Lừa đảo bằng mã QR hoạt động như thế nào?

Theo các chuyên gia nghiên cứu, nạn nhân sẽ nhận được một email có tệp PDF giả mạo Adobe Acrobat Sign, DocuSign hoặc tài liệu cập nhật bảng lương của công ty, nhắc nhở người dùng ký vào một tài liệu.

Trò lừa đảo bằng quét mã QR là dựa vào việc lừa nạn nhân quét mã QR bằng điện thoại thông minh của họ. Bằng cách nhúng liên kết lừa đảo vào bên trong mã, kẻ tấn công tránh được các lần quét bảo mật thông thường, cộng với việc nạn nhân có nhiều khả năng sử dụng thiết bị cá nhân (và thường kém an toàn hơn), khiến họ trở thành mục tiêu dễ dàng.

Những kẻ lừa đảo thường dán logo công ty, email của bộ phận nhân sự vào tài liệu và trông giống như một thông báo chính thức, lừa người dùng mất cảnh giác.

Kẻ tấn công thường ẩn trang web độc hại cuối cùng đằng sau các cơ chế chuyển hướng hoặc khai thác các chuyển hướng mở từ các trang web đáng tin cậy, khiến người dùng và trình thu thập thông tin bảo mật khó phát hiện ra liên kết độc hại hơn.

Mặc dù nhiều người dùng đã được dạy cách kiểm tra URL chặt chẽ, nhưng mã QR lại thêm một lớp lừa mới. Nạn nhân chỉ có thể nhìn thấy tên miền, vì vậy ngay cả những liên kết phác thảo nhất cũng có vẻ vô hại khi nhìn thoáng qua.

Đòn cuối cùng trong các cuộc tấn công này là thu thập thông tin đăng nhập, trong đó nạn nhân bị lừa đăng nhập vào các trang giả mạo bắt chước thông tin đăng nhập Microsoft 365, chỉ để dữ liệu nhạy cảm của họ bị đánh cắp.

Điều thực sự đáng báo động là độ chính xác của các cuộc tấn công này. Kẻ tấn công không chỉ giăng lưới rộng, chúng sử dụng danh sách tên có mục tiêu, tùy chỉnh các trang đăng nhập giả để từ chối thông tin đăng nhập ngẫu nhiên và chỉ chấp nhận thông tin đăng nhập có liên quan đến nạn nhân của chúng.

Đây là dấu hiệu rõ ràng của một hoạt động tinh vi, tập trung cao độ được thiết kế để tối đa hóa cơ hội thành công.

Làm thế nào để tránh lừa đảo QR?

Không bao giờ quét mã QR nhận được từ người lạ

Ngay cả khi tin nhắn đến từ người bạn biết, trước tiên hãy kiểm tra xem liên hệ của bạn có thực sự gửi cho bạn mã hay không trước khi nhấp vào tin nhắn đó

Nếu tin nhắn đến từ cơ quan chính phủ, hãy gọi điện hoặc gửi email trực tiếp để đảm bảo rằng tin nhắn đó là hợp lệ

Một số phần mềm diệt vi-rút có chức năng quét QR – chức năng này sẽ ngăn bạn tải xuống phần mềm độc hại

Không nhập bất kỳ thông tin cá nhân hoặc thông tin nhạy cảm nào khác vào các trang web mà bạn không biết.