Quishing là gì và vì sao nguy hiểm?
Trong thời đại số, mã QR được ứng dụng rộng rãi trong thanh toán, truy cập thông tin và xác minh dịch vụ. Tuy nhiên, tin tặc đang ngày càng lợi dụng sự phổ biến của mã QR để thực hiện hình thức lừa đảo mới có tên Quishing – viết tắt từ QR phishing.
Theo báo cáo từ Egress (Anh), tỷ lệ Quishing đã tăng từ 0,8% (2022) lên 12,4% (2024). Con số này cho thấy mức độ phát triển nhanh chóng và sự chuyển hướng của tội phạm mạng sang các phương thức tấn công đánh lừa trực tiếp người dùng bằng QR code.
Quishing hoạt động bằng cách chèn mã độc vào mã QR. Khi người dùng quét, mã độc có thể dẫn đến trang web giả mạo có giao diện giống ngân hàng, cổng thanh toán..., hoặc tự động tải phần mềm gián điệp, chiếm quyền truy cập thiết bị. Nguy cơ lớn nhất là người dùng khó có thể xác minh trước liên kết mà mã QR trỏ tới – một yếu tố khiến hành vi tấn công này trở nên khó nhận diện hơn so với phishing truyền thống.
Các thủ đoạn Quishing phổ biến hiện nay
Hình thức Quishing ngày càng tinh vi, đặc biệt khi được nguỵ trang khéo léo. Một số phương thức đang được ghi nhận bao gồm: dán đè mã QR độc hại lên các bảng hiệu, thực đơn nhà hàng, trạm xăng hoặc cột điện công cộng – những nơi người dùng thường quét mã nhanh mà không kiểm tra kỹ. Ngoài ra, còn xuất hiện các thẻ tặng tiền, chương trình ưu đãi yêu cầu quét mã để nhận quà, nhưng thực chất là lừa người dùng truy cập trang giả mạo.
Một xu hướng đáng chú ý là việc tin tặc gửi mã QR thông qua email hoặc tin nhắn giả danh ngân hàng, ví điện tử, yêu cầu người dùng xác minh thông tin khẩn cấp. Nhiều trường hợp tấn công còn kết hợp mã QR với hình ảnh và logo thương hiệu, khiến nạn nhân khó nhận biết là giả mạo.
Làm sao để nhận diện và phòng tránh Quishing?
Để bảo vệ bản thân trước các nguy cơ từ mã QR giả mạo, người dùng cần chú ý không quét mã QR từ nguồn không rõ ràng – đặc biệt tại các khu vực công cộng hoặc từ email, tin nhắn lạ. Khi gặp mã QR ở địa điểm vật lý, hãy quan sát kỹ xem có dấu hiệu bị dán đè hoặc in lại không, vì đó có thể là chiêu thức thay mã hợp lệ bằng mã độc hại.
Việc sử dụng ứng dụng quét mã QR có tính năng bảo mật cũng rất cần thiết. Các ứng dụng này có thể cảnh báo khi liên kết trỏ đến trang độc hại, giúp người dùng tránh truy cập. Sau khi quét, hãy kiểm tra kỹ URL hiển thị trên trình duyệt. Nếu thấy địa chỉ bất thường, không liên quan đến thương hiệu quen thuộc, hãy đóng trình duyệt ngay lập tức.
Ngoài ra, người dùng nên cài đặt và thường xuyên cập nhật phần mềm bảo mật trên thiết bị di động. Đây là biện pháp giúp phát hiện sớm và ngăn chặn phần mềm gián điệp được tải qua mã QR. Trong mọi trường hợp, tuyệt đối không nhập mật khẩu, OTP hay thông tin ngân hàng nếu bạn không chắc chắn về nguồn gốc trang web.
Tăng cường bảo vệ bằng xác thực mạnh
Trong nhiều chiến dịch Quishing, mục tiêu của kẻ tấn công là vượt qua các lớp xác thực yếu như mật khẩu hoặc OTP mềm. Khi thông tin này bị đánh cắp, hacker có thể truy cập trái phép vào tài khoản ngân hàng, email hoặc hệ thống doanh nghiệp. Vì vậy, sử dụng xác thực mạnh, chẳng hạn xác thực phần cứng, là cách hiệu quả để giảm thiểu rủi ro.
Thiết bị xác thực phần cứng như khóa bảo mật vật lý giúp loại bỏ nguy cơ bị đánh cắp OTP qua SMS hoặc email. Dù không phải là giải pháp duy nhất, đây là phương án bổ sung đáng tin cậy cho các tổ chức hoặc người dùng có nhu cầu bảo vệ tài khoản quan trọng.
Kết luận
Sự phát triển của Quishing cho thấy tội phạm mạng đang nhắm vào thói quen công nghệ hàng ngày của người dùng. Trong bối cảnh mã QR trở nên phổ biến, việc nâng cao nhận thức và cẩn trọng khi quét mã là yếu tố then chốt để bảo vệ dữ liệu cá nhân và tài chính.
Việc kết hợp biện pháp phòng ngừa, xác thực mạnh và cập nhật phần mềm bảo mật sẽ giúp người dùng tự tin hơn trước các chiêu thức tấn công mới.
Liên hệ tư vấn giải pháp xác thực phần cứng tại Việt Nam
HPT là đối tác chính hãng của Yubico tại Việt Nam, cung cấp các dòng thiết bị YubiKey, YubiHSM và tư vấn triển khai các phương án xác thực mạnh phù hợp cho doanh nghiệp và tổ chức. HPT đồng hành trong việc giúp doanh nghiệp:
Bảo vệ tài khoản đăng nhập quan trọng
Ngăn chặn tấn công lừa đảo và chiếm quyền kiểm soát tài khoản
Đáp ứng các tiêu chuẩn bảo mật như ISO 27001, GDPR, NIST SP 800-63
📩 Truy cập HPT Tech Store để tìm hiểu thêm.
Nguồn: Báo cáo từ Egress (UK), cập nhật ngày 17/04/2025
