hàng, đánh cắp tài khoản, mật khẩu và mã OTP của nạn nhân.

Không chỉ ngoài đời thực, mã QR độc hại còn được phát tán dễ dàng trong các bài viết, hình ảnh thông qua các ứng dụng nhắn tin, diễn đàn, hội nhóm trên mạng xã hội. 

Trong một hội nhóm trên Facebook chuyên về tình hình giao thông, một bài viết với tiêu đề "live (tường thuật trực tiếp) tai nạn giao thông thảm khốc... không một ai sống sót" đã thu hút rất đông thành viên quan tâm và tò mò. Kèm theo tựa đề câu khách này là một mã QR với hàm ý quét mã để xem video.

Nhiều người quét mã thì kết quả lại là một trang quảng cáo cờ bạc kèm cảnh báo mã độc có thể bị cài đặt vào điện thoại. Dù bài viết đã nhanh chóng bị xóa nhưng lượng tương tác không dưới hàng nghìn người.

Một phương thức khác là dạng tin nhắn gửi cho mọi thành viên trong các hội nhóm hoặc gửi từ các tài khoản đã bị hack với nội dung video lộ hàng nóng bỏng của ca sĩ X, người mẫu Y kèm hình ảnh minh họa có mã QR. Những người dùng tò mò quét mã truy cập sẽ bị nhiễm mã độc.

Cẩn trọng khi quét mã QR

Trao đổi với Tuổi Trẻ, ông Vũ Ngọc Sơn - giám đốc công nghệ Công ty an ninh mạng NCS - cho biết mã QR có nhiều ứng dụng nhưng phổ biến nhất hiện nay là để chứa các đường link hoặc số tài khoản ngân hàng trong các giao dịch chuyển khoản. 

Lợi dụng việc phổ biến của mã QR, các đối tượng lừa đảo có thể mã hóa các đường link lừa đảo hoặc các số tài khoản giả mạo thành các mã QR để lừa người dùng. Nếu không để ý, người dùng có thể quét và truy cập các đường link này hoặc chuyển khoản cho các số tài khoản giả mạo mà không hay biết.

Phân tích cụ thể về cách thức lây nhiễm mã độc hoặc giả mạo đánh cắp thông tin tài khoản, ông Sơn cho biết khi người dùng thông qua một phần mềm để xử lý nội dung của mã QR tự động, việc quét mã QR độc hại có thể khiến họ bị tấn công ngay lập tức nếu phần mềm không kiểm tra nội dung mã QR có hợp lệ, an toàn trước khi tự động mở. 

Ngược lại, nếu người dùng sử dụng máy ảnh của điện thoại tích hợp sẵn tính năng đọc mã QR thì sẽ chỉ hiển thị đường link hoặc số tài khoản, lúc này quyền bấm vào hay chuyển khoản thuộc về người dùng và nếu người dùng tiếp tục thực hiện hành động truy cập link hoặc chuyển khoản thì mới bị tấn công.

Với việc ứng dụng mã QR ngày càng phổ biến, bà Hương Lê - giám đốc khu vực của Công ty an ninh mạng Exclusive Networks Việt Nam - cho rằng người tiêu dùng phải cẩn trọng khi quét mã từ các nguồn không đáng tin cậy và xem xét việc sử dụng các ứng dụng quét có tính năng bảo mật.

Ông Sơn khuyến cáo thêm người dùng chỉ nên quét các mã QR từ nguồn đảm bảo. Với các mã QR liên quan đến chuyển tiền cần nhìn rõ số tài khoản nhận tiền trước khi bấm nút chuyển. Với các mã QR liên quan đến đường link, chỉ sử dụng camera điện thoại để quét, cân nhắc chỉ ấn vào đường link bắt đầu với https và có tên miền quen thuộc.

Với chiêu trò tờ rơi, card visit..., cơ quan chức năng khuyến cáo không tò mò truy cập mã QR nhạy cảm để tránh bị lừa đảo, chiếm đoạt tài sản.

Nhiều cửa hàng bị kẻ gian dán đè mã QR ngân hàng để chiếm đoạt tiền

Nhiều cửa hàng khi để mã QR ngân hàng bên ngoài đã bị các kẻ gian lén dán đè mã QR khác để lừa đảo chiếm đoạt tài sản.