Trong thời gian gần đây, tình trạng lừa đảo qua giọng nói (Vishing) đang gia tăng mạnh mẽ trên toàn cầu và tại Việt Nam. Không cần sử dụng mã độc hay kỹ thuật tấn công phức tạp, kẻ lừa đảo chỉ dựa vào giọng nói, tâm lý nạn nhân và cảm giác cấp bách để chiếm đoạt thông tin hoặc tiền bạc.
Đáng lo hơn, các cuộc tấn công Vishing ngày nay không chỉ diễn ra qua điện thoại thông thường – chúng đã mở rộng sang email, tệp PDF, hình ảnh, và thậm chí cả video MP4/WebP để đánh lừa người dùng, khiến nạn nhân tự gọi lại và rơi vào bẫy.
Vishing hoạt động như thế nào?
Khác với các hình thức lừa đảo truyền thống, vishing hiện đại thường được triển khai theo mô hình tấn công đa kênh (multimedia attack), kết hợp nhiều phương tiện để tăng độ tin cậy giả mạo.
Mô hình luồng tấn công vishing đa kênh theo phân tích từ Trellix
Cách vishing hoạt động
- Gửi email mồi nhử
Email có thể ở dạng:- Nội dung văn bản thông thường
- Tệp PDF đính kèm
- Hình ảnh (JPEG/PNG)
- Hoặc tệp đa phương tiện (MP4/WebP)
- Cài sẵn số điện thoại giả mạo
Trong email hoặc tệp đính kèm luôn có một số điện thoại giả danh hỗ trợ khách hàng (ngân hàng, PayPal, nhà cung cấp dịch vụ…). - Nạn nhân tự gọi lại
Vì tin rằng đây là số liên hệ chính thức, người dùng chủ động gọi, làm giảm mức độ cảnh giác. - Giả danh nhân viên hỗ trợ & tạo áp lực
Kẻ tấn công giả làm nhân viên CSKH, đưa ra kịch bản cấp bách:- Giao dịch bất thường
- Hóa đơn cần hủy gấp
- Tài khoản sắp bị khóa
- Chiếm đoạt thông tin
Nạn nhân bị thuyết phục cung cấp:- Thông tin đăng nhập
- Mã OTP
- Dữ liệu thanh toán
- Ngắt liên lạc
Sau khi lấy được thông tin, kẻ lừa đảo cắt liên lạc.
Thiệt hại chỉ được phát hiện khi tài khoản phát sinh giao dịch bất thường.
Các kỹ thuật Vishing phổ biến
Các kỹ thuật vishing phổ biến qua email theo nghiên cứu của Trellix
|
Kỹ thuật |
Mô tả |
| Email nội dung văn bản | Email chứa thông tin cảnh báo giả kèm số hotline để người dùng gọi. |
| Tệp PDF đính kèm | PDF trông giống thông báo chính thức, trong đó chứa số điện thoại giả. |
| Hình ảnh (JPEG/PNG) | Số điện thoại được nhúng trực tiếp vào ảnh, khiến người nhận tin rằng đó là liên hệ hợp pháp. |
Các kỹ thuật này không nhất thiết chứa mã độc, vì mục tiêu là khiến nạn nhân tự hành động.
Đọc thêm: Xu hướng mới 2025 của những mối đe doạ ATTT
Đặc điểm Vishing được quan sát trong dữ liệu Trellix
Theo dữ liệu của Trellix, từ khóa “PayPal” xuất hiện với tần suất cao nhất trong các chiến dịch vishing.
Phân bố các đặc điểm vishing phổ biến theo dữ liệu nghiên cứu của Trellix
Nguyên nhân:
- PayPal liên quan trực tiếp đến giao dịch tài chính
- Dễ tạo cảm giác lo ngại và cấp bách
- Khiến nạn nhân phản ứng nhanh, thiếu kiểm chứng
Tại Việt Nam, mô hình này thường được bản địa hóa dưới dạng:
- Ngân hàng
- Ví điện tử
- Sàn thương mại điện tử
- Nhà mạng
Kỹ thuật Vishing mới: Tệp đính kèm MP4 và WebP
Trellix phát hiện các chiến dịch vishing sử dụng:
- Tệp MP4 (video hóa đơn PayPal giả)
- Tệp WebP (hình ảnh thông báo đơn hàng PayPal giả)
Vì sao kỹ thuật này hiệu quả:
- MP4 và WebP thường được coi là tệp đa phương tiện vô hại, khiến:
- hệ thống bảo mật ít cảnh giác hơn
- người dùng dễ mở tệp vì tò mò
Ví dụ thực tế từ Trellix:
- MP4: “QCFT-01031D15.mp4”
- WebP: “0rderConfirmation#023#WDH3O4M9M7.webp”
Cả hai đều chứa số điện thoại lừa đảo và hướng dẫn người dùng gọi ngay để hủy giao dịch.
Tác hại của Vishing
Vishing không chỉ gây mất tiền tức thời mà còn kéo theo nhiều hệ lụy lâu dài:
- Mất thông tin đăng nhập tài khoản
- Rò rỉ dữ liệu tài chính nhạy cảm
- Giao dịch trái phép diễn ra âm thầm
- Mất thời gian, chi phí xử lý sự cố
- Ảnh hưởng đến uy tín cá nhân và doanh nghiệp
Đối với doanh nghiệp, chỉ cần một nhân viên bị lừa cũng có thể mở đường cho các tấn công sâu hơn vào hệ thống nội bộ.
Dấu hiệu nhận biết lừa đảo qua giọng nói (Vishing)
- Yêu cầu cung cấp OTP, mật khẩu, mã xác thực qua điện thoại
- Tạo cảm giác cấp bách hoặc đe dọa
- Thúc giục hành động ngay, không cho thời gian kiểm chứng
- Email chứa tệp MP4 / WebP / PDF bất thường
- Email đến từ tài khoản miễn phí (freemail)
Làm thế nào để phòng tránh?
Đối với người dùng
- Luôn xác minh số điện thoại trên website chính thức
- Không cung cấp OTP, mật khẩu qua điện thoại
- Cảnh giác với email có tệp đa phương tiện lạ
- Ngắt cuộc gọi và chủ động gọi lại tổng đài chính thức
Đối với doanh nghiệp
- Đào tạo nhận thức an toàn thông tin cho nhân viên
- Áp dụng xác thực đa yếu tố (MFA)
- Triển khai hệ thống giám sát email và hành vi người dùng
Theo Trellix, các giải pháp như Trellix Email Security có thể:
- Phát hiện email vishing trước khi tới hộp thư
- Nhận diện các mẫu tấn công dùng MP4/WebP thông qua chữ ký (signatures)
FAQ – Câu hỏi thường gặp
Vishing có phải là lừa đảo qua điện thoại không?
Đúng, nhưng nhiều chiến dịch vishing hiện nay bắt đầu từ email, hình ảnh, PDF hoặc video, sau đó dẫn nạn nhân sang cuộc gọi.
Tại sao trong các vụ Vishing, kẻ lừa đảo thường giả mạo PayPal hoặc dịch vụ tài chính?
Vì các thông báo liên quan đến PayPal và giao dịch tài chính dễ tạo cảm giác khẩn cấp, khiến nạn nhân lo lắng và phản ứng vội vàng mà không kịp kiểm chứng thông tin.
Vì sao tệp MP4/WebP trong các chiến dịch Vishing khó bị phát hiện hơn?
Do MP4 và WebP là tệp đa phương tiện, thường không bị quét nghiêm ngặt như tệp thực thi hoặc tài liệu chứa macro, khiến cả người dùng lẫn hệ thống bảo mật dễ chủ quan.
Kết luận
Tác hại của vishing không chỉ nằm ở việc mất tiền hay rò rỉ thông tin cá nhân, mà còn ở khả năng khai thác tâm lý con người và mở rộng sang các hình thức tấn công tinh vi hơn. Trong bối cảnh tội phạm mạng ngày càng tận dụng email, video và giọng nói giả mạo, nâng cao nhận thức và áp dụng các biện pháp bảo vệ phù hợp là yếu tố then chốt để giảm thiểu rủi ro.
Với kinh nghiệm triển khai các giải pháp an ninh mạng cho doanh nghiệp tại Việt Nam, Mi2 đồng hành cùng khách hàng trong việc nhận diện rủi ro, tăng cường khả năng phòng chống vishing và bảo vệ dữ liệu trước các mối đe dọa hiện đại.
