Cảnh báo chiêu lừa đảo: nhờ nhận tiền qua Facebook

[whf]

Những ngày cuối năm thời gian như trôi thật nhanh, người người tất bật với công việc mưu sinh với mong ước một cái Tết ấm no, đầy đủ. Đây là thời điểm lương thưởng về nhiều và là cũng thời cơ mà những kẻ lừa đảo qua mạng tích cực ra tay, nếu mọi người không cẩn thận sẽ rất dễ "sập bẫy".

Vì trách nhiệm và để cảnh báo cộng đồng, bài viết này xin chia sẻ một vụ lừa đảo điển hình gần đây mà WhiteHat hỗ trợ, hi vọng mọi người sẽ rút được những kinh nghiệm bổ ích và tránh "sập bẫy" một cách đáng tiếc.

Đây là một vụ lừa đảo qua mạng xã hội Facebook, sau khi kẻ lừa đảo đánh cắp được tài khoản Facebook của bạn bè/người thân nạn nhân (ở xa, nước ngoài) thì giả vờ hỏi thăm và thực hiện hành vi lừa đảo.

Dựa vào lịch sử chat Facebook, sms và những thông tin cung cấp từ nạn nhân ta có thể dựng lại các bước mà đối tượng đã tiến hành lừa đảo như sau:

Bước 1: Hack 1 tài khoản Facebook, ở đây là tài khoản Facebook của bạn/người thân nạn nhân đang ở xa/nước ngoài (do tài khoản đặt mật khẩu yếu, mật khẩu dùng chung nhiều tài khoản bị lộ...).

Bước 2: Kẻ lừa đảo dùng tài khoản Facebook đã chiếm được tìm hiểu thói quen và tiến hành chat với nạn nhân sau đó nhờ nhận hộ một số tiền chuyển từ nước ngoài về. Nạn nhân không biết tài khoản Facebook kia đã bị tấn công nên tin tưởng và sẵn sàng giúp đỡ.

Bước 3: Sau khi thống nhất số tiền, ở đây là 40 triệu, kẻ lừa đảo sẽ dùng một số điện thoại từ nước ngoài (theo điều tra đây là một số điện thoại từ Canada) gửi 1 tin nhắn giả mạo thông báo từ Western Union đến số điện thoại của nạn nhân với nội dung đề nghị truy cập đường link trong sms và xác nhận để có thể nhận được 40 triệu từ Western Union (tuy nhiên trên thực tế đây là một trang web phishing)

Bước 4: Nạn nhân không biết đây là trang web phishing nên đã nhập các thông tin tài khoản, mật khẩu internet banking vào trang web giả mạo rồi gửi đi và kẻ lừa đảo sẽ nhận được.

Bước 5: Kẻ lừa đảo dùng thông tin internet banking vừa chiếm được từ nạn nhân để thực hiện giao dịch qua cổng thanh toán trực tuyến VTC Pay và cổng thanh toán VNPAY. Tuy nhiên do không có mã OTP được gửi đến số điện thoại nạn nhân nên giao dịch không thành công (OTP có hiệu lực trong 120s). Kẻ lừa đảo tiếp tục chat với nạn nhân đề nghị xác nhận OTP.

Bước 6: Kẻ lừa đảo nhập OTP có được để hoàn thành giao dịch, nạn nhân bị trừ tiền trong tài khoản 2 lần với số tiền lần lượt là 20.000.000 và 11.889.360

Tin nhắn giả mạo thông báo từ Western Union

Tin nhắn thông báo từ ngân hàng​

Sự việc trên đã được chuyển sang cơ quan chức năng xử lý, để tránh những vụ lừa đảo tương tự mọi người nên tham khảo những lời khuyên sau:

• Đặt mật khẩu mạnh cho các tài khoản Facebook, tài khoản ngân hàng.
• Bật bảo mật 2 lớp cho tài khoản.
• Không sử dụng chung mật khẩu cho các tài khoản.
• Báo cho người thân bạn bè khi tài khoản bị tấn công.
• Không nhập tài khoản ngân hàng vào các trang web lạ.
• Không nhập OTP linh tinh, không gửi OTP cho người khác.
• Đổi mật khẩu tài khoản, báo cho ngân hàng sớm nhất có thể khi có những hành vi không an toàn.

 

Từng có một vụ gửi tiền như thế này. Bên attacker sẽ làm giả sender sms để gửi tin nhắn chuyển tiền cho victim. Trong tin nhắn có để lại đường link có mã độc. Có một admin từng giải thích là sử dụng SMS brandname nhưng thực sự không phải vì cái sms brandname không thể trùng nhau hơn nữa mất từ 1 đến 2 ngày để xác nhận với nhà mạng. Em thắc mắc là làm sao attacker có thể giải sms braname đó ( manh mối được cho là cho thuê tổng đài 1900XXXX nhưng tổng đài thì có liên quan gì ạ)

 

Từng có một vụ gửi tiền như thế này. Bên attacker sẽ làm giả sender sms để gửi tin nhắn chuyển tiền cho victim. Trong tin nhắn có để lại đường link có mã độc. Có một admin từng giải thích là sử dụng SMS brandname nhưng thực sự không phải vì cái sms brandname không thể trùng nhau hơn nữa mất từ 1 đến 2 ngày để xác nhận với nhà mạng. Em thắc mắc là làm sao attacker có thể giải sms braname đó ( manh mối được cho là cho thuê tổng đài 1900XXXX nhưng tổng đài thì có liên quan gì ạ)

Chính là vụ này đấy bạn ơi:

Đường link giả mạo mở bằng safari trên máy sẽ ra.

 

Lừa đảo qua mạng: 8 cuốn lịch https://tuoitre.vn/tuyen-an-nhom-thanh-nien-su-dung-zalo-facebook-lua-dao-1152634.htm

Bổ sung thêm một ý để biết có phải lừa đảo hay không: Trong bất kỳ tình huống nào, nhận tiền không bao giờ yêu cầu mã xác thực hoặc OPT, chuyển tiền mới yêu cầu. Nạn nhân thiếu kiến thức về giao dịch online nên bị lừa.

 

Kẻ lừa đảo tìm đúng người để lừa đấy chứ . Nạn nhân quá khờ khạo, chả hiểu gì về giao dịch ngân hàng, chẳng có ai nhận được tiền mà lại phải nhập mã OTP cả. Thêm nữa là bị trừ tiền rồi mà vẫn còn tin bạn mình sái cổ .

 

Cảm ơn Mod về bài viết hữu ích nhé. Mình có thử tìm hiểu thêm thì được biết ngoài việc chát với nạn nhân để hướng dẫn gửi mã OTP qua kênh chát, kẻ lừa đảo có thể lừa mình chụp màn hình tin nhắn của ngân hàng để kiểm tra lại lệnh chuyển tiền mà không để ý trong màn hình tin nhắn có mã OTP gửi đến điện thoại. Nên như bạn poseidon đã nói ở trên, không bao giờ cung cấp mã OTP cho người khác, dù là thân quen đi chăng nữa.

 

Dù nạn nhận trên tin người thật nhưng không phủ nhận là hacker quá thủ đoạn. Tài khoản nhận tiền chứ có mất gì đâu, mà lúc bị trừ tiền rồi thì cũng không kịp báo chặn tài khoản được.

 

Theo mình thì hệ thống ngân hàng của Việt Nam quá tiêu cực hoạt động kiểu cơ chế bao cấp nên khi khách bị lừa tiền thì coi như mất luôn mặc dù biết được số tài khoản kẻ lừa đảo cũng không làm gì được vì ngân hàng không can thiệp khi chưa có yêu cầu phía công an, còn việc báo công an thì nhiều người rất ngại do thủ tục lằng nhằng.
Mình từng dùng một số loại ngân hàng nước ngoài cung cấp như Payoneer phía support rất nhiệt tình nếu bị hack mất tiền chỉ cần gọi support là có thể lấy lại tiền hoặc phía Payoneer sẽ khóa tài khoản nhận khoản tiền bất hợp pháp kia để đối chứng khách hàng không cần bên công an điều tra mới xử lý.

 

hacker quá giỏi hiểu tâm lý người dùng.

 

hacker quá giỏi hiểu tâm lý người dùng.

Kết hợp social phising mà

 

Theo mình thì hệ thống ngân hàng của Việt Nam quá tiêu cực hoạt động kiểu cơ chế bao cấp nên khi khách bị lừa tiền thì coi như mất luôn mặc dù biết được số tài khoản kẻ lừa đảo cũng không làm gì được vì ngân hàng không can thiệp khi chưa có yêu cầu phía công an, còn việc báo công an thì nhiều người rất ngại do thủ tục lằng nhằng.
Mình từng dùng một số loại ngân hàng nước ngoài cung cấp như Payoneer phía support rất nhiệt tình nếu bị hack mất tiền chỉ cần gọi support là có thể lấy lại tiền hoặc phía Payoneer sẽ khóa tài khoản nhận khoản tiền bất hợp pháp kia để đối chứng khách hàng không cần bên công an điều tra mới xử lý.

Ở Việt Nam chán lắm chứ nếu bị lừa qua Paypal hay Payoneer là cái tài khoản của bọn lừa đảo bị BAN ngay lập tức luôn.

 

cứ có cái gì về tiền thì mấy bố thích thú lắm ko cần biết nó nguy hiểm như nào :-<

 

Nói chung là kẻ lừa đảo cũng gan dạ còn nạn nhân thì nhẹ dạ! Cảm ơn bạn đã đăng lên để mọi người đề phòng.