Ngày 7-12, Ủy ban Thương mại Liên bang Mỹ (FTC) cảnh báo người tiêu dùng cần cẩn trọng trước các nguy cơ mã QR có thể mang lại.

Coi chừng mã độc

Mã QR (Quick Response Code - mã phản hồi nhanh) là dạng mã vạch hai chiều, có thể quét bằng điện thoại thông minh để truy cập một đường dẫn nào đó.

Theo tạp chí Fast Company, vào năm 2022, sàn giao dịch tiền điện tử Coinbase đã tạo ra một đoạn quảng cáo gây sốt được phát sóng giữa sự kiện thể thao Super Bowl. Đoạn quảng cáo chỉ đơn giản là một mã QR nhảy khắp màn hình, cho phép người quét mã lập tức nhận bitcoin trị giá 15 USD khi đăng ký tài khoản Coinbase.

Quảng cáo đơn giản trong 1 phút này đã thu về 20 triệu lượt quét mã, lập tức trở thành một hiện tượng trong giới quảng cáo và tiếp thị về độ hiệu quả.

Tuy nhiên, chính sự hiệu quả đó lại trở thành tín hiệu đáng báo động khi công chúng cởi mở với mã QR. Nhìn chung, người tiêu dùng có thể an tâm quét mã QR từ các nguồn đáng tin. 

Song vẫn có nhiều rủi ro tiềm ẩn khi các mã này cũng nhiều khả năng dẫn người truy cập tới các trang lừa đảo, chứa phần mềm độc cho phép tin tặc truy cập vào thiết bị di động của nạn nhân và đánh cắp thông tin cá nhân, đặc biệt là mã ngân hàng hay các loại thẻ thanh toán.

Theo Đài CNBC, trang nghiên cứu thị trường eMarketer dự báo khoảng 94 triệu người tiêu dùng Mỹ sẽ sử dụng các phần mềm quét mã QR trên di động trong năm nay. Con số này sẽ đạt 102,6 triệu người trong năm 2026.

Trong bối cảnh đó, ông Alvaro Puig, một chuyên gia giáo dục người tiêu dùng của FTC, cảnh báo những kẻ lừa đảo có thể "giấu những đường dẫn độc hại trong các mã QR để đánh cắp thông tin người dùng".

Theo Fast Company, mã QR đã "phủ sóng" khắp Bắc Mỹ và châu Âu từ năm 2020, khi đại dịch COVID-19 buộc doanh nghiệp chuyển đổi sang các phương thức vận hành không tiếp xúc.

Nhờ khả năng lưu trữ lớn và sự phổ biến của các thiết bị di động, mã QR được dùng như một giải pháp truy cập nhanh chóng. Người ta có thể dùng mã QR để tiếp cận vào trang mạng, thông tin liên lạc, mạng xã hội, thông tin sản phẩm và giao dịch thanh toán.

Tuy nhiên điều đáng lo là giống như trong ví dụ về quảng cáo của Coinbase, người dùng có thể quét mã QR không chút nghĩ ngợi mà không để tâm đến chúng có thể đưa họ đến đâu.

Không khó để tự bảo vệ mình

Để thành công lừa đảo với QR Code, các tin tặc thường cố gắng thuyết phục người dùng rằng họ phải quét mã, tạo ra cảm giác khẩn cấp. Ví dụ, những kẻ phạm tội có thể thuyết phục nạn nhân rằng một gói hàng của họ gặp trục trặc trong quá trình vận chuyển và họ cần can thiệp, hoặc yêu cầu người dùng đổi mật khẩu một tài khoản nào đó vì phát hiện các hoạt động đáng nghi. Chúng sẽ yêu cầu nạn nhân quét mã QR dẫn đến một trang giả.

Hình thức lừa đảo trên thường phát huy hiệu quả lớn nhất ở nơi người dân thích thanh toán không tiền mặt, sử dụng điện thoại của họ để trả tiền. Tội phạm sẽ lợi dụng các hoạt động thường ngày để khiến người dân mất cảnh giác.

Điển hình, vào năm 2022, người ta đã phát hiện các mã QR giả mạo tại các đồng hồ giữ xe trên khắp thành phố San Antonio thuộc tiểu bang Texas (Mỹ). Người dân đã bị dẫn dụ đến thanh toán phí đỗ xe trên trang giả mạo khi cố quét những mã này.

Theo báo Straits Times, hồi tháng 5 vừa qua, Cơ quan An ninh mạng Singapore (CSA) cũng cảnh báo tới công chúng về mức độ phổ biến của những trò lừa đảo qua mã QR.

CSA khuyến cáo, để tránh bị lừa, người dân cần kiểm tra các dấu hiệu giả mạo, không quét các mã có vẻ như đã được dán đè lên mã gốc hoặc có sự mâu thuẫn trong thiết kế. Nếu thấy nghi ngờ, người dân cần kiểm tra với tổ chức phát hành mã này.

Ngoài ra, người dùng phải kiểm tra và đảm bảo đường dẫn của mã QR là địa chỉ trang web họ muốn truy cập. Lỗi chính tả, ký tự thừa hoặc địa chỉ lạ thường là những dấu hiệu nhận biết rằng một trang web là lừa đảo.

Khi thực hiện thanh toán kỹ thuật số, người dân cần xem lại chi tiết giao dịch hiển thị trên ứng dụng thanh toán, trước khi gửi tiền qua và đảm bảo rằng số tiền, tên người nhận và các thông tin khác là chính xác.

Một số ứng dụng quét mã QR của bên thứ ba cũng hiển thị quảng cáo nhắc người dùng tạo tài khoản. Người dùng có thể bị chuyển hướng đến một trang lừa đảo yêu cầu thông tin cá nhân và thông tin xác thực ngân hàng. Các ứng dụng quét mã QR của bên thứ ba không phải là những ứng dụng đi kèm với điện thoại, giống như tính năng quét mã trong ứng dụng máy ảnh của điện thoại thông minh, CSA lưu ý.

Lừa quét mã QR để chiếm đoạt tiền trong tài khoản ngân hàng

Sau khi hình thức gửi link đăng nhập website giả mạo bị “bắt bài”, các đối tượng tội phạm chuyển sang hình thức gửi và yêu cầu người nhận quét mã QR Code qua Zalo, Facebook, Viber khi ra chiêu lừa đảo.