Nở rộ tin nhắn lừa đảo chiếm đoạt tài sản qua đầu số các ngân hàng

Mất sạch tiền trong tài khoản khi truy cập đường link giả mạo

Thời gian gần đây, nhiều đối tượng đã sử dụng tin nhắn định danh (SMS Brand Name) giả để đánh lừa người dùng, tạo niềm tin dụ họ đăng nhập vào website hòng đánh cắp thông tin tài khoản ngân hàng, thực hiện giao dịch chiếm đoạt tiền.

Tin nhắn định danh thường là thông báo chính thức của cơ quan, tổ chức, do đó người dùng thường dễ dàng tin tưởng.

Mới đây, một số người sử dụng dịch vụ của ngân hàng Sacombank, Vietinbank, ACB cho biết, họ nhận được tin nhắn định danh từ đơn vị này thông báo về việc xác thực tài khoản để tránh bị khóa. Trong tin nhắn có kèm một đường dẫn, khi nhấn vào sẽ hiện ra trang web có giao diện y hệt với website chính thức của ngân hàng và yêu cầu người dùng nhập thông tin đăng nhập tài khoản internet banking.

Do đây là tin nhắn định danh dưới tên của ngân hàng nên nạn nhân không hề nghi ngờ, thực hiện theo tuần tự các bước, kể cả khâu nhập mật khẩu dùng 1 lần (OTP). Theo đó, nhiều người đã mất sạch tiền trong tài khoản khi truy cập vào đường link được gửi từ đầu số thương hiệu (SMS brandname) của các ngân hàng. Khi truy cập vào link, khách hàng sẽ được chuyển đến website có giao diện tương tự ngân hàng của họ đang sử dụng.

Từng là nạn nhân của các đối tượng sử dụng tin nhắn giả ngân hàng để lừa đảo, chị N.T.L (Hà Nội) cho biết, vừa qua chị có nhận được tin nhắn hết sức “cấp bách”: “Tin nhắn thông báo tài khoản của tôi đang bị khóa do lỗi hệ thống, cần đăng nhập lại thông tin tài khoản để xác nhận”.

Do tin tưởng, đây là tin nhắn từ chính ngân hàng gửi nên chị đã truy cập vào đường link được gửi kèm để xác thực tài khoản. Sau khi làm theo hướng dẫn, số tiền trong tài khoản của chị đã “biến mất”.

Được biết nhiều người cũng bị lừa bởi hình thức này. Sau khi chị L. kiểm tra lại và phát hiện, đường link không giống địa chỉ đúng của ngân hàng. "Tuy nhiên, đáng nói, tin nhắn lừa đảo lại gửi vào cùng luồng tin nhắn ngân hàng thật khiến người dân nhầm lẫn, và rất khó phân biệt” – chị L. nói.

Tương tự, theo phản ánh của một nữ khách hàng của Sacombank tại TP. Hồ Chí Minh, sau khi chị nhập thông tin và mã OTP như yêu cầu thì lập tức nhận tin nhắn từ ngân hàng thông báo tài khoản đã bị trừ hơn 38 triệu đồng. Một nạn nhân khác cũng cho biết mất sạch tài khoản hơn 10 triệu đồng với cùng thủ đoạn trên.

Qua công tác giám sát, theo dõi phản ánh của người dùng qua hệ thống tiếp nhận phản ánh tin nhắn rác, Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (Trung tâm VNCERT/CC) - Cục An toàn thông tin ghi nhận, thời gian qua tồn tại nhiều phản ánh liên quan tới việc giả mạo tin nhắn thương hiệu (SMS Brand Name) của các ngân hàng với mục đích lừa đảo, đánh cắp thông tin nhằm chiếm đoạt tài sản của người dùng.

Các đối tượng lừa đảo thường sử dụng các Brand Name giả mạo các tổ chức ngân hàng để gửi tới người dùng với nhiều nội dung khác nhau, trong đó có gắn kèm các liên kết nhằm mục đích hướng người dùng truy cập vào các link này để chiếm đoạt thông tin cá nhân và sau đó thực hiện việc chiếm đoạt tài sản của người dùng.

Các tin nhắn giả mạo này thường được gắn nội dung về việc thông báo tài khoản của khách hàng đã bị khóa hoặc đã đăng nhập ở một thiết bị khác, thông báo về đăng ký dịch vụ mới, tài khoản bị trừ tiền… với đường dẫn đính kèm yêu cầu người dùng nhập user/mật khẩu/ OTP để làm theo hướng dẫn. Không ít người dùng đã thiếu cảnh giác và thực hiện theo hướng dẫn của các đối tượng lừa đảo và đã sập bẫy.

Cũng theo Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), Bộ Thông tin và Truyền thông, đơn vị đã rà soát phát hiện những tin nhắn này thường được gửi từ các ngân hàng lớn như Vietcombank, ACB, Sacombank, VietinBank, Techcombank...

Các hoạt động lừa đảo trực tuyến tăng mạnh

Theo đại diện Trung tâm Giám sát an toàn không gian mạng quốc gia, kể từ sau khi dịch Covid-19 bùng phát tại Việt Nam, các hoạt động lừa đảo trực tuyến đã tăng rất mạnh. Có tháng Trung tâm Giám sát an toàn không gian mạng quốc gia đã phải xử lý hàng nghìn website liên quan đến lừa đảo, giả mạo các dịch vụ trực tuyến của ngân hàng, sàn thương mại điện tử.... Đây là nguy cơ rất lớn với người dùng.

Với hình thức lừa đảo thông qua đầu số các thương hiệu ngân hàng, đa số sẽ là yêu cầu xác nhận thanh toán, nâng cấp hệ thống, khóa tài khoản hoặc phát hiện truy cập từ thiết bị lạ.

Nội dung các tin nhắn có thể thay đổi tùy thuộc vào đối tượng lừa đảo. Tuy nhiên, chúng đều có một điểm chung nhất định đó là tin nhắn sẽ bao gồm đường link yêu cầu khách hàng đăng nhập để xác thực tài khoản. Chiêu trò này đánh vào sự lo lắng, thiếu bình tĩnh của một số người dùng khi nhận được yêu cầu phải xác thực tài khoản hoặc chi tiêu bất thường.

Trung tâm Giám sát an toàn không gian mạng quốc gia cũng khuyến cáo, chỉ cần để ý, người dùng có thể nhận thấy đường link này có khá nhiều lỗi. Trang web mở ra tuy có giao diện gần giống với ngân hàng thật nhưng sẽ có một vài sự khác biệt như tên miền .xyz, lặp lại 2 hoặc 3 ký tự trong tên.

Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam khuyến cáo người dùng: Khi nhận được các tin nhắn, cần kiểm tra kỹ nội dung tin nhắn nhận được, không vội vã trả lời hay thực hiện theo nội dung trong tin nhắn. Các Website chính thức của các tổ chức ngân hàng thường sử dụng giao thức https và kết thúc bằng đuôi .vn.

Khi nhận được các tin nhắn, cuộc gọi có dấu hiệu lừa đảo cần lưu lại các bằng chứng (tin nhắn hoặc ghi âm cuộc gọi) thực hiện phản ánh tới doanh nghiệp viễn thông quản lý thuê bao để yêu cầu xử lý; bên cạnh đó cung cấp các bằng chứng đã có tới các cơ quan chức năng của Bộ Công an nơi gần nhất đề nghị xử lý vi phạm theo đúng quy định của pháp luật.

Không chỉ sử dụng tin nhắn định danh giả các ngân hàng để lừa đảo, một thủ đoạn cũng nở rộ không kém là giả vờ đổi SIM, lừa đánh cắp OTP tài khoản ngân hàng để chiếm đoạt tiền.

Đơn cử, mới đây, chị N.H.T.T (39 tuổi, ngụ Đồng Nai) đã bị lừa đảo mất 5,3 tỷ đồng từ thủ đoạn này. Theo thông tin từ Cơ quan Cảnh sát điều tra Công an TP. Hồ Chí Minh, cơ quan này đã tiếp nhận đơn tố giác tội phạm của chị N.H.T.T tố cáo một người không rõ lai lịch làm giả chứng minh nhân dân của chị. Sau đó, kẻ này giả danh chị T. đổi sim điện thoại mà chị đang sử dụng nhằm đăng ký nhận mã OTP khi thực hiện giao dịch Internet banking tại các ngân hàng.

Nghi phạm sử dụng số điện thoại này đăng nhập 3 tài khoản ngân hàng của chị T. rồi chiếm đoạt số tiền hơn 5,3 tỉ đồng.

Thủ đoạn chiếm quyền SIM điện thoại, từng được cả ngân hàng thương mại lẫn cơ quan quản lý liên tục cảnh báo. Ngân hàng TMCP Đầu tư và Phát triển Việt Nam (BIDV) đã cảnh báo việc các đối tượng mạo danh nhân viên nhà mạng liên hệ và đề nghị hỗ trợ chuyển sim 3G lên 4G qua điện thoại và hướng dẫn cú pháp để chuyển đổi.

Trên thực tế, đây là cú pháp yêu cầu chuyển đổi từ sim 3G của khách hàng lên sim 4G của đối tượng lừa đảo nhằm chiếm đoạt quyền kiểm soát điện thoại cá nhân của khách hàng.

Trong trường hợp khách hàng đăng ký dịch vụ thẻ, ngân hàng điện tử và nhận thông tin giao dịch, mã OTP qua số điện thoại này sẽ có rủi ro mất tiền trong thẻ cũng như tài khoản.

Trước đó, Bộ Công ancũng từng cảnh báo thủ đoạn lừa đảo này. Theo đó, đầu tiên đối tượng thu thập thông tin cá nhân của bị hại, những thông tin này do lộ lọt, mua bán trên không gian mạng...

Cụ thể, đối tượng gọi điện cho bị hại giả danh nhân viên chăm sóc khách hàng của nhà mạng đề nghị nâng cấp SIM điện thoại từ 3G lên 4G, 5G để nâng cao chất lượng... Đối tượng yêu cầu nạn nhân nhắn tin theo cú pháp, thực chất đây là cú pháp để người dùng dịch vụ của nhà mạng cho phép thuê bao di động chuyển hướng cuộc gọi đến một số điện thoại bất kỳ.

Sau khi làm theo yêu cầu, người dùng sẽ mất quyền kiểm soát SIM vì SIM của đối tượng lừa đảo trở thành SIM "chính chủ", mọi cuộc gọi đến thuê bao của người dùng lập tức được chuyển tiếp đến số điện thoại của đối tượng.

Đối tượng lừa đảo sẽ dễ dàng chiếm đoạt tài khoản mạng xã hội, tài khoản ngân hàng, ví điện tử... của nạn nhân bằng cách đăng nhập và chọn tính năng quên "Quên mật khẩu". Nhà cung cấp dịch vụ sẽ gửi mã xác thực (OTP) đến SIM điện thoại đối tượng vừa chiếm đoạt để lấy được tài khoản mạng xã hội, tài khoản ngân hàng, ví điện tử của nạn nhân.

Ngoài việc tuyệt đối bảo mật thông tin cá nhân, tài khoản ngân hàng, để hạn chế rủi ro từ việc chiếm quyền kiểm soát SIM điện thoại, các ngân hàng khuyến khích khách hàng đăng ký sử dụng phương thức xác thực Smart OTP khi thực hiện các giao dịch trực tuyến.