Bóc trần Phishing: Thủ đoạn lừa đảo chứng khoán tinh vi chào mời qua Facebook, Zalo, chứng sĩ lơ mơ là mất sạch tiền!

Nhiều hình thức lừa đảo công nghệ cao nhắm vào các chứng sĩ với thủ đoạn ngày càng tinh vi. Một trong những hình thức lừa đảo được các công ty chứng khoán cảnh báo nhiều nhất là Phishing.

Phishing, theo Công ty TNHH Chứng khoán Ngân hàng TMCP Ngoại thương Việt Nam (VCBS), hiểu nôm na là việc thực hiện mưu đồ đánh cắp thông tin bằng cách sử dụng các trang web và email giả mạo hoặc các tin nhắn khác, nhằm có được quyền truy cập vào tài khoản và thông tin nhạy cảm của khách hàng.

5 thủ đoạn các Phishers thường sử dụng

Theo VCBS, các thủ đoạn Phishers thường sử dụng để lừa đảo gồm:

- Tạo lập các Website, fanpage giả mạo, sử dụng thương hiệu của các Tổ chức tài chính (TCTC) để người sử dụng tin tưởng cung cấp các thông tin cá nhân (Tên, số tài khoản, mã người dùng, mật khẩu…).

- Mạo danh các TCTC gửi các tin nhắn, thư điện tử với các nội dung trúng thưởng, ưu đãi nhằm yêu cầu người sử dụng truy cập một liên kết từ đó được yêu cầu khai báo các thông tin cá nhân để các đối tượng thực hiện hành vi chiếm đoạt, trục lợi.

- Chiếm đoạt quyền quản trị các ứng dụng mạng xã hội (Facebook, Instagram, Lotus…) và ứng dụng trao đổi thông tin OTT (Zalo, Viber…) bằng cách gửi các đường link lừa đảo, sau đó mạo danh người sử dụng để yêu cầu bạn bè, người thân trong danh bạ chuyển tiền, ủng hộ từ thiện…

- Đặt vấn đề giao dịch chứng khoán thông qua các hội nhóm, fanpage, Facebook… yêu cầu cho biết số tài khoản để thanh toán chuyển khoản, yêu cầu người bán kiểm tra số tiền chuyển về bằng việc mở các đường link lừa đảo có giao diện giống với giao diện website của các TCTC để chiếm đoạt tiền trong tài khoản.

- Chiếm đoạt quyền quản trị máy tính và xâm nhập vào hệ thống thông tin của khách hàng bằng cách gửi các email có giao diện giống với giao diện của các TCTC thường gửi cho khách hàng, trong email có chứa mã độc từ đó thực hiện các hành vi gian lận. Các đối tượng thường lợi dụng các sự kiện lớn như sinh nhật các TCTC, khai trương các dịch vụ giao dịch trực tuyến… để dễ dàng đánh lừa khách hàng.

Tình trạng giả mạo công ty chứng khoán để lừa đảo khách hàng cũng được CTCP Chứng khoán VPS (VPS) ghi nhận. Hồi cuối năm 2021, VPS cũng cho biết các Phishers xây dựng các website/ứng dụng có sử dụng tên và hình ảnh của VPS hoặc tương tự VPS để làm cho khách hàng nhầm lẫn.

"Các đối tượng này còn giả danh là nhân viên môi giới của VPS để lừa khách hàng tạo tài khoản và thực hiện giao dịch trên hệ thống giả mạo nhằm mục đích chiếm đoạt tiền. Để kích thích khách hàng nạp tiền vào các website/ứng dụng giả mạo này, kẻ gian còn giới thiệu nhiều chương trình khuyến mãi hấp dẫn như ưu đãi 30% khi nạp tiền, nhận được tiền thưởng mỗi ngày khi đăng nhập…", VPS cho biết.

CTCK khuyến cáo: Không click link "na ná", không cấp nội dung tin nhắn cho cả người tự xưng công an hay cơ quan điều tra

Theo VCBS và VPS, các chứng sĩ cần kiểm tra đường link, trang mạng đảm bảo tin cậy trước khi truy cập. KHÔNG đăng nhập thông tin tài khoản, mật khẩu đăng nhập, mã OTP của tài khoản giao dịch chứng khoán trên các trang mạng không rõ nguồn gốc, hoặc các đường dẫn khác không phải là website/kênh truyền thông chính thức của công ty chứng khoán (CTCK).

Không cung cấp thông tin bảo mật như số tài khoản, mật khẩu đăng nhập tài khoản giao dịch chứng khoán, mã OTP và nội dung các tin nhắn thông báo từ CTCK cho bất kỳ ai, kể cả người "tự xưng" là công an, cơ quan điều tra, nhân viên CTCK, hoặc yêu cầu từ email, SMS, mạng xã hội.

Đặc biệt, không thực hiện giao dịch trên các thiết bị công cộng, mạng internet công cộng (vì tiềm ẩn rủi ro cao) hay lưu thông tin tự động đăng nhập tài khoản giao dịch tại bất kỳ đâu. Các chủ tài khoản chứng khoán cũng không nên cung cấp thông tin, đưa thông tin giao dịch lên mạng, đặc biệt là những giao dịch bán hàng online, vì sẽ tạo điều kiện cho kẻ lừa đảo tiếp cận.

Ngoài Phishing, một số hình thức lừa đảo, tấn công mạng thường dùng gồm có: - Baiting: Hình thức tấn công sử dụng mồi câu để dụ dỗ nạn nhân sập bẫy. Ví dụ, tin tặc lập một website cung cấp miễn phí một dịch vụ nào đó. Tin tặc có thể đưa mã độc vào các thiết bị đăng ký sử dụng dịch vụ đó và lây lan sang các thiết bị khác trong quá trình người dùng sử dụng. - Vishing: Hình thức lừa đảo bằng giọng nói, sử dụng điện thoại để thu thập thông tin cá nhân và thông tin tài chính từ mục tiêu. - Scareware: liên quan đến việc lừa các mục tiêu nghĩ rằng thiết bị của họ bị nhiễm phần mềm độc hại hoặc vô tình tải xuống nội dung bất hợp pháp. Kẻ tấn công sau đó cung cấp cho nạn nhân một giải pháp để khắc phục vấn đề không có thật. Trong thực tế, những nạn nhân này đơn giản là bị lừa tải xuống và cài đặt phần mềm độc hại của kẻ tấn công. - Rogue: là một loại phần mềm độc hại, lừa các mục tiêu thanh toán để loại bỏ những phần mềm độc hại giả mạo.