Qshing (QR code + Phishing, lừa đảo qua mã QR)

1. Tổng quan

A. Định nghĩa

Tấn công lừa đảo (Phishing) dựa trên mã QR, dùng mã QR (Quick Response Code) làm mồi nhử để dẫn người dùng tới trang web độc hại hoặc khiến họ cài ứng dụng độc hại nhằm đánh cắp thông tin tài khoản · tài chính.

Qshing là hình thức tiến hóa thêm một bước của smishing (lừa đảo qua tin nhắn), bản chất là vector tấn công chuyển từ "văn bản liên kết" sang "hình ảnh (QR)". Con người có thể phần nào tự kiểm tra chuỗi URL bằng mắt, nhưng mã QR là mẫu các chấm đen trắng nên trước khi quét thì hoàn toàn không thể biết đích đến. Tính che giấu đích đến (destination opacity) này là vũ khí cốt lõi của Qshing.

B. Bối cảnh xuất hiện và sự cần thiết

Sau COVID-19, khi hình thức phi tiếp xúc · thanh toán tiện lợi lan rộng, mã QR đã hiện diện khắp nơi trong đời sống như thanh toán · xác thực ra vào · thực đơn điện tử · tờ rơi. Người dùng dần nhận thức QR là "phương tiện tiện lợi đương nhiên đáng tin", và chính niềm tin đã được học này lại trở thành bề mặt tấn công. Ngoài ra, QR có thể dễ dàng gài vào không gian vật lý chỉ bằng một miếng dán giấy, và nếu chèn dưới dạng hình ảnh vào thân email thì có thể vượt qua bộ lọc spam dựa trên URL, nên từ góc độ kẻ tấn công, hiệu quả so với chi phí rất cao. Vì vậy Qshing đã trở thành loại tấn công tăng vọt gần đây, và do đặc tính khó nhận biết sau sự việc, việc xây dựng hệ thống phòng ngừa trước là cấp bách.

2. Luồng tấn công (kiến trúc)

flowchart LR
  A[Phát tán QR độc hại<br/>miếng dán · email · tờ rơi] --> S[Quét]
  S --> R[Truy cập URL độc hại]
  R --> M[Trang giả/cài ứng dụng giả]
  M --> T[Đánh cắp thông tin tài khoản · tài chính]

Qshing thường trải qua 4 bước ① phát tán → ② dụ quét → ③ truy cập → ④ đánh cắp. Kẻ tấn công rải QR giả mạo dịch vụ hợp lệ qua kênh vật lý · điện tử, và dụ người dùng quét bằng các lý do mang tính kỹ nghệ xã hội như "thanh toán phí đỗ xe", "quà tặng sự kiện", "tra cứu bưu kiện". Ngay khi quét, trình duyệt chuyển tới URL độc hại, và URL này là trang lừa đảo giống hệt trang hợp lệ về mặt hình ảnh hoặc là liên kết tải APK độc hại. Thông tin bị đánh cắp ngay khi người dùng nhập thông tin đăng nhập hay số thẻ, hoặc khi cấp quyền quá mức sau khi cài ứng dụng. Đặc biệt, trên màn hình di động thanh địa chỉ được hiển thị ngắn nên khó nhận ra tên miền bị giả mạo, làm thiệt hại tăng lên.

3. Loại hình · thủ đoạn tấn công

Qshing được phân chia như sau theo kênh đặt QR và thủ đoạn. Điểm chung là tất cả đều tạo ra "QR trông như hợp lệ".

• Dán đè miếng dán QR: Dán vật lý miếng dán QR độc hại đè lên QR chính hãng gắn trên máy thanh toán phí đỗ xe · bàn nhà hàng · máy thanh toán công cộng. Chẳng hạn, tại Mỹ đã có nhiều trường hợp được báo cáo về việc dán QR giả lên QR thanh toán của bãi đỗ xe công cộng để chiếm đoạt thông tin thanh toán. Chỉ cần tiếp cận vật lý là làm được nên rất khó phát hiện.
• Email · tin nhắn lừa đảo (Quishing): Chèn QR vào thân email hoặc hình ảnh đính kèm. Vì không có URL dạng văn bản nên bộ lọc spam · URL truyền thống không lọc được, và người dùng quét bằng "điện thoại cá nhân chứ không phải PC", thoát khỏi kiểm soát bảo mật của doanh nghiệp (EDR · proxy).
• Dụ cài ứng dụng độc hại: Sau khi quét, dụ cài trực tiếp APK từ liên kết bên ngoài chứ không phải chợ ứng dụng chính thức. Ứng dụng được cài yêu cầu quyền SMS · danh bạ · trợ năng (accessibility), dẫn tới đánh cắp OTP hoặc thậm chí điều khiển từ xa.
• Lừa đảo thanh toán · chuyển tiền: Dùng QR tài khoản · đơn vị chấp nhận thanh toán bị làm giả để khiến người dùng chuyển tiền tới nơi khác.

4. Biện pháp đối phó

Do tính che giấu đích đến, cốt lõi đối phó với Qshing không phải "kiểm chứng sau khi quét" mà là "kiểm chứng trước khi truy cập · trước khi nhập". Đối phó được chia thành phòng thủ nhiều lớp từ phía người dùng · kỹ thuật · tổ chức.

• Phía người dùng: Hạn chế quét QR có nguồn gốc không rõ ràng (miếng dán ngoài đường, email spam), và sau khi quét nhất thiết phải kiểm tra xem trước URL thay vì để tự động mở. Thói quen truy cập trực tiếp qua ứng dụng chính thức · dấu trang thay vì QR khi thanh toán · đăng nhập là an toàn nhất.
• Phía kỹ thuật: Ứng dụng quét QR hiển thị URL trước khi truy cập, và chặn tên miền độc hại bằng tra cứu danh tiếng (reputation) dựa trên tình báo mối đe dọa. Kiểm soát việc cài ứng dụng độc hại bằng phần mềm diệt virus · MDM.
• Phía tổ chức · dịch vụ: Định kỳ kiểm tra tính toàn vẹn (có bị sửa đổi không) của QR đã niêm yết, ngăn làm giả · sửa đổi bằng QR xác thực có chữ ký điện tử, và song hành các chiến dịch nâng cao nhận thức người dùng.

5. Những điểm cần cân nhắc và hàm ý

QR có tính che giấu đích đến cao nên thiệt hại thường chỉ được nhận biết sau khi đã xảy ra, vì vậy dưới góc nhìn Kỹ sư chuyên nghiệp (Professional Engineer), then chốt là kiến trúc phòng ngừa lấy kiểm chứng trước làm trung tâm. Thứ nhất, kết hợp với nguyên tắc Zero Trust không tin bất kỳ truy cập nào, coi cả việc truy cập sau khi quét QR là đối tượng kiểm chứng liên tục. Thứ hai, liên kết bảo mật di động (EDR · MDM · diệt virus di động) với tình báo mối đe dọa để chặn thời gian thực tên miền · ứng dụng độc hại. Thứ ba, đưa chữ ký điện tử · QR động (dùng một lần) vào QR dùng cho thanh toán · xác thực để vô hiệu hóa ngay từ gốc việc làm giả · sửa đổi. Rốt cuộc, Qshing là vấn đề bảo mật đan xen giữa con người và công nghệ, chỉ giảm được khi nhận thức người dùng · thiết kế dịch vụ · quy định cùng song hành chứ không phải chỉ riêng công nghệ.

Tóm tắt một câu: Qshing là hình thức lừa đảo lợi dụng tính che giấu đích đến của mã QR để dẫn tới trang web · ứng dụng độc hại và đánh cắp thông tin; trước các thủ đoạn như dán đè miếng dán, QR trong email, ứng dụng độc hại, cốt lõi là phòng ngừa trước như hạn chế quét QR không rõ nguồn gốc, kiểm chứng URL trước khi truy cập và bảo đảm toàn vẹn QR dựa trên chữ ký.