Cách bảo vệ Doanh nghiệp của bạn khỏi các vụ Lừa đảo Mã QR

Mã QR có đang đặt doanh nghiệp của bạn vào rủi ro? Mã QR giả mạo là một công cụ ngày càng phổ biến mà tội phạm mạng sử dụng để nhắm mục tiêu vào các công ty thuộc mọi quy mô – và hầu hết nhân viên không biết cách phát hiện chúng. Hướng dẫn này giải thích cách thức hoạt động của các vụ lừa đảo mã QR, những dấu hiệu cảnh báo cần tìm và các bước cụ thể mà doanh nghiệp của bạn có thể thực hiện để được bảo vệ.

Tại sao lừa đảo mã QR là một mối đe dọa kinh doanh ngày càng tăng

Mã QR đã trở thành một phần thường xuyên trong hoạt động kinh doanh – thanh toán, thực đơn, tài liệu tiếp thị, đăng ký sự kiện và nhiều hơn nữa. Sự quen thuộc đó chính là điều khiến chúng trở nên hấp dẫn đối với tội phạm.

Loại hình tấn công này được gọi là quishing (lừa đảo qua mã QR). Kẻ lừa đảo tạo hoặc can thiệp vào mã QR để chuyển hướng mọi người đến các trang web giả mạo được thiết kế để đánh cắp thông tin đăng nhập, chi tiết thanh toán hoặc dữ liệu nhạy cảm khác – hoặc để âm thầm cài đặt phần mềm độc hại vào thiết bị của họ.

Quy mô là đáng kể. Từ tháng 5 đến tháng 7 năm 2023, một chiến dịch lừa đảo qua mã QR nhắm mục tiêu vào thông tin đăng nhập Microsoft đã tăng hơn 2.400%. Phân tích xu hướng từ quý 4 năm 2023 đến quý 1 năm 2024 cho thấy sự gia tăng 433% trong các tham chiếu đến lừa đảo qua mã QR. Các giám đốc điều hành đặc biệt có nguy cơ cao, nhận số lượng tấn công mã QR nhiều hơn 42 lần so với các nhân viên khác do họ có quyền truy cập rộng hơn vào các tài nguyên của công ty.

Không ngành nào miễn nhiễm. Năng lượng, sản xuất, bảo hiểm, công nghệ và dịch vụ tài chính đều đã trở thành mục tiêu trong các chiến dịch được ghi nhận. Một nhân viên duy nhất quét nhầm mã có thể mở ra cánh cửa cho việc đánh cắp thông tin đăng nhập, gian lận tài chính hoặc vi phạm mạng lưới hoàn toàn.

Cách thức lừa đảo mã QR nhắm mục tiêu vào doanh nghiệp

Hiểu rõ các phương pháp mà tội phạm sử dụng là bước đầu tiên để xây dựng một hệ thống phòng thủ hiệu quả. Các cuộc tấn công quishing thường tuân theo một trong số các mô hình sau:

Email lừa đảo có mã QR nhúng. Kẻ tấn công gửi email chứa mã QR hướng người nhận đến các trang đăng nhập giả mạo rất thuyết phục – thường bắt chước Microsoft 365, cổng ngân hàng hoặc hệ thống nội bộ. Vì liên kết độc hại được ẩn bên trong một hình ảnh thay vì được gõ dưới dạng văn bản, nhiều bộ lọc bảo mật email không thể phát hiện ra nó.

Thay thế mã vật lý. Tội phạm in các nhãn dán mã QR giả mạo và dán chúng lên các mã hợp pháp trên biển báo, thiết bị thanh toán, thực đơn, đồng hồ đỗ xe hoặc bao bì sản phẩm. Nạn nhân quét mã trông có vẻ chính thức và bị chuyển hướng đến một trang web giả mạo. Tại Austin, Texas, cảnh sát đã phát hiện 29 mã QR giả mạo được đặt trên các đồng hồ đỗ xe của thành phố. Tại York, Vương quốc Anh, các mã QR giả mạo trên biển báo đỗ xe đã chuyển hướng người lái xe đến các trang thanh toán giả mạo, với một số nạn nhân mất tới 400 bảng Anh.

Các gói hàng và thư không mong muốn. Dịch vụ Thanh tra Bưu chính Hoa Kỳ cảnh báo rằng những kẻ lừa đảo gửi các gói hàng không mong muốn chứa những món quà nhỏ kèm theo mã QR, yêu cầu người nhận quét mã để “đăng ký” món hàng. Việc quét mã sẽ dẫn đến một trang web giả mạo yêu cầu thông tin cá nhân hoặc tài chính.

Mạo danh các tổ chức đáng tin cậy. Kẻ tấn công ngụy trang thành các cơ quan chính phủ, ngân hàng, dịch vụ giao hàng hoặc các công ty nổi tiếng khác để tạo cảm giác khẩn cấp và khiến mục tiêu mất cảnh giác trước khi mã QR được quét.

Dấu hiệu cảnh báo về mã QR lừa đảo

Không có sự khác biệt trực quan đáng tin cậy nào trong chính mẫu QR có thể nhất quán phân biệt mã độc hại với mã hợp pháp. Thay vào đó, nhóm của bạn cần đánh giá ngữ cảnh và hành vi xung quanh mã. Huấn luyện nhân viên coi những điều sau đây là dấu hiệu đáng ngờ:

• Dấu hiệu bị can thiệp vật lý: Mã xuất hiện dưới dạng nhãn dán, được dán băng keo, trông bị trầy xước hoặc vỡ hạt, bị lệch hoặc rõ ràng được đặt chồng lên một mã in khác.
• Không có ngữ cảnh hoặc thương hiệu rõ ràng: Mã xuất hiện trên một bề mặt ngẫu nhiên, không có giải thích về mục đích của nó hoặc thiếu thương hiệu nhất quán từ tổ chức mà nó tuyên bố đại diện.
• Ngôn ngữ khẩn cấp hoặc gây áp lực cao: Văn bản xung quanh yêu cầu hành động ngay lập tức, thanh toán hoặc đăng nhập mà không có lý do hợp pháp rõ ràng.
• Không nhất quán về thương hiệu: Lỗi chính tả, logo không khớp, màu sắc bất thường hoặc thiết kế không phù hợp với giao diện thông thường của tổ chức.
• Một URL xem trước đáng ngờ: Sau khi quét, URL hiển thị không khớp với tên miền dự kiến, bị rút gọn, bị sai chính tả hoặc thiếu HTTPS (không có biểu tượng ổ khóa trong trình duyệt).
• Yêu cầu thông tin nhạy cảm không mong muốn: Trang yêu cầu mật khẩu, chi tiết thanh toán hoặc dữ liệu cá nhân mà không có lý do rõ ràng, được mong đợi.
• Giao hàng không được yêu cầu: Mã QR đến trong email, tin nhắn văn bản hoặc gói hàng mà bạn không mong đợi – đặc biệt là với một tin nhắn thúc giục bạn hành động nhanh chóng.

Để tìm hiểu sâu hơn về việc xác định các mã bị xâm phạm, hãy tham khảo hướng dẫn về các phương pháp hay nhất để bảo mật mã QR trong phòng thủ mạng bao gồm chi tiết về phát hiện và ứng phó sự cố.

Cách bảo vệ doanh nghiệp của bạn: Danh sách kiểm tra thực tế

Bảo vệ tổ chức của bạn khỏi các vụ lừa đảo mã QR đòi hỏi các lớp phòng thủ – không có biện pháp đơn lẻ nào là đủ. FBI khuyến nghị một chiến lược đa lớp kết hợp giáo dục nhân viên, kiểm soát kỹ thuật, xác thực mạnh mẽ và giám sát liên tục.

Đào tạo nhân viên nhận biết lừa đảo qua mã QR (Quishing)

Lỗi của con người vẫn là lỗ hổng bị khai thác nhiều nhất trong các cuộc tấn công mã QR. Đào tạo thực tế, thường xuyên nên bao gồm:

• Không bao giờ quét mã QR từ email, tin nhắn văn bản, gói hàng hoặc tờ rơi không mong đợi – ngay cả khi chúng có vẻ đến từ một nguồn đáng tin cậy
• Luôn xem trước URL trước khi mở sau khi quét và kiểm tra lỗi chính tả, tên miền không khớp hoặc thiếu HTTPS
• Kiểm tra vật lý các mã QR tại nơi làm việc để tìm dấu hiệu giả mạo, đặc biệt trên các thiết bị thanh toán, biển báo hoặc tài liệu in
• Xác minh nguồn gốc của mã QR thông qua một kênh riêng biệt, đáng tin cậy trước khi nhập bất kỳ thông tin đăng nhập hoặc thanh toán nào
• Báo cáo ngay lập tức bất kỳ mã QR đáng ngờ nào thông qua quy trình leo thang nội bộ rõ ràng

FBI đặc biệt khuyến nghị thiết lập các quy trình nội bộ chính thức để báo cáo các mã đáng ngờ để các sự cố có thể được nhanh chóng leo thang và giải quyết.

Triển khai Xác thực Mạnh mẽ và Kiểm soát Truy cập

Thông tin xác thực bị đánh cắp thông qua các cuộc tấn công quishing chỉ có thể gây ra thiệt hại nghiêm trọng nếu chúng cấp quyền truy cập không kiểm soát. FBI và các cơ quan an ninh mạng khuyến nghị:

• Yêu cầu xác thực đa yếu tố (MFA) chống lừa đảo cho tất cả quyền truy cập từ xa và các hệ thống nhạy cảm
• Áp dụng kiểm soát truy cập dựa trên vai trò để nhân viên chỉ có thể truy cập các hệ thống và dữ liệu liên quan đến vai trò của họ
• Cân nhắc chiến lược không tin cậy (zero-trust) liên tục xác minh các yêu cầu truy cập thay vì cấp quyền tin cậy mạng tổng thể

Giữ Hệ thống và Phần mềm Được Cập nhật

Các biện pháp bảo vệ kỹ thuật làm giảm bề mặt tấn công mà tội phạm có thể khai thác. Đảm bảo tổ chức của bạn duy trì:

• Hệ điều hành, phần mềm diệt virus và các bản vá bảo mật được cập nhật trên tất cả các thiết bị
• Các bộ lọc thư rác và web hoạt động trên hệ thống email và mạng
• Yêu cầu mật khẩu mạnh trên tất cả các tài khoản

FTC khuyên cập nhật hệ điều hành điện thoại đặc biệt để bảo vệ chống lại phần mềm độc hại được phân phối qua mã QR.

Bảo mật Mã QR Mà Doanh nghiệp Của Bạn Tạo và Triển khai

Mã QR của riêng bạn có thể trở thành công cụ lừa đảo nếu chúng không được quản lý đúng cách. Kiểm soát các mã của bạn là một trong những cách trực tiếp nhất để bảo vệ cả khách hàng và danh tiếng của bạn.

Sử dụng mã QR động thay vì mã tĩnh. Không giống như mã tĩnh, mã QR động có thể được chỉnh sửa, giám sát và hủy kích hoạt sau khi in. Nếu một mã bị giả mạo hoặc chuyển hướng đến một đích độc hại, bạn có thể cập nhật hoặc vô hiệu hóa nó mà không cần in lại bất cứ thứ gì. Ngược lại, mã tĩnh là vĩnh viễn – nếu đích đến bị xâm phạm, không có cách nào để sửa chữa nó.

Áp dụng thương hiệu tùy chỉnh cho mọi mã. Các mã có logo, màu sắc thương hiệu và nhận diện hình ảnh của bạn sẽ khó bị tội phạm sao chép một cách thuyết phục hơn đáng kể. Các mã có thương hiệu cũng cung cấp cho khách hàng và nhân viên một điểm tham chiếu trực quan – nếu một mã trông không đúng, nó sẽ nổi bật. Đây là một khuyến nghị cốt lõi từ các phương pháp hay nhất để tạo mã QR an toàn.

Luôn liên kết đến các đích HTTPS. Đảm bảo mọi mã QR bạn xuất bản đều dẫn đến một trang web có chứng chỉ SSL hợp lệ. Tránh các đích HTTP cho bất kỳ mã nào được sử dụng trong thanh toán, luồng đăng nhập hoặc thu thập dữ liệu.

Giám sát hoạt động quét để tìm các bất thường. Phân tích thời gian thực cho phép bạn phát hiện các mẫu bất thường – đột biến về số lượng quét, bất thường về địa lý hoặc loại thiết bị không mong muốn – có thể cho thấy một mã đã bị xâm phạm hoặc thay thế. Công cụ theo dõi mã QR có thể cảnh báo bạn về những tín hiệu này trước khi thiệt hại đáng kể xảy ra.

Kiểm tra vật lý các mã đã triển khai thường xuyên. Lên lịch kiểm tra định kỳ bất kỳ mã QR nào được hiển thị ở các địa điểm công cộng. Chụp ảnh từng mã khi nó được đặt lần đầu tiên để bạn có một tài liệu tham khảo để so sánh. Tìm kiếm các dấu hiệu của nhãn dán chồng lên, sai lệch hoặc giả mạo.

Bảo vệ mã của bạn bằng giám sát thời gian thực Bạn muốn phát hiện hoạt động quét đáng ngờ trước khi nó trở thành một vấn đề nghiêm trọng? Sử dụng Tạo mã QR động để tạo các mã có thể chỉnh sửa, theo dõi với phân tích tích hợp – và cập nhật hoặc vô hiệu hóa bất kỳ mã nào ngay lập tức nếu có điều gì đó không ổn.

Bảo vệ khách hàng của bạn tại điểm quét

Nếu doanh nghiệp của bạn hiển thị mã QR cho thanh toán, thực đơn hoặc tương tác với khách hàng, hãy thực hiện các bước để giúp khách hàng xác minh rằng họ đang quét một mã hợp lệ:

• Hiển thị hướng dẫn rõ ràng gần mỗi mã giải thích mã đó dẫn đến đâu và khách hàng sẽ được yêu cầu cung cấp thông tin gì
• Thêm thương hiệu dễ nhận biết và tên miền để khách hàng có thể xác minh đích đến trước khi tương tác
• Cung cấp một phương pháp thay thế để truy cập cùng thông tin (một URL trực tiếp, một thực đơn in, v.v.) để khách hàng không bao giờ bị buộc phải quét nếu họ không chắc chắn
• Đăng các thông báo dễ thấy khuyến khích khách hàng báo cáo các mã đáng ngờ cho nhóm của bạn

Để biết thêm về việc giảm thiểu rủi ro mã QR trong bối cảnh thanh toán, bao gồm hướng dẫn cụ thể theo ngành cho bán lẻ và thương mại điện tử, hãy xem hướng dẫn bảo mật thanh toán chuyên dụng.

Khi một sự cố xảy ra: Phải làm gì

Nếu một nhân viên hoặc khách hàng báo cáo một mã QR có khả năng bị xâm phạm, hãy hành động ngay lập tức:

• Vô hiệu hóa hoặc cập nhật mã QR động bị ảnh hưởng để nó không còn dẫn đến đích độc hại nữa
• Ghi lại sự cố và bảo quản bằng chứng để điều tra
• Thông báo cho các bên bị ảnh hưởng để họ có thể theo dõi tài khoản và thay đổi mật khẩu
• Báo cáo sự cố cho các cơ quan có liên quan – Trung tâm Khiếu nại Tội phạm Internet của FBI (IC3) đối với gian lận mạng liên quan đến doanh nghiệp, và FTC đối với các vụ lừa đảo tập trung vào người tiêu dùng
• Xem xét các mã đã triển khai khác của bạn để kiểm tra xem có sự giả mạo tương tự không

Có một kế hoạch ứng phó sự cố sẵn sàng trước khi có điều gì đó không ổn sẽ ít tốn kém hơn nhiều so với việc ứng biến dưới áp lực.

Câu hỏi thường gặp