Zalo: Mục tiêu béo bở của tội phạm mạng và mối hiểm họa khôn lường

Trong thời đại số hóa mạnh mẽ, ứng dụng nhắn tin và gọi điện Zalo đã trở thành một phần thiết yếu trong công việc và đời sống của hàng chục triệu người dân Việt Nam. Tuy nhiên, đi cùng với sự phổ biến và tiện ích đó là nguy cơ tiềm ẩn khi các đối tượng tội phạm công nghệ cao liên tục nhắm vào tài khoản Zalo để thực hiện các hành vi lừa đảo, chiếm đoạt tài sản với thủ đoạn ngày càng tinh vi, khó lường.

Người dùng mạng xã hội cần nâng cao cảnh giác trước nguy cơ bị chiếm quyền tài khoản Zalo (ảnh minh họa)

Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an các tỉnh, thành phố liên tục phát đi thông báo khẩn cấp, chỉ rõ những cái bẫy nguy hiểm mà người dùng rất dễ mắc phải nếu lơ là mất cảnh giác. Không chỉ dừng lại ở việc mất quyền kiểm soát trang cá nhân, người bị hại còn có thể vô tình đẩy người thân, bạn bè, đối tác làm ăn vào cảnh bị lừa đảo tài chính nặng nề.

Vạch trần 5 thủ đoạn chiếm quyền tài khoản Zalo tinh vi nhất hiện nay

Để giúp người dân chủ động nhận diện và phòng tránh, các cơ quan an ninh mạng đã tổng hợp 5 phương thức chiếm quyền tài khoản Zalo mà kẻ gian thường xuyên áp dụng:

1. Giả danh nhân viên kỹ thuật Zalo để chiếm đoạt mã OTP

Đây là chiêu thức kinh điển nhưng tỷ lệ thành công của kẻ lừa đảo vẫn ở mức đáng báo động. Kẻ xấu chủ động cài đặt hoặc đăng nhập số điện thoại của nạn nhân trên một thiết bị mới, kích hoạt hệ thống gửi mã xác thực OTP về điện thoại nạn nhân. Ngay sau đó, chúng liên hệ bằng cuộc gọi thoại hoặc tin nhắn giả mạo bộ phận chăm sóc khách hàng hay hỗ trợ kỹ thuật của Zalo, viện lý do tài khoản gặp sự cố, hệ thống cần đồng bộ dữ liệu hoặc báo nhầm mã OTP. Kẻ gian thúc giục người dùng đọc mã này để khắc phục. Một khi nạn nhân nhẹ dạ cung cấp mã OTP, kẻ lừa đảo lập tức làm chủ tài khoản và đăng xuất nạn nhân ra khỏi ứng dụng.

Người dùng cần ghi nhớ nguyên tắc vàng: Nền tảng Zalo tuyệt đối không bao giờ yêu cầu khách hàng cung cấp mã OTP qua bất kỳ cuộc gọi hay tin nhắn nào. Mã OTP chính là chìa khóa bảo mật tối hậu của tài khoản cá nhân.

2. Dẫn dụ người dùng truy cập website đăng nhập Zalo giả mạo (Phishing)

Các đối tượng tội phạm xây dựng những website giả mạo có giao diện, màu sắc, font chữ và logo sao chép gần như hoàn hảo trang đăng nhập của Zalo Web. Các đường link độc hại này thường được gửi kèm những thông điệp gây tò mò, thúc bách tâm lý như: xem hình ảnh, video nhạy cảm; tham gia bình chọn cuộc thi nhận thưởng; kiểm tra hóa đơn chuyển khoản; hoặc nhận cảnh báo giả mạo về việc tài khoản sắp bị khóa vĩnh viễn.

Khi người dùng cả tin nhập số điện thoại, mật khẩu và mã OTP vào biểu mẫu trên website giả mạo, toàn bộ dữ liệu lập tức được gửi thẳng về máy chủ của kẻ tấn công, mở đường cho chúng chiếm quyền kiểm soát ngay trong tích tắc. Do đó, người dùng tuyệt đối không đăng nhập Zalo từ các liên kết lạ hoặc tên miền không thuộc hệ thống chính thức của Zalo.

3. Dụ dỗ cài đặt ứng dụng độc hại chứa mã gián điệp

Mã độc thường được tin tặc ẩn giấu dưới vỏ bọc các phần mềm chỉnh sửa ảnh, trò chơi miễn phí, tiện ích dọn dẹp bộ nhớ, xem bói toán hoặc công cụ văn phòng hỗ trợ công việc dưới định dạng file APK. Khi người dùng tải về và cài đặt, ứng dụng sẽ yêu cầu cấp hàng loạt quyền nguy hiểm như: đọc tin nhắn SMS, truy cập danh bạ, quyền can thiệp màn hình, trợ năng (Accessibility Service) và quyền kiểm soát thiết bị.

Thông qua các quyền này, phần mềm gián điệp tự động đọc trộm tin nhắn chứa mã xác thực OTP gửi về máy, âm thầm ghi lại thao tác bàn phím (keylogger) và truyền dữ liệu về tay kẻ lừa đảo. Người dân chỉ nên cài đặt ứng dụng từ các kho ứng dụng uy tín như Google Play Store hoặc Apple App Store, đồng thời kiên quyết từ chối cấp những quyền vô lý cho ứng dụng không rõ nguồn gốc.

Tuyệt đối không cung cấp mã OTP hoặc nhấn vào các đường link không rõ nguồn gốc (ảnh minh họa)

4. Giăng bẫy quét mã QR để đăng nhập thiết bị từ xa

Lợi dụng tính năng đăng nhập nhanh thông qua mã QR của Zalo, kẻ lừa đảo tạo mã QR đăng nhập trên máy tính của chúng rồi gửi hình ảnh này cho nạn nhân với những lời nhờ vả: "quét mã giúp đăng nhập Zalo máy công ty", "bình chọn thí sinh qua mã QR", hoặc "xác minh tài khoản để nhận khuyến mãi".

Nhiều người dùng lầm tưởng đây chỉ là thao tác kết bạn thông thường hoặc mở một trang web, nên đã vô tư dùng tính năng quét mã QR trên ứng dụng Zalo và bấm xác nhận đăng nhập. Hành động này đồng nghĩa với việc trực tiếp trao quyền sử dụng tài khoản Zalo cho kẻ xấu mà chúng không cần biết mật khẩu hay OTP.

5. Tấn công dò quét mật khẩu từ dữ liệu bị rò rỉ (Credential Stuffing)

Thói quen đặt một mật khẩu duy nhất cho nhiều tài khoản dịch vụ khác nhau như Facebook, TikTok, email, diễn đàn và Zalo của phần đông người dùng đang trở thành kẽ hở lớn. Khi một trang web kém an toàn bị rò rỉ cơ sở dữ liệu, các đối tượng tội phạm mạng sẽ gom các cặp tài khoản/mật khẩu này để chạy phần mềm tự động thử đăng nhập hàng loạt vào Zalo.

Để ngăn chặn nguy cơ này, người dùng cần thiết lập mật khẩu mạnh, kết hợp giữa chữ hoa, chữ thường, số và ký tự đặc biệt; đồng thời kích hoạt tính năng xác thực 2 yếu tố, thường xuyên kiểm tra danh sách thiết bị đã đăng nhập và đăng xuất ngay khỏi các thiết bị lạ.

Trách nhiệm hình sự nghiêm khắc đối với hành vi chiếm đoạt tài khoản Zalo

Hành vi xâm nhập trái phép và chiếm đoạt tài khoản Zalo của người khác để trục lợi không chỉ vi phạm nghiêm trọng quyền riêng tư mà còn phải chịu chế tài xử lý hình sự rất nghiêm khắc theo quy định của Bộ luật Hình sự 2015 (sửa đổi, bổ sung năm 2017).

Xử lý về Tội xâm nhập trái phép theo Điều 289 Bộ luật Hình sự

Người có hành vi cố ý vượt qua cảnh báo, mã truy cập, tường lửa hoặc sử dụng quyền quản trị của người khác để xâm nhập trái phép tài khoản Zalo có thể bị khởi tố về Tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác theo quy định tại Điều 289 Bộ luật Hình sự 2015.

• Theo khoản 1 Điều 289, người thực hiện hành vi thu lợi bất chính từ 50.000.000 đồng đến dưới 200.000.000 đồng hoặc gây thiệt hại từ 100.000.000 đồng đến dưới 500.000.000 đồng có thể bị phạt tiền từ 50.000.000 đồng đến 300.000.000 đồng hoặc phạt tù từ 01 năm đến 05 năm.
• Nếu phạm tội có tổ chức, có tính chất chuyên nghiệp hoặc gây hậu quả đặc biệt nghiêm trọng, khung hình phạt cao nhất có thể lên đến 12 năm tù giam. Ngoài ra, người phạm tội còn có thể bị áp dụng hình phạt bổ sung là phạt tiền từ 5.000.000 đồng đến 50.000.000 đồng, cấm đảm nhiệm chức vụ hoặc cấm hành nghề nhất định từ 01 năm đến 05 năm.

Xử lý về Tội lừa đảo chiếm đoạt tài sản theo Điều 174 Bộ luật Hình sự

Trong thực tế, sau khi chiếm được tài khoản Zalo, các đối tượng thường lập tức nhắn tin cho bạn bè, người thân của nạn nhân để vay tiền khẩn cấp, nhờ chuyển khoản qua tài khoản trung gian hoặc mua thẻ cào điện thoại. Hành vi này cấu thành Tội lừa đảo chiếm đoạt tài sản theo quy định tại Điều 174 Bộ luật Hình sự 2015.

• Đối tượng chiếm đoạt tài sản trị giá từ 2.000.000 đồng đến dưới 50.000.000 đồng hoặc dưới 2.000.000 đồng nhưng thuộc các trường hợp luật định sẽ bị phạt cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 06 tháng đến 03 năm.
• Nếu số tiền chiếm đoạt từ 500.000.000 đồng trở lên hoặc lợi dụng hoàn cảnh chiến tranh, thiên tai, dịch bệnh thì mức án cao nhất dành cho kẻ phạm tội là từ 12 năm đến 20 năm tù hoặc tù chung thân.

Xử lý về Tội sử dụng mạng máy tính, mạng viễn thông thực hiện hành vi chiếm đoạt tài sản

Trường hợp các đối tượng sử dụng công nghệ cao để chiếm đoạt dữ liệu tài khoản ngân hàng, ví điện tử liên kết với Zalo hoặc sử dụng phương tiện điện tử để trộm cắp, lừa gạt tiền trực tuyến thì sẽ bị truy cứu theo Điều 290 Bộ luật Hình sự 2015. Mức hình phạt cao nhất của tội danh này lên tới 20 năm tù giam kèm theo hình phạt bổ sung tịch thu tài sản, cấm hành nghề.

Lời khuyên thiết thực để bảo vệ tài khoản Zalo của bạn

Khi phát hiện dấu hiệu bất thường hoặc nghi ngờ tài khoản Zalo đã bị kẻ gian chiếm quyền, người dùng cần lập tức áp dụng quy trình xử lý khẩn cấp sau:

1. Thay đổi mật khẩu ngay lập tức và sử dụng chức năng đăng xuất khỏi tất cả các thiết bị đang hoạt động trên hệ thống.
2. Liên hệ khẩn cấp qua điện thoại hoặc các kênh liên lạc khác để thông báo cho người thân, bạn bè, đối tác biết tài khoản của mình đã bị chiếm đoạt; tuyệt đối không chuyển tiền theo bất kỳ yêu cầu nào từ tài khoản Zalo đó.
3. Thu thập chứng cứ: Chụp ảnh màn hình các tin nhắn, lưu lại số điện thoại kẻ lừa đảo, đường link phishing, hình ảnh mã QR độc hại và sao kê tài khoản ngân hàng liên quan.
4. Trình báo ngay đến cơ quan Công an gần nhất hoặc Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao để được tiếp nhận, điều tra và xử lý đối tượng theo đúng quy định của pháp luật.