Cảnh giác trước 'cái bẫy' ẩn sau mã QR

Lừa đảo qua mã QR ngày càng tinh vi. Ảnh minh họa: ISTOCKPHOTO

Nhiều kịch bản lừa đảo

Mã QR từng được xem là biểu tượng của sự tiện lợi trong thời đại số. Chỉ với một lần quét, người dùng có thể thanh toán hóa đơn, trả tiền gửi xe, truy cập website, nhận vé điện tử hoặc xác minh dịch vụ. Tuy nhiên, khi mã QR xuất hiện dày đặc trong đời sống, tội phạm mạng cũng tìm cách lợi dụng thói quen này.

“Quishing”, thuật ngữ kết hợp giữa QR và “phishing” (lừa đảo trực tuyến), đang biến những ô vuông tưởng như vô hại thành công cụ đánh cắp tiền và dữ liệu.

Theo The Straits Times, Malaysia là một trong những thị trường cho thấy rõ tốc độ gia tăng của hình thức lừa đảo này. Từ tháng 1 đến tháng 6/2026, nước này ghi nhận 5.134 vụ lừa đảo liên quan mã QR, gây thiệt hại 28,67 triệu ringgit. Chỉ trong nửa đầu năm, số vụ đã gần bằng toàn bộ 5.907 vụ của năm 2025.

Tại Mỹ, Ủy ban thương mại Liên bang Mỹ (FTC) cảnh báo những mã QR độc hại có thể đưa người dùng tới website giả mạo để đánh cắp thông tin cá nhân, số thẻ tín dụng, tên đăng nhập và mật khẩu, hoặc tải phần mềm độc hại xuống điện thoại.

“Quishing” về bản chất vẫn là “phishing”, nhưng thay vì lôi kéo nạn nhân nhấp vào đường link được hiển thị rõ ràng, kẻ gian thường giấu đường dẫn phía sau mã QR. Sau khi quét, người dùng có thể bị dẫn tới website giả mạo ngân hàng, cổng thanh toán, đơn vị giao hàng hoặc dịch vụ quen thuộc.

Trang web giả thường được thiết kế giống hệt giao diện chính thức, khiến nạn nhân khó nhận ra dấu hiệu bất thường và tin rằng mình đang thực hiện một thao tác bình thường. Họ có thể được yêu cầu đăng nhập, nhập thông tin thẻ, tài khoản ngân hàng, mật khẩu hoặc mã xác thực.

Trong một số trường hợp, mã QR dẫn tới ứng dụng hoặc tệp chứa mã độc, tạo điều kiện cho kẻ tấn công tiếp cận thiết bị và dữ liệu của nạn nhân.

Ở kịch bản tinh vi hơn, kẻ gian có thể in mã QR giả rồi dán đè lên mã thật tại máy thanh toán, đồng hồ đỗ xe, nhà hàng, áp phích hoặc bảng thông báo.

Mã QR cũng có lợi thế đặc biệt đối với kẻ lừa đảo vì nó che giấu địa chỉ đích. Với một đường link, người dùng có thể nhìn thấy tên miền và phát hiện những dấu hiệu đáng ngờ. Với một mã QR, điểm đến bị biến thành hình ảnh khó đọc bằng mắt thường.

Chưa kể, kẻ lừa đảo còn đánh vào tâm lý muốn giải quyết vấn đề nhanh chóng của người dùng. Những lời nhắc như “thanh toán ngay”, “xác minh tài khoản”, “nhận hoàn tiền”, “nhận giải thưởng” hay “tránh bị khóa tài khoản” dễ tạo cảm giác cấp bách, khiến nạn nhân hành động theo phản xạ thay vì kiểm tra kỹ nguồn gốc và điểm đến của mã QR.

Chính sự kết hợp giữa chi phí phát tán thấp, khả năng tiếp cận số đông, sự quen thuộc của mã QR và tâm lý hành động nhanh khiến “quishing” trở thành công cụ hấp dẫn đối với các đường dây lừa đảo.

Nâng cao cảnh giác

Vì sao có nhiều nạn nhân dù các cảnh báo về “phishing” xuất hiện từ lâu? Một phần câu trả lời nằm ở chính sự phổ biến của QR. Do đó, với người dùng, nguyên tắc quan trọng nhất là không quét những mã QR không rõ nguồn gốc hoặc xuất hiện ngoài dự kiến. Sau khi quét, cần kiểm tra kỹ địa chỉ website trước khi đăng nhập hoặc cung cấp thông tin tài chính.

Những yêu cầu đi kèm với sự khẩn cấp, chẳng hạn yêu cầu thanh toán ngay, xác minh tài khoản hoặc nhận phần thưởng, cần được xem là dấu hiệu cảnh báo.

Các doanh nghiệp và lực lượng chức năng cũng phải chủ động hơn. Những mã QR đặt tại nơi công cộng cần được kiểm tra thường xuyên để phát hiện dấu hiệu bị dán đè hoặc thay thế. Với các giao dịch tài chính, hệ thống nên hiển thị rõ tên người nhận, số tiền và thông tin giao dịch để người dùng có cơ hội kiểm tra trước khi xác nhận.

Ngân hàng, nền tảng công nghệ và các công ty an ninh mạng có thể bổ sung các lớp bảo vệ bằng cách phát hiện website độc hại, cảnh báo người dùng trước khi truy cập và giám sát các giao dịch bất thường.

Các nhà nghiên cứu cũng đang phát triển những mã QR có khả năng tự xác thực, nhằm khắc phục điểm yếu cốt lõi của công nghệ này. Bởi, QR được tạo ra để tối ưu sự tiện lợi, nhưng không được thiết kế ngay từ đầu với mục tiêu bảo mật.

THƯ LÊ