Quét mã QR tùy tiện có thể bị hacker đánh cắp thông tin và tài sản

Kể từ khi đại dịch COVID-19 bùng phát, giao dịch số đã sự thay đổi mạnh mẽ trên toàn cầu, công nghệ Quick Response (mã QR hay QR code) vì thế được sử dụng rộng rãi hơn. Tuy nhiên, chính sự phổ biến của giao dịch kỹ thuật số thông qua công nghệ mã QR cũng đặt ra những mối đe dọa mạng tiềm ẩn và khó lường.

Mã QR (hay QR Code) là công nghệ giúp truy cập thông tin mà không cần nhập trình duyệt hay qua công cụ tìm kiếm. Người dùng chỉ cần hướng camera điện thoại vào ma trận ô vuông được thiết lập sẵn để nhận thông tin mình cần. QR Code có tốc độ nhanh và giúp giao tiếp dễ dàng. Tuy nhiên, công nghệ tiềm ẩn nhiều nguy cơ về bảo mật. Người dùng không nên quét những mã chưa rõ nguồn gốc, để tránh bị lộ lọt thông tin hay trở thành nạn nhân của mã độc.

Có nhiều công dụng và hữu ích, tuy nhiên Make Use Of cho rằng bản chất của mã QR khiến công nghệ này dễ bị khai thác. Quét mã từ các nguồn không đáng tin cậy khiến người dùng đối mặt với mối đe dọa về bảo mật. Giống như các cuộc tấn công lừa đảo được biết đến, tin tặc sử dụng những hành vi và chiến thuật khác nhau để đánh lừa vào sự tin cậy của người dùng để quét mã QR độc hại. Các loại tấn công mã QR bao gồm:

Tạo mã QR

Những kẻ lừa đảo có thể dễ dàng tạo mã QR, thêm biểu tượng các cửa hàng ứng dụng và dán nó ở nơi đông người. Việc quét các mã này có thể kích hoạt tính năng tự động trên điện thoại. Ví dụ như chủ động tải xuống app từ trang web giả mạo. Điều này dễ dàng đưa phần mềm độc hại vào máy mà người dùng không biết.

Ngoài ra, các mã QR lừa đảo cũng có thể khiến người dùng mất thông tin cá nhân, tài sản. Mã này được hacker tạo ra, liên kết với website giả mạo của ngân hàng, trang thương mại điện tử. Chúng có giao diện gần như trang web thật, dụ dỗ nạn nhân điền email và mật khẩu để chiếm đoạt tài sản.

Năm 2022, Coinbase tạo ra một mã QR tặng thưởng 10 USD tiền số cho ai quét nó và quảng cáo giữa trận Super Bowl. Nhiều kẻ lừa đảo tạo ra một mã tương tự, hiển thị trên video để lừa tiền.

Dùng tính năng nhận diện vị trí cũng có thể bị xâm phạm

Ngoài ra, tính năng nhận diện vị trí cũng có thể bị xâm phạm, biến dữ liệu người dùng trở thành món hàng cho các công ty bên thứ 3. Một số mã QR được tạo ra để để thu thập thông tin GPS khi người dùng quét nó. Quyền riêng tư của khách hàng có thể bị xâm phạm khi vị trí của họ bị lộ.

Chức năng gọi điện, nhắn tin của điện thoại cũng có thể được kích hoạt thông qua hành động quét mã QR. Dữ liệu quan trọng này dễ dàng bị thu thập bởi các công ty bên thứ 3.

Gửi email lừa đảo chứa tệp đính kèm mã QR độc hại

Trong một cuộc tấn công Quishing, tin tặc sẽ gửi một email lừa đảo có chứa tệp đính kèm mã QR độc hại. Khi quét mã này, nó sẽ chuyển hướng truy cập của người dùng đến một trang lừa đảo mà tin tặc kiểm soát, để từ đó đánh cắp thông tin dữ liệu nhạy cảm.

QRLjacking

Hầu hết tổ chức sử dụng Quick Response Code Login (QRL) như một giải pháp thay thế cho quy trình xác thực dựa trên mật khẩu. QRL cho phép người dùng đăng nhập vào tài khoản của họ bằng cách quét mã QR, mã này sẽ được mã hóa bằng thông tin đăng nhập của người dùng.

QRLJacking giống như một cuộc tấn công kỹ nghệ xã hội, có khả năng chiếm quyền điều khiển phiên và ảnh hưởng đến tất cả tài khoản dựa trên tính năng đăng nhập bằng mã QR. Trong một cuộc tấn công QRLjacking, tin tặc sẽ đánh lừa người dùng quét một QRL được thiết kế đặc biệt thay vì một QRL hợp pháp. Khi quét QRL độc hại, thiết bị sẽ bị xâm nhập, cho phép tin tặc chiếm quyền kiểm soát hoàn toàn.

Ngoài ra, một số phương thức làm mồi nhử có thể kể đến như lôi kéo người dùng bằng mạng Wifi miễn phí để quét mã QR. Các tin tặc cũng thay thế mã QR ở những nơi công cộng bằng mã độc hại để chuyển hướng người dùng đến các trang web lừa đảo. Mã QR này có thể kết nối thiết bị người dùng với một mạng độc hại để tiết lộ vị trí và thực hiện hành vi gian lận thanh toán. Hầu hết mã QR độc hại đều có thể dễ dàng trốn tránh các phát hiện bảo mật truyền thống, khi chỉ quét nội dung email hay trang web hơn là các mã vạch đáng ngờ và bất thường.

Cách ngăn chặn 

Để tránh trở thành nạn nhân, người dùng nên tránh quét mã QR từ các trang kém uy tín hoặc nội dung không chính thức ở những nền tảng mạng xã hội. Đồng thời, các tính năng bảo vệ, chống virus nên được bật trên điện thoại thông minh. Các công cụ này có thể cảnh báo khi thiết bị truy cập vào website lừa đảo, chặn tải về app độc hại.

Ngoài ra, việc bật bảo mật hai lớp là điều cần thiết với mọi tài khoản. Cài đặt này thêm một lớp phòng ngừa bổ sung, chống lại việc truy cập trái phép. Bằng cách này, người dùng vẫn an toàn khi không may để lộ email hay mật khẩu quan trọng. Mặt khác, việc tắt chia sẻ vị trí trực tiếp cũng giúp hạn chế thiết bị có thể được theo dõi từ xa. Vô hiệu hóa tính năng này khiến tin tặc không thể lần theo người dùng khi họ quét phải mã QR chứa mã độc. Phiên bản phần mềm mới của hệ điều hành Android và iOS đều có tùy chọn cung cấp vị trí tương đối, thay vì vị trí chính xác từ thiết bị.

An Dương (T/h)