Bài học chính
Giả mạo SMS là một loại lừa đảo dựa vào thao tác tâm lý để lừa nạn nhân gửi tiền hoặc chia sẻ thông tin nhạy cảm.
Những kẻ tấn công sửa đổi danh tính người gửi để làm cho tin nhắn SMS của họ xuất hiện như thể nó đến từ một nguồn đáng tin cậy.
Bạn đã nhận được một tin nhắn SMS giả mạo? Hãy báo cáo sự việc ngay lập tức cho cơ quan thực thi pháp luật.
Tìm hiểu về việc giả mạo SMS và cách bảo vệ tiền điện tử cũng như dữ liệu cá nhân của bạn khỏi những kẻ tấn công.
Xu hướng trong ngành gian lận thay đổi nhanh chóng như bất kỳ nơi nào khác. Trước đây, các vụ lừa đảo qua email của hoàng tử Nigeria rất phổ biến; ngày nay là các cuộc tấn công giả mạo SMS.
Không giống như các cách khai thác mà hacker cố gắng sử dụng mã để đột nhập vào cơ sở dữ liệu người dùng, các cuộc tấn công giả mạo SMS chủ yếu sử dụng thao tác tâm lý. Điều này có nghĩa là kẻ lừa đảo sẽ cố gắng đóng giả là một nguồn đáng tin cậy nhằm lừa những nạn nhân không nghi ngờ gửi tiền hoặc chia sẻ thông tin nhạy cảm, chẳng hạn như chi tiết ví.
Trong bài viết này, chúng ta sẽ tìm hiểu cách hoạt động của các cuộc tấn công giả mạo SMS, các cách khác nhau mà kẻ tấn công có thể nhắm mục tiêu vào bạn và cách bạn với tư cách là người dùng có thể bảo vệ tiền của mình.
Việc giả mạo SMS hoạt động như thế nào?
Kẻ tấn công sửa đổi danh tính người gửi (tên hoặc số điện thoại xuất hiện trên điện thoại của người nhận) để làm cho tin nhắn văn bản của họ xuất hiện như thể nó đến từ một nguồn đáng tin cậy. Mục đích là lừa nạn nhân làm theo hướng dẫn trong tin nhắn.
Một tin nhắn SMS giả mạo có thể gửi đến hộp thư đến trên điện thoại của bạn dưới tên, số điện thoại đã được chỉnh sửa hoặc cả hai. Ví dụ: một văn bản xuất hiện từ “Binance” có thể là kẻ lừa đảo đang cố lừa bạn tải xuống phần mềm độc hại, chia sẻ chi tiết tài khoản của bạn hoặc nhấp vào liên kết độc hại.
Thật không may, các cơ chế cho phép giả mạo SMS nằm trong vùng mờ về mặt pháp lý ở nhiều khu vực trên thế giới. Một số quốc gia đã cấm hoàn toàn hành vi này, trong khi những quốc gia khác vẫn chưa giải quyết vấn đề lạm dụng thay đổi danh tính người gửi SMS.
Trên thực tế, có một số trường hợp sử dụng hợp pháp để thay đổi tên người gửi giống như tên xuất hiện ở phía người nhận. Ví dụ: một công ty có thể chạy chiến dịch tiếp thị qua SMS và sử dụng nhận dạng thương hiệu phụ thay vì thương hiệu hoặc số điện thoại chính.
Làm thế nào để xác định và tránh giả mạo SMS?
Ngay cả cơ sở hạ tầng bảo mật hàng đầu trong ngành cũng không thể bảo vệ được người dùng sẵn sàng gửi mật khẩu của họ cho tin tặc. Tuyến phòng thủ đầu tiên luôn là người dùng. Nếu bạn muốn giữ tiền của mình an toàn, bạn nên luôn cảnh giác, biến những thực hành sau đây thành thói quen.
1. Xác minh tin nhắn đến
Luôn kiểm tra kỹ nguồn tin nhắn đến trước khi trả lời. Hãy thận trọng với bất kỳ tin nhắn không được yêu cầu hoặc những tin nhắn có vẻ đáng ngờ. Bạn có thể xác minh tin nhắn dành riêng cho Binance bằng cách sử dụng công cụ Binance Verify hoặc bằng cách gửi ảnh chụp màn hình tin nhắn đến nhóm hỗ trợ của chúng tôi. Đối với các dịch vụ khác, bạn nên nhắn tin trực tiếp cho nền tảng liên quan qua trang web chính thức của họ hoặc các kênh đáng tin cậy khác.
2. Kích hoạt xác thực hai yếu tố
Xác thực hai yếu tố (2FA) bổ sung thêm một lớp bảo mật khỏi những kẻ tấn công đang cố gắng truy cập vào tài khoản của bạn, bao gồm cả việc giả mạo SMS. Luôn bật 2FA cho bất kỳ tài khoản nào hỗ trợ nó.
Mã 2FA, khi được sử dụng đúng cách, có thể giúp bảo vệ tài khoản của bạn. Chỉ nhập mã 2FA của bạn trên các trang web chính thức và đảm bảo kiểm tra kỹ thông báo 2FA để xem mã đó được sử dụng để làm gì.
3. Không chia sẻ thông tin cá nhân
Tránh chia sẻ thông tin nhạy cảm (ví dụ: mật khẩu, số thẻ tín dụng, số an sinh xã hội và các thông tin nhận dạng khác do chính phủ cấp) qua tin nhắn văn bản, đặc biệt là với những liên hệ chưa được xác minh.
4. Tránh các liên kết đáng ngờ
Đừng nhấp vào bất kỳ liên kết nào được gửi cho bạn qua tin nhắn văn bản mà không xác minh tính hợp pháp của chúng trước. Các liên kết có thể dẫn đến các trang web lừa đảo cố gắng đánh cắp thông tin đăng nhập của bạn hoặc cài đặt phần mềm độc hại trên thiết bị của bạn.
Không truy cập các trang web có biểu tượng “Không khóa” hoặc URL không được mã hóa (HTTP thay vì HTTPS); luôn kiểm tra xem URL trước khi nhấp vào. Đảm bảo chỉ sử dụng các trang web chính thức. Ví dụ: nếu bạn không chắc chắn liệu liên kết, email, số điện thoại, ID WeChat, tên Twitter hoặc ID Telegram có liên quan đến Binance là chính thức hay không, bạn có thể xác minh nó trên Binance Verify.
Để biết thông tin chung về cách bảo vệ tiền điện tử của bạn, bạn có thể khám phá các phần bảo mật trong Câu hỏi thường gặp hoặc Học viện Binance của chúng tôi.
Dưới đây là danh sách các trang web đáng ngờ mà chúng tôi đã xác định được và cố gắng tỏ ra giống như chúng có liên kết với Binance. Tránh xa tất cả chúng. Tên miền của họ cũng cho bạn ý tưởng về một trang web “Binance giả” mà người sáng tạo đang cố gắng đánh lừa người dùng có thể trông như thế nào.
Các loại giả mạo SMS
Các cuộc tấn công giả mạo SMS có thể khác nhau về mục tiêu và cơ chế của chúng. Điểm chung của chúng là số hoặc tên của người gửi thực sự được thay thế, điều này cho phép những kẻ lừa đảo xuất hiện với tư cách là một người khác. Các tình huống phổ biến về cách ai đó có thể nhắm mục tiêu đến bạn bằng tin nhắn SMS giả mạo bao gồm chuyển tiền và các hành vi giả mạo quấy rối.
Trong trường hợp trước, những kẻ lừa đảo sẽ mạo danh một nhà cung cấp dịch vụ tài chính hợp pháp như Binance và nhắn tin cho nạn nhân, chẳng hạn như về một giao dịch hoàn lại tiền giả. Những tin nhắn như vậy thường hướng dẫn người nhận quét mã QR hoặc truy cập liên kết để yêu cầu hoàn tiền.
Việc giả mạo SMS cũng được sử dụng bởi những kẻ theo dõi và những kẻ bắt nạt trên mạng muốn đe dọa nạn nhân của họ bằng cách gửi tin nhắn đe dọa hoặc không phù hợp từ các số không xác định hoặc dưới tên ngẫu nhiên.
Ví dụ thực tế về các cuộc tấn công giả mạo SMS
Ví dụ 1: Tin nhắn 2FA giả mạo
Một người dùng, mà chúng tôi sẽ gọi là Jack, nhận được thông báo có nội dung: “Người dùng [Binance] cần nâng cấp Web 3.0 để tránh vô hiệu hóa tài khoản. Bianc.net”
Jack thấy rằng người gửi là “Binance” và tin nhắn đã đến qua cùng một kênh mà anh ấy thường nhận được mã 2FA của mình. Jack cho rằng đây là tin nhắn chính thức và đăng nhập vào trang web lừa đảo, từ đó cung cấp thông tin chi tiết tài khoản của mình cho kẻ lừa đảo.
Ví dụ 2. “Hủy rút tiền”
Một người dùng mà chúng ta sẽ gọi là Brad sẽ nhận được tin nhắn SMS từ một người có địa chỉ người gửi là “Binance”. Tin nhắn nhắc Brad “hủy khoản rút tiền hiện tại của anh ấy”. Brad tin rằng tin nhắn này là chính thức nên đăng nhập vào trang web lừa đảo.
Tin tặc quản lý sử dụng tên người dùng, mật khẩu và 2FA của Brad để đăng nhập vào trang web chính thức của Binance và bắt đầu rút tiền mặt.
Trong ví dụ này, người dùng không thực hiện được hai việc:
Xác minh liên kết trên Binance Verify.
Kiểm tra kỹ thông báo 2FA thực, trong đó thực tế cho biết mã 2FA đang được sử dụng để bắt đầu rút tiền chứ không phải để hủy một giao dịch.
Ví dụ 3. Tài khoản “Xác minh” hoặc “Nâng cấp”
Nhiều người dùng của chúng tôi đã báo cáo việc nhận được một tin nhắn SMS giả mạo kèm theo liên kết để xác minh hoặc nâng cấp tài khoản của họ. Như thông báo đã giải thích, việc không thực hiện hành động được yêu cầu sẽ dẫn đến việc tài khoản bị chặn. Trên thực tế, liên kết trong tin nhắn văn bản dẫn đến một trang web lừa đảo được thiết kế để lấy cắp thông tin tài khoản. Lưu ý rằng các miền trong tin nhắn văn bản này đang cố gắng xuất hiện dưới dạng công ty hợp pháp.
Nếu bạn bị nhắm mục tiêu bởi một tin nhắn SMS giả mạo
Nếu bạn nghi ngờ ai đó đã gửi cho bạn một tin nhắn SMS giả mạo , hãy liên hệ ngay với cơ quan thực thi pháp luật có liên quan. Nếu tin nhắn SMS giả mạo có liên quan đến Binance, vui lòng gửi báo cáo cho nhóm Hỗ trợ Binance.
Nếu tài khoản của bạn đã bị xâm phạm, hãy đóng băng tín dụng của bạn để ngăn chặn bọn tội phạm mở tài khoản mới đứng tên bạn, bên cạnh việc đóng băng thẻ tín dụng và tài khoản ngân hàng của bạn. Để bảo vệ tài sản của mình, bạn cũng nên vô hiệu hóa tài khoản của mình bằng cách làm theo các bước trong hướng dẫn Câu hỏi thường gặp này: Cách vô hiệu hóa tài khoản Binance của tôi.
Đừng bao giờ nhắn tin chi tiết tài khoản Binance, mã 2FA hoặc thông tin tài chính của bạn cho bất kỳ ai, ngay cả khi những người yêu cầu thoạt nhìn có vẻ hợp pháp. Bên cạnh việc giả mạo SMS, những kẻ lừa đảo cũng có thể cố gắng lừa gạt bạn qua email hoặc các kênh khác.
Kiểm tra kỹ mọi miền liên quan đến Binance trên Binance Verify. Tuy nhiên, hãy lưu ý rằng công cụ này không thể đánh lừa được. Bạn vẫn nên thận trọng nếu cảm thấy có điều gì đó không ổn.
Đọc thêm
Biết Lừa đảo của bạn
Giữ an toàn: Tấn công chiếm đoạt tài khoản là gì?
Hướng dẫn về ứng dụng giả mạo: Cách phát hiện và tránh chúng
