Ứng dụng ngân hàng thật chỉ nên tải từ kho ứng dụng chính thức của điện thoại, do đúng nhà phát triển là ngân hàng đăng; mọi tệp cài đặt gửi qua tin nhắn, mạng xã hội hay đường link đều phải coi là giả. Ứng dụng giả không cần phá mã bảo mật của ngân hàng. Nó chỉ cần bạn tự tay gõ mật khẩu vào một màn hình nhái, hoặc tự tay bật cho nó quyền đọc và bấm thay trên điện thoại.
Bài này giải thích ứng dụng giả lấy tiền bằng cách nào, những lời dụ cài đặt hay gặp, quyền nào nguy hiểm, và cách tải lại đúng ứng dụng cho bố mẹ. Các chiêu chung như trang web giả, cuộc gọi giả giọng được bàn ở trang AI Bảo Mật; ở đây chỉ nói riêng về ứng dụng mạo danh ngân hàng.
Ứng dụng giả lấy tiền bằng cách nào
Cách đơn giản nhất là màn hình đăng nhập nhái. Ứng dụng giả có biểu tượng, màu sắc, phông chữ giống hệt ứng dụng thật. Bạn mở ra, gõ tên đăng nhập và mật khẩu, màn hình báo "hệ thống đang bảo trì" hay "vui lòng nhập mã xác thực". Mọi thứ bạn gõ đã được gửi về máy của kẻ gian, và chúng dùng ngay để đăng nhập ứng dụng thật trên điện thoại khác.
Cách nguy hiểm hơn là xin quyền trợ năng. Đây là nhóm quyền vốn được thiết kế cho người khiếm thị, cho phép một ứng dụng đọc nội dung trên màn hình và bấm thay người dùng. Khi ứng dụng giả có quyền này, nó đọc được mã xác thực, đọc được số dư, thậm chí tự mở ứng dụng ngân hàng thật và thao tác chuyển tiền trong lúc màn hình bị che bởi một lớp "đang cập nhật". Nhiều vụ được mô tả là "điện thoại bị điều khiển từ xa" bắt nguồn từ đây.
Một số ứng dụng giả còn xin quyền đọc tin nhắn để lấy mã xác thực gửi qua SMS, quyền hiển thị trên ứng dụng khác để vẽ màn hình giả đè lên ứng dụng thật, hoặc quyền quản trị thiết bị để khó gỡ bỏ. Từng quyền riêng lẻ nghe có vẻ vô hại, nhưng gộp lại thì ứng dụng có gần như toàn quyền với điện thoại.
Ngân hàng hiện yêu cầu xác thực khuôn mặt với nhiều giao dịch, nên kẻ gian thường kết hợp ứng dụng giả với một cuộc gọi hướng dẫn bạn "quay mặt để xác thực". Phần sinh trắc học và cách nó hoạt động có bài riêng ở trang AI Định Danh.
Những lời dụ cài ứng dụng hay gặp
Ứng dụng giả hiếm khi xuất hiện một mình. Nó đi kèm một lý do để bạn phải cài ngay, thường do một người tự xưng nhân viên ngân hàng, cán bộ cơ quan nhà nước hay chăm sóc khách hàng gửi tới.
- "Ngân hàng nâng cấp hệ thống, khách hàng cần cài phiên bản mới để không bị gián đoạn giao dịch." Kèm một tệp cài đặt hoặc đường link.
- "Tài khoản của bạn chưa cập nhật sinh trắc học, cài ứng dụng hỗ trợ để làm tại nhà, khỏi ra quầy."
- "Bạn được hoàn phí, nhận quà tri ân, nâng hạng thẻ miễn phí, cần cài ứng dụng để nhận."
- "Ứng dụng dịch vụ công, ứng dụng thuế, ứng dụng bảo hiểm" giả, sau khi cài thì xin quyền trợ năng rồi nhắm vào ứng dụng ngân hàng có sẵn trên máy.
- Một đường link dẫn tới trang web trông giống kho ứng dụng, có cả nút cài đặt, lượt đánh giá và bình luận khen, nhưng tải về một tệp cài đặt từ ngoài kho chính thức.
- Người hướng dẫn qua điện thoại, nói rất kiên nhẫn, bảo bạn bấm "cho phép" lần lượt từng màn hình hiện ra, bỏ qua mọi cảnh báo "ứng dụng không rõ nguồn gốc".
Bất kể lý do là gì, ngân hàng không gửi tệp cài đặt qua tin nhắn, mạng xã hội hay email. Ứng dụng của ngân hàng tự cập nhật qua kho ứng dụng của điện thoại, không cần ai gọi điện hướng dẫn.
Phân biệt ứng dụng thật và ứng dụng giả
Bảng dưới gom những điểm bạn kiểm được trong vài phút. Một ứng dụng chỉ cần sai một dòng là đủ lý do để không cài.
| Điểm kiểm tra | Ứng dụng thật | Ứng dụng giả |
|---|---|---|
| Nguồn tải | Kho ứng dụng chính thức có sẵn trên điện thoại | Tệp gửi qua tin nhắn, đường link, trang web nhái kho ứng dụng |
| Nhà phát triển | Tên pháp nhân của ngân hàng, trùng với thông tin trên trang chính thức | Tên cá nhân, tên lạ, hoặc gần giống nhưng sai vài chữ |
| Cách cài | Bấm cài trong kho, không có cảnh báo | Phải bật "cho phép cài từ nguồn không xác định", bỏ qua cảnh báo bảo vệ |
| Quyền xin khi mở | Máy ảnh, thông báo, vị trí khi cần cho tính năng cụ thể | Trợ năng, hiển thị trên ứng dụng khác, đọc tin nhắn, quản trị thiết bị |
| Ai bảo bạn cài | Bạn tự tìm khi cần | Một người gọi điện hoặc nhắn tin, thúc giục cài ngay |
| Sau khi đăng nhập | Vào thẳng tài khoản như mọi lần | Báo lỗi, bảo trì, đòi nhập lại mã xác thực, màn hình đứng |
Trên iPhone, việc cài tệp từ ngoài kho khó hơn nhiều, nên kẻ gian thường dẫn người dùng tới trang web nhái thay cho ứng dụng. Nguyên tắc vẫn vậy: không đăng nhập ngân hàng qua đường link ai đó gửi tới.
Những quyền nguy hiểm cần từ chối
Quyền trợ năng. Trên điện thoại Android, mục này nằm trong phần cài đặt trợ năng. Ngoài các ứng dụng hỗ trợ người khuyết tật mà bạn tự cài có chủ đích, gần như không ứng dụng tài chính, dịch vụ công hay ứng dụng tiện ích nào cần quyền này. Một ứng dụng vừa cài xong đã đòi bật trợ năng là dấu hiệu rõ nhất.
Hiển thị trên các ứng dụng khác. Quyền này cho phép vẽ một lớp đè lên màn hình. Ứng dụng giả dùng nó để che thao tác chuyển tiền hoặc vẽ khung đăng nhập nhái đúng lúc bạn mở ứng dụng thật.
Đọc và nhận tin nhắn. Mã xác thực gửi qua SMS sẽ bị đọc ngay khi tới. Ứng dụng ngân hàng thật không cần đọc toàn bộ hộp tin nhắn của bạn.
Ứng dụng quản trị thiết bị. Quyền này vốn dành cho công cụ quản lý máy của doanh nghiệp. Ứng dụng giả dùng nó để chặn việc gỡ cài đặt hoặc khoá màn hình.
Cài ứng dụng không rõ nguồn. Không phải quyền của ứng dụng ngân hàng, mà là quyền bạn cấp cho trình duyệt hay ứng dụng nhắn tin. Sau khi lỡ bật, hãy tắt lại ngay để không ai cài thêm gì được.
Tải đúng ứng dụng ngân hàng, kể cả cho bố mẹ
Nếu bạn đang cài ứng dụng ngân hàng cho bố mẹ hoặc cho máy mới, làm theo trình tự này một lần, rồi dặn người dùng không bao giờ cài lại theo cách khác.
- Lấy tên chính xác của ứng dụng từ một nguồn bạn tin: tờ hướng dẫn nhận tại quầy, trang chính thức của ngân hàng mà bạn tự gõ địa chỉ, hoặc hỏi nhân viên khi ra giao dịch.
- Mở kho ứng dụng có sẵn trên điện thoại, gõ tên tìm kiếm. Không bấm vào kết quả quảng cáo đứng đầu nếu tên nhà phát triển không phải ngân hàng.
- Mở trang chi tiết, kiểm tên nhà phát triển, ngày cập nhật, mô tả. Ứng dụng của ngân hàng lớn thường có số lượt tải và đánh giá tương xứng với quy mô ngân hàng.
- Cài đặt, mở ứng dụng, đăng nhập. Nếu ứng dụng xin quyền trợ năng hay quyền đọc tin nhắn, dừng lại và hỏi ngân hàng.
- Trong cài đặt điện thoại, tắt quyền cài ứng dụng không rõ nguồn cho trình duyệt và các ứng dụng nhắn tin.
- Bật tính năng quét bảo vệ của kho ứng dụng nếu điện thoại có, để máy tự cảnh báo khi có ứng dụng đáng ngờ.
- Dặn người dùng một câu dễ nhớ: "Ứng dụng ngân hàng chỉ cập nhật trong kho, ai gửi tệp hay link thì xoá."
Với bố mẹ lớn tuổi, nên xoá bớt các ứng dụng không dùng, để màn hình chỉ còn vài biểu tượng quen thuộc. Thêm một biểu tượng lạ vào sẽ dễ nhận ra hơn.
Lỡ cài ứng dụng lạ rồi thì làm gì trước
Ưu tiên số một là chặn đường tiền. Bật chế độ máy bay hoặc tắt hẳn Wi-Fi và dữ liệu di động trên điện thoại đó để kẻ gian không điều khiển tiếp. Dùng một điện thoại khác gọi tổng đài ngân hàng, yêu cầu tạm khoá dịch vụ ngân hàng số và thẻ. Nếu bạn dùng nhiều ngân hàng trên cùng máy, gọi lần lượt từng nơi.
Sau đó, từ một thiết bị sạch, đổi mật khẩu ứng dụng ngân hàng, email chính và các tài khoản quan trọng. Không đăng nhập lại ngân hàng trên chiếc điện thoại nghi nhiễm cho tới khi nó được xử lý: gỡ ứng dụng lạ, thu hồi quyền trợ năng, hoặc đưa máy về cài đặt gốc nếu không chắc đã gỡ sạch. Cách làm sạch điện thoại từng bước có bài riêng ở trang AI Bảo Mật.
Ra quầy ngân hàng nếu cần đăng ký lại thiết bị hay xác thực lại. Nếu đã mất tiền, yêu cầu tra soát và trình báo công an, mang theo điện thoại, tin nhắn, lịch sử cuộc gọi. Đừng xoá ứng dụng lạ trước khi chụp lại tên, biểu tượng và tin nhắn dụ cài, vì đó là bằng chứng.
Nhờ AI đọc màn hình xin quyền và tin nhắn mời cài
Khi một màn hình xin quyền hiện ra với chữ tiếng Anh hay thuật ngữ khó, bạn có thể chép phần chữ đó (không chụp kèm thanh thông báo có tên tài khoản, số dư) rồi hỏi chatbot: "Một ứng dụng vừa cài đang xin quyền dưới đây. Giải thích bằng tiếng Việt dễ hiểu quyền này cho phép ứng dụng làm gì, một ứng dụng ngân hàng có cần quyền này không, và nếu mình bấm cho phép thì rủi ro là gì."
Với tin nhắn mời cài, xoá số điện thoại người gửi và phần đường link trước khi dán, chỉ giữ lời lẽ. Hỏi: "Tin nhắn này có đặc điểm của chiêu dụ cài ứng dụng ngân hàng giả không? Liệt kê các dấu hiệu." Chatbot thường nhận ra giọng thúc giục và lời hứa hẹn, nhưng không thể kiểm tra đường link có độc hay không, và không thay được việc gọi hỏi thẳng ngân hàng.
Một lưu ý quan trọng: đừng bao giờ dán mật khẩu, mã xác thực, ảnh căn cước hay số thẻ vào chatbot để "nhờ kiểm tra hộ". Không công cụ AI hợp lệ nào cần những thứ đó để trả lời câu hỏi về an toàn.
Câu hỏi thường gặp
Nhân viên ngân hàng gọi bảo cài ứng dụng mới qua đường link có thật không?
Ngân hàng không gọi điện yêu cầu khách cài ứng dụng qua đường link hay tệp gửi riêng. Ứng dụng thật được cập nhật trong kho ứng dụng của điện thoại. Gặp cuộc gọi như vậy, bạn cúp máy và tự gọi lại tổng đài in sau thẻ để hỏi.
Điện thoại iPhone có bị cài ứng dụng ngân hàng giả không?
Khó hơn nhiều so với Android vì iPhone hạn chế cài từ ngoài kho. Tuy vậy, kẻ gian vẫn dẫn người dùng iPhone tới trang web nhái ngân hàng hoặc dụ cài hồ sơ cấu hình lạ. Nguyên tắc vẫn là chỉ dùng ứng dụng tải từ kho và không đăng nhập qua đường link.
Làm sao kiểm tra điện thoại có ứng dụng nào đang giữ quyền trợ năng?
Vào cài đặt, tìm mục trợ năng, xem danh sách ứng dụng đã cài và dịch vụ đang bật. Ứng dụng nào lạ hoặc không phải công cụ hỗ trợ bạn tự cài thì tắt quyền rồi gỡ. Nếu không tắt được, đó là dấu hiệu máy cần được làm sạch.
Ứng dụng giả có lấy được tiền khi mình chưa đăng nhập vào nó không?
Có thể, nếu bạn đã cấp quyền trợ năng hay quyền đọc tin nhắn. Khi đó ứng dụng giả có thể đọc màn hình lúc bạn mở ứng dụng thật hoặc lấy mã xác thực. Vì vậy chỉ cần lỡ cài và cấp quyền là đã phải xử lý ngay.
Gỡ ứng dụng lạ rồi thì có cần báo ngân hàng nữa không?
Có. Bạn không biết ứng dụng đó đã lấy được gì trước khi bị gỡ. Báo ngân hàng để được kiểm tra giao dịch, khoá tạm hoặc đăng ký lại thiết bị, đồng thời đổi mật khẩu từ một máy sạch. Báo sớm giúp ngân hàng có thêm cơ hội chặn giao dịch đáng ngờ.
Có nên cài thêm ứng dụng diệt virus để chống ứng dụng ngân hàng giả không?
Công cụ quét bảo vệ có sẵn của kho ứng dụng hoặc một phần mềm bảo mật uy tín giúp phát hiện thêm, nhưng không thay được thói quen tải đúng nguồn và từ chối quyền nguy hiểm. Phần lớn các vụ mất tiền bắt đầu từ việc người dùng tự bấm cho phép theo hướng dẫn qua điện thoại.