Cách phòng tránh lừa đảo bằng mã QR

Bạn có thể bị hack khi quét mã QR không?

Hiểu rõ toàn bộ bối cảnh mối đe dọa từ mã QR sẽ giúp bạn nhận ra các mối đe dọa trước khi trở thành nạn nhân. Dưới đây là các mẫu tấn công phổ biến nhất trong năm 2025.

Mẹo dán nhãn giả

Phương pháp vật lý phổ biến nhất liên quan đến việc dán nhãn dán mã QR giả mạo trực tiếp lên các mã hợp pháp – trên đồng hồ đỗ xe, bàn nhà hàng, biển báo giao thông hoặc kệ trưng bày bán lẻ. Bạn nghĩ rằng mình đang mở liên kết bản đồ hoặc thanh toán tại máy thanh toán. Trên thực tế, thông tin thẻ của bạn đang được chuyển thẳng đến cổng thông tin giả mạo của kẻ lừa đảo. Một cuộc kiểm tra vật lý nhanh chóng – kiểm tra xem mã có nằm phẳng hay trông giống như đã được dán chồng lên – có thể giúp bạn tránh hoàn toàn tình huống này.

Quishing qua email và các công cụ văn phòng

Vì người dùng thường quét mã QR bằng điện thoại, các URL nhúng trong mã QR có thể vượt qua các công cụ bảo mật trên máy tính để bàn như tường lửa và bộ chặn URL đầu cuối. Điều này khiến việc hack qua mã QR qua email trở nên đặc biệt hiệu quả. Thông điệp trông giống như đến từ Microsoft, ngân hàng của bạn hoặc bộ phận CNTT của công ty – kèm theo logo và định dạng chuyên nghiệp.

Đáng chú ý là 27% các cuộc tấn công quishing này sử dụng các cảnh báo xác thực đa yếu tố giả mạo: "Phiên của bạn đã hết hạn – quét để xác minh lại." Sự khẩn cấp đó được thiết kế để ngăn bạn suy nghĩ lại.

Mã QR ẩn trong tài liệu và thư từ

Đây là một trong những nguy cơ thường bị bỏ qua khi quét mã QR: chỉ riêng vào giữa năm 2024, đã có nửa triệu email lừa đảo chứa mã QR nhúng trong tệp đính kèm PDF bị phát hiện. Tài liệu trông có vẻ hợp pháp – hóa đơn, bảng kê lợi ích, thông báo giao hàng – và mã QR bên trong dường như là một lối tắt tiện lợi. Cục Thương mại Liên bang (FTC) cũng đã cảnh báo về sự gia tăng các vụ lừa đảo qua thư vật lý, trong đó các liên kết mã độc QR được in trên phiếu gói hàng giả mạo hoặc hóa đơn dịch vụ công.

Các chiến dịch quishing được hỗ trợ bởi AI

Sự phát triển mới nhất và đáng lo ngại nhất của các mối đe dọa an ninh mạng quishing liên quan đến các trang lừa đảo do AI tạo ra, gần như không thể phân biệt với trang thật. Kẻ tấn công hiện có thể tạo ra một trang đăng nhập giả mạo về đặt chỗ hoặc PayPal thuyết phục chỉ trong vài phút, được tùy chỉnh cho mục tiêu cụ thể, với thương hiệu chân thực và nội dung cá nhân hóa. Điều này đã khiến việc phòng ngừa lừa đảo qua mã QR trở nên khó khăn hơn đáng kể đối với cả cá nhân và tổ chức.

Tuy nhiên, mối đe dọa không chỉ dừng lại ở các trang đăng nhập giả mạo. AI hiện đang được sử dụng ở mọi giai đoạn của quy trình tấn công – từ việc lựa chọn mục tiêu đến việc gửi tin nhắn và trốn tránh.

• Dụ dỗ siêu cá nhân hóa. Lừa đảo truyền thống dựa vào mồi nhử chung chung – "tài khoản của bạn đã bị tạm ngưng". Các chiến dịch được hỗ trợ bởi AI lấy dữ liệu từ các nguồn công khai: nơi làm việc của bạn, thành phố của bạn, các giao dịch mua hàng gần đây của bạn. Kết quả là một vụ lừa đảo mã QR khiến bạn cảm thấy như nó được viết riêng cho bạn, vì về mặt nào đó, nó thực sự là vậy. Một hóa đơn giả từ tên nhà cung cấp mà bạn nhận ra. Một phiếu "giao hàng không thành công" trùng khớp với địa chỉ thực của bạn. Mức độ cụ thể đó chính là điều khiến các cuộc tấn công quishing hiện đại trở nên khó nhận ra ngay lập tức.
• Tăng cường bằng giọng nói và deepfake. Trong các cuộc tấn công có giá trị cao – thường nhắm vào nhân viên trong lĩnh vực tài chính hoặc nhân sự – các cuộc gọi giọng nói do AI tạo ra hoặc tin nhắn video deepfake giờ đây xuất hiện trước mã QR độc hại. Cuộc gọi thiết lập niềm tin ("Xin chào, đây là bộ phận hỗ trợ CNTT – bạn sẽ nhận được mã xác minh trong ít phút nữa"), và mã QR được gửi đến qua email hoặc tin nhắn SMS ngay sau đó. Đến lúc mục tiêu quét mã, họ đã được chuẩn bị sẵn sàng để tuân thủ.
• Hạ tầng tự động hóa quy mô lớn. Những gì từng yêu cầu chuyên môn kỹ thuật để thiết lập – tên miền giả mạo, chứng chỉ SSL, trang web nhái – nay có thể được tạo ra và xoay vòng tự động. Kẻ tấn công triển khai hàng trăm trang lừa đảo tồn tại ngắn hạn cùng lúc, xoay vòng tên miền đủ nhanh để vượt qua các danh sách chặn. Đây là lý do tại sao các công cụ bảo mật dựa trên URL truyền thống gặp khó khăn: khi một tên miền bị đánh dấu, nó đã bị thay thế.
• Khả năng né tránh được tích hợp sẵn trong thiết kế. Các mô hình AI được huấn luyện trên các mẫu phát hiện bảo mật nay có thể tạo ra mã QR và trang đích được thiết kế đặc biệt để tránh kích hoạt các bộ lọc. Chúng mô phỏng cấu trúc hình ảnh của các trang web hợp pháp với độ chính xác cao – phông chữ đúng, các trường biểu mẫu trông chân thực, và các thông báo lỗi thực tế khi nhập thông tin đăng nhập sai (một thủ thuật kinh điển để thu thập nhiều lần thử mật khẩu).

Hậu quả thực tế rất rõ ràng: các dấu hiệu trực quan và bối cảnh từng giúp mọi người nhận diện lừa đảo đang trở nên không đáng tin cậy. Sự hoài nghi về nguồn gốc – chứ không chỉ vẻ bề ngoài – giờ đây là bộ lọc quan trọng hơn.