Dưới đây là bài viết của ông Ronak Jain - Chuyên gia Phân tích Bảo mật doanh nghiệp, ManageEngine về vấn nạn lừa đảo qua mạng - đặc biệt là qua hình thức quét mã QR đang thịnh hành tại châu Á cũng như Việt Nam. ManageEngine là bộ phận quản lý CNTT của Zoho Corporation.
Zoho Corporation là DN hoạt động trong ngành công nghệ, có trụ sở ở Ấn Độ, đã đạt doanh thu 1 tỷ USD vào năm 2023 và có 15.000 nhân viên đang làm việc trên khắp toàn cầu. Tập đoàn Zoho cũng đã hoạt động lâu năm tại thị trường Việt Nam.
--------------------------------------------
Trong môi trường vấn nạn tội phạm mạng dai dẳng, một kỹ thuật vẫn thống trị năm này qua năm khác: lừa đảo qua mạng (phishing), một cánh cổng dẫn đến hành vi đánh cắp dữ liệu. Lừa đảo qua mạng là một hình thức lừa đảo kỹ thuật số xảo quyệt, phát triển mạnh và khai thác một lỗ hổng dễ bị tấn công nhất trong chuỗi an ninh mạng: yếu tố con người. Với vô số lỗ hổng vốn có trong hành vi của con người, lừa đảo qua mạng nhắm mục tiêu khai thác các điểm yếu này với mục tiêu cuối cùng là đánh cắp thông tin cá nhân nhạy cảm như thông tin đăng nhập và số thẻ tín dụng.
Trong những năm gần đây, các ngành công nghiệp ngày càng ưu tiên các sáng kiến đào tạo và nâng cao nhận thức về an ninh mạng cho lực lượng lao động của họ. Tuy nhiên, một mối đe dọa mới đang rình rập gần đây, gia tăng bởi việc sử dụng rộng rãi mã QR (Quick Response) trên toàn thế giới. Mối đe dọa mới nổi này, được gọi là lừa đảo qua mã QR (QR code phishing) hay còn được gọi tắt là "quishing", đã gây ra lo ngại cho nhiều ngành công nghiệp trên toàn cầu.
Mã QR độc hại được triển khai khéo léo để bẫy những nạn nhân không nghi ngờ, dụ dỗ họ tiết lộ thông tin nhạy cảm. Những mã lừa đảo này được gửi đến các cá nhân thông qua nhiều kênh khác nhau, từ email và tin nhắn lừa đảo đến các bài đăng trên mạng xã hội được biên tập tinh vi. Tệ hơn nữa, ngay cả các địa điểm ngoài đời thực cũng không tránh khỏi cuộc tấn công kỹ thuật số này.
Một cảnh báo lừa đảo qua hành động quét mã QR của một bệnh viện tại Việt Nam.
Năm 2023, Việt Nam ghi nhận gần 16.000 báo cáo về lừa đảo trực tuyến, tổng số tiền bị lừa đảo trực tuyến ước tính khoảng 8.000 - 10.000 tỷ đồng. Tính đến thời điểm hiện tại, tình hình lừa đảo trực tuyến có dấu hiệu gia tăng, với các mánh khóe lừa đảo sử dụng công nghệ tiếp tục tăng, đặc biệt là thông qua các phương thức như lừa đảo chuyển khoản qua mã QR.
Theo Ngân hàng Nhà nước Việt Nam, tính đến tháng 1/2024, thanh toán qua mã QR tăng 892% về số lượng và 1.062% về giá trị so với cùng kỳ năm 2023. Cùng với sự phổ biến của mã QR, đi kèm là rủi ro gian lận và chiếm đoạt tài sản.
Vào tháng 4 vừa qua, Công an quận Tây Hồ nhận được trình báo của một siêu thị mini về việc thiệt hại tài chính do mã QR bị can thiệp. Siêu thị chỉ phát hiện ra tổn thất tài chính khi khách hàng báo cáo đã thanh toán nhưng cửa hàng không nhận được. Qua điều tra, lực lượng chức năng xác định mã QR trên cửa kính đã bị can thiệp. Gian lận qua mã QR cũng đã xuất hiện tại các cửa hàng ăn uống, bệnh viện và các cơ sở khác.
Phương thức Quét mã QR lừa đảo trở nên phổ biến do khả năng chống lại các biện pháp chống lừa đảo qua mạng thông thườngcủa phương thức này còn hạn chế. Không giống như các cuộc tấn công lừa đảo qua mạng thông thường, thường liên quan đến các liên kết độc hại được nhúng trong văn bản, Quét mã QR lừa đảo sử dụng hình ảnh có thể giải mã để hiển thị URL.
Hiện việc phát hiện URL độc hại từ mã QR trong email là một thách thức đáng kể so với việc quét văn bản để tìm liên kết độc hại, khiến chophương thức Quét mã QR lừa đảo trở thành phương thức được yêu thích của kẻ tấn công thực hiện các cuộc tấn công mạng.
Ông Ronak Jain - Chuyên gia Phân tích Bảo mật doanh nghiệp, ManageEngine
Phần lớn người dùng đang thiếu kiến thức về việc lừa đảo qua mã QR
Theo Báo cáo Xu hướng Nguy cơ Lừa đảo qua Mạng năm 2024 của Egress, "tỷ lệ tấn công Quét mã QR lừa đảo đã tăng từ 0,8% vào năm 2021 lên 10,8% vào năm 2024, trong khi tỷ lệ đính kèm chứa nội dung độc hại giảm một nửa từ 72,7% xuống 35,7% trong cùng khung thời gian". Điều này cho thấy kẻ tấn công hiện đang sử dụng các chiến thuật lừa đảo qua mạng tinh vi hơn, chẳng hạn như mã QR giả mạo.
Các biện pháp và nguyên tắc bảo mật cần phải phát triển để theo kịp các xu hướng lừa đảo mới, chẳng hạn như lừa đảo qua mạng bằng AI, về cơ bản là đang nỗ lực hoàn thiện trò lừa của chúng bằng cách tạo ra nội dung cực kỳ thuyết phục.
Điều này được chứng thực bởi thực tế là từ tháng 6 đến tháng 8/2023, đã phát hiện ra 8.878 email lừa đảo qua mã QR, cho thấy sự thay đổi trong chiến thuật của tội phạm mạng và "chỉ có 36% trong số các sự cố này được người nhận xác định được và báo cáo chính xác." Điều này cho thấy phần lớn người dùng đang thiếu kiến thức về việc lừa đảo qua mã QR, do đó làm tăng khả năng bị tấn công của người nhận.
Các hình thức lừa đảo qua QR Code ngày càng tinh vi hơn khi sử dụng AI
Các chiến dịch Quét mã QR lừa đảo là các chiến dịch tấn công lừa đảo trên mạng theo chu kỳ, thường bắt đầu bằng việc sử dụng mã QR được nhúng trong email hoặc tin nhắn giả mạo.
Trên thế giới, lĩnh vực năng lượng đang là nơi mà những kẻ lừa đảo qua mã QR lộng hành nhất.
Kẻ lừa đảo đóng giả thành những người có thẩm quyền đáng tin cậy và tạo ra cảm giác cấp bách hoặc sợ hãi để thúc giục nạn nhân tuân theo yêu cầu; ví dụ: một email cảnh báo về các vấn đề bảo mật cần được xử lý ngay lập tức. Việc quét mã QR sẽ dẫn nạn nhân đến một trang web yêu cầu thông tin cá nhân, hoặc thông tin tài chính, hoặc các hành động như chuyển tiền hoặc cài đặt phần mềm độc hại. Thông tin thu thập được sau đó được sử dụng để nhắm mục tiêu vào các nạn nhân khác, biến việc Quét mã QR lừa đảo thành một mối đe dọa an ninh mạng dai dẳng.
Với sự phát triển của AI, các chiến dịch lừa đảo qua mạng sử dụng AI ngày càng trở nên phổ biến. AI tạo sinh (Generative AI) và kỹ thuật Deepfake (giả mạo âm thanh/hình ảnh) giúp cải thiện các mánh khóe này, sử dụng các nền tảng như Zoom và cuộc gọi điện thoại để nâng cao tỷ lệ thành công.
Deepfake có thể làm giả video hoặc âm thanh một cách thuyết phục, lợi dụng lòng tin của chúng ta vào các tín hiệu trực quan và người có thẩm quyền để khiến nạn nhân tin tưởng mà quét mã QR và chia sẻ thông tin hơn. Lừa đảo qua giọng nói được tạo bằng AI, hay còn gọi là "vishing", cũng đang gia tăng vì các cuộc gọi này dễ thực hiện hơn và khó xác minh hơn đối với nạn nhân.
Vai trò của khoa học hành vi
Khoa học hành vi là một tài sản quan trọng trong cuộc chiến chống lại các cuộc tấn công quét mã QR lừa đảo, cung cấp cái nhìn sâu sắc về hành vi và lỗ hổng của con người. Bằng cách hiểu những điều phức tạp này, các chuyên gia có thể phát triển các chương trình đào tạo có mục tiêu để giúp mọi người nhận ra và chống lại các chiến thuật lừa đảo.
Hơn nữa, khoa học hành vi cung cấp thông tin cho việc triển khai các biện pháp bảo mật phù hợp, giải quyết các thiên kiến nhận thức và thói quen suy luận nhanh để giảm thiểu các rủi ro cụ thể do các chiến dịch quét mã QR lừa đảo gây ra. Cách tiếp cận này nuôi dưỡng văn hóa hoài nghi và khả năng phục hồi trong các tổ chức, giúp nhân viên/người dân có quyền lực làm tuyến phòng thủ tiền tuyến chống lại các mối đe dọa an ninh mạng.
Bên cạnh đó, việc tận dụng khoa học hành vi tạo điều kiện thuận lợi cho việc phát triển các giải pháp công nghệ bổ sung cho nhận thức của con người và củng cố các biện pháp an ninh mạng truyền thống. Cuối cùng, việc tích hợp các nguyên tắc khoa học hành vi vào các hoạt động thực tiễn an ninh mạng là điều cần thiết để củng cố khả năng phòng thủ chống lại các mối đe dọa kỹ thuật số đang phát triển.
