Một câu chuyện vừa được một Facebooker chia sẻ khiến nhiều người phải cảnh giác. Điều đáng sợ là nạn nhân không phải người nhẹ dạ cả tin. Ngay từ đầu, người này đã nghi ngờ cuộc gọi lạ, còn chủ động khuyên mẹ đến trực tiếp cơ quan điện lực để xác minh. Bản thân cũng từng đọc rất nhiều cảnh báo lừa đảo, xem các bộ phim về những đường dây lừa người qua mạng và luôn nghĩ mình đủ tỉnh táo để không mắc bẫy.
Thế nhưng, cuối cùng người này vẫn mất sạch tiền trong tài khoản chỉ sau hơn một giờ bị dẫn dắt.
Mọi chuyện bắt đầu từ một cuộc gọi tự xưng là nhân viên điện lực.
Theo chia sẻ, mẹ của người này nhận được cuộc gọi từ một người đàn ông giới thiệu là nhân viên điện lực, thông báo có thể tích hợp thông tin hóa đơn tiền điện vào VNeID để thuận tiện cho việc thanh toán tự động sau này.
Người con ban đầu khá cảnh giác, khuyên mẹ hôm sau đến trực tiếp trụ sở điện lực trên đường Tôn Đức Thắng để hỏi cho rõ. Tuy nhiên, khi đã đến nơi theo địa chỉ được hướng dẫn, gọi lại số điện thoại kia, người tự xưng nhân viên điện lực giải thích rằng hôm nay đã hết giờ làm, nhưng anh ta vừa mang máy tính công ty về nhà nên vẫn có thể hướng dẫn từ xa.
Người mẹ muốn hoàn thành việc liên kết cho yên tâm nên người con quyết định tự cầm điện thoại làm thay.
Kẻ gian bắt đầu hướng dẫn tải ứng dụng EVNHANOI, điền thông tin và địa chỉ email. Sau đó, chúng yêu cầu nạn nhân sử dụng camera sau để quay màn hình điện thoại, rồi đề nghị chia sẻ màn hình để tiện hướng dẫn và xác minh.
Cuộc gọi kéo dài hơn một giờ. Trong suốt thời gian đó, nạn nhân liên tục được yêu cầu thoát ra, đăng nhập lại, quay về ứng dụng và điền thông tin theo hướng dẫn.
Khi đã bị cuốn vào quy trình này, kẻ gian chuyển sang yêu cầu mở tài khoản Techcombank, hướng dẫn chuyển toàn bộ tiền sang tài khoản MB của chính nạn nhân. Lý do được đưa ra là để tích hợp thanh toán hóa đơn điện trực tiếp với ngân hàng, đồng thời chuẩn bị cho trường hợp có đội thợ điện đến kiểm tra hợp đồng và phát sinh phí.
Nạn nhân có chút thắc mắc vì hàng tháng vẫn tự thanh toán tiền điện bình thường, không cần tích hợp thêm. Nhưng vì nghĩ rằng mình chỉ chuyển tiền giữa hai tài khoản cùng đứng tên, không chuyển cho người lạ nên vẫn làm theo.
Đây chính là lúc thiệt hại bắt đầu.
Theo lời kể, tài khoản MB của nạn nhân đã liên kết với ZaloPay. Trong khi đó, ví điện tử này lại được sử dụng làm phương thức thanh toán trên nhiều dịch vụ khác nhau như Shopee, Grab... Trong lúc người này vẫn mải làm theo hướng dẫn trên điện thoại, gần 20 giao dịch lần lượt phát sinh, khiến số tiền trong tài khoản bị rút sạch.
Nạn nhân cho biết không nhận ra các khoản tiền đang bị trừ trong lúc cuộc gọi diễn ra. Chỉ đến khi kết thúc, quay về màn hình chính, người này mới nhìn thấy hàng loạt thông báo biến động số dư từ MB.
Nhưng câu chuyện vẫn chưa dừng lại. Kẻ gian tiếp tục yêu cầu quét một mã QR để thực hiện giao dịch 21.012 đồng. Trước đó, chúng còn hướng dẫn đặt căn cước công dân lên màn hình điện thoại để quét chip, mô phỏng quy trình xác thực thường thấy trong các ứng dụng chính thống.
Lần này, khi nhìn thấy tên người nhận chuyển khoản hiện lên là TRINH QUOC TUAN, nạn nhân mới nhận ra mình bị lừa và lập tức cúp máy.
Trớ trêu hơn, người này còn gọi điện cho bạn bè, tự tin kể rằng vừa gặp một vụ lừa đảo nhưng đã kịp phát hiện, không để chúng lấy được tiền. Chỉ vài phút sau, khi nhìn lại màn hình điện thoại với gần 20 thông báo trừ tiền từ MB, nạn nhân mới biết mình đã mất sạch tiền từ lúc nào.
1. Mượn danh một dịch vụ thiết yếu để tạo lòng tin
Điện, nước, hóa đơn sinh hoạt và VNeID đều là những thứ gần gũi với mọi gia đình. Việc tích hợp hóa đơn điện vào ứng dụng định danh để thanh toán thuận tiện nghe không có gì bất thường. Kẻ gian không bắt đầu bằng chuyện tiền bạc mà đưa ra một công việc có vẻ hữu ích, khiến nạn nhân tự nguyện tham gia.
2. Vượt qua sự nghi ngờ bằng cách tỏ ra sẵn sàng hỗ trợ
Khi nạn nhân đề nghị đến trực tiếp cơ quan điện lực, kẻ gian không phản ứng gay gắt hay thúc ép. Nạn nhân đến đúng địa chỉ thật. Chúng chỉ đưa ra lý do đã hết giờ làm nhưng vẫn có thể hướng dẫn từ xa. Cách ứng xử bình tĩnh, nhiệt tình này khiến người nghe dễ nghĩ rằng mình đang được hỗ trợ bởi một nhân viên có trách nhiệm.
3. Dùng hàng loạt thao tác nhỏ để chiếm sự tập trung
Tải ứng dụng, điền email, nhập thông tin, quay camera, chia sẻ màn hình, thoát ra rồi đăng nhập lại... Những việc này nối tiếp nhau khiến nạn nhân phải liên tục tập trung vào hướng dẫn. Đây là một dạng thao túng tâm lý đáng sợ: thay vì để nạn nhân có thời gian suy nghĩ xem toàn bộ quy trình có hợp lý không, kẻ gian khiến họ bận rộn xử lý từng yêu cầu trước mắt. Cuộc gọi kéo dài hơn một giờ cũng khiến nạn nhân ngày càng bị cuốn vào những gì mình đang làm.
4. Lợi dụng suy nghĩ chuyển tiền cho chính mình thì không thể mất tiền
Đây có lẽ là nút thắt quan trọng nhất. Nạn nhân không được yêu cầu chuyển tiền cho người lạ mà chỉ chuyển từ tài khoản Techcombank sang tài khoản MB cùng đứng tên. Vì thế, thao tác này không tạo ra cảm giác nguy hiểm. Nhưng việc tiền vẫn nằm trong tài khoản của mình không có nghĩa là các kênh thanh toán liên kết với tài khoản đó cũng an toàn. Nếu kẻ gian đã chiếm được quyền truy cập hoặc khai thác được một phương thức thanh toán liên kết, tiền vẫn có thể bị sử dụng trái phép.
5. Lợi dụng những liên kết thanh toán mà chủ tài khoản ít khi kiểm tra
Chi tiết tài khoản MB liên kết với ZaloPay và các dịch vụ khác như Shopee, Grab... rất đáng chú ý. Một tài khoản ngân hàng có thể kết nối với ví điện tử, sau đó ví lại được sử dụng để thanh toán trên nhiều nền tảng. Người dùng có thể không thường xuyên mở ví để kiểm tra lịch sử giao dịch, các dịch vụ đã liên kết hay phương thức thanh toán đang hoạt động. Trong vụ việc này, nạn nhân cho biết gần 20 giao dịch được thực hiện qua ZaloPay nhưng không nhận ra tiền đang bị trừ trong lúc làm theo hướng dẫn.
Không thể từ câu chuyện này kết luận ZaloPay có lỗ hổng bảo mật. Tuy nhiên, nó cho thấy một vấn đề thực tế: càng có nhiều kênh thanh toán liên kết, người dùng càng khó theo dõi và kiểm soát toàn bộ dòng tiền nếu không thường xuyên kiểm tra. Đặc biệt, nếu chỉ sử dụng ví thông qua Zalo mà không cài ứng dụng riêng, người dùng có thể ít chủ động kiểm tra lịch sử giao dịch và thông báo thanh toán. Không nên mặc định rằng mọi giao dịch liên kết đều sẽ có thông báo nhắc nhở rõ ràng, kịp thời tại nơi mình thường theo dõi.
6. Tiếp tục khai thác tâm lý ngay cả khi tiền đã bị rút
Sau khi các giao dịch lớn đã diễn ra, kẻ gian vẫn tiếp tục yêu cầu quét mã QR và xác thực căn cước công dân. Có thể thấy chúng không chỉ tìm cách lấy tiền mà còn cố gắng duy trì sự hợp tác của nạn nhân đến phút cuối. Nếu không nhìn thấy tên người nhận bất thường, người này có thể tiếp tục làm theo những yêu cầu tiếp theo.
Có một số nguyên tắc người dùng nên nhớ:
Một điều nữa rất quan trọng: hãy chia sẻ những câu chuyện như thế này với cha mẹ, người thân lớn tuổi. Đôi khi người bị kẻ gian tiếp cận ban đầu không phải chúng ta, nhưng chính chúng ta lại là người cầm điện thoại làm theo hướng dẫn và vô tình trở thành nạn nhân. Đừng nghĩ rằng mình sẽ không bao giờ bị lừa chỉ vì mình đủ thông minh để nhận ra những lời nói dối. Trong những vụ việc tinh vi, thứ bị lợi dụng không chỉ là lòng tin mà còn là sự tập trung, thói quen sử dụng công nghệ và cả cảm giác tự tin rằng mình đang kiểm soát được tình hình.
Thế nhưng, cuối cùng người này vẫn mất sạch tiền trong tài khoản chỉ sau hơn một giờ bị dẫn dắt.
Mọi chuyện bắt đầu từ một cuộc gọi tự xưng là nhân viên điện lực.
Theo chia sẻ, mẹ của người này nhận được cuộc gọi từ một người đàn ông giới thiệu là nhân viên điện lực, thông báo có thể tích hợp thông tin hóa đơn tiền điện vào VNeID để thuận tiện cho việc thanh toán tự động sau này.
Người con ban đầu khá cảnh giác, khuyên mẹ hôm sau đến trực tiếp trụ sở điện lực trên đường Tôn Đức Thắng để hỏi cho rõ. Tuy nhiên, khi đã đến nơi theo địa chỉ được hướng dẫn, gọi lại số điện thoại kia, người tự xưng nhân viên điện lực giải thích rằng hôm nay đã hết giờ làm, nhưng anh ta vừa mang máy tính công ty về nhà nên vẫn có thể hướng dẫn từ xa.
Người mẹ muốn hoàn thành việc liên kết cho yên tâm nên người con quyết định tự cầm điện thoại làm thay.
Kẻ gian bắt đầu hướng dẫn tải ứng dụng EVNHANOI, điền thông tin và địa chỉ email. Sau đó, chúng yêu cầu nạn nhân sử dụng camera sau để quay màn hình điện thoại, rồi đề nghị chia sẻ màn hình để tiện hướng dẫn và xác minh.
Cuộc gọi kéo dài hơn một giờ. Trong suốt thời gian đó, nạn nhân liên tục được yêu cầu thoát ra, đăng nhập lại, quay về ứng dụng và điền thông tin theo hướng dẫn.
Khi đã bị cuốn vào quy trình này, kẻ gian chuyển sang yêu cầu mở tài khoản Techcombank, hướng dẫn chuyển toàn bộ tiền sang tài khoản MB của chính nạn nhân. Lý do được đưa ra là để tích hợp thanh toán hóa đơn điện trực tiếp với ngân hàng, đồng thời chuẩn bị cho trường hợp có đội thợ điện đến kiểm tra hợp đồng và phát sinh phí.
Nạn nhân có chút thắc mắc vì hàng tháng vẫn tự thanh toán tiền điện bình thường, không cần tích hợp thêm. Nhưng vì nghĩ rằng mình chỉ chuyển tiền giữa hai tài khoản cùng đứng tên, không chuyển cho người lạ nên vẫn làm theo.
Đây chính là lúc thiệt hại bắt đầu.
Theo lời kể, tài khoản MB của nạn nhân đã liên kết với ZaloPay. Trong khi đó, ví điện tử này lại được sử dụng làm phương thức thanh toán trên nhiều dịch vụ khác nhau như Shopee, Grab... Trong lúc người này vẫn mải làm theo hướng dẫn trên điện thoại, gần 20 giao dịch lần lượt phát sinh, khiến số tiền trong tài khoản bị rút sạch.
Nạn nhân cho biết không nhận ra các khoản tiền đang bị trừ trong lúc cuộc gọi diễn ra. Chỉ đến khi kết thúc, quay về màn hình chính, người này mới nhìn thấy hàng loạt thông báo biến động số dư từ MB.
Nhưng câu chuyện vẫn chưa dừng lại. Kẻ gian tiếp tục yêu cầu quét một mã QR để thực hiện giao dịch 21.012 đồng. Trước đó, chúng còn hướng dẫn đặt căn cước công dân lên màn hình điện thoại để quét chip, mô phỏng quy trình xác thực thường thấy trong các ứng dụng chính thống.
Lần này, khi nhìn thấy tên người nhận chuyển khoản hiện lên là TRINH QUOC TUAN, nạn nhân mới nhận ra mình bị lừa và lập tức cúp máy.
Trớ trêu hơn, người này còn gọi điện cho bạn bè, tự tin kể rằng vừa gặp một vụ lừa đảo nhưng đã kịp phát hiện, không để chúng lấy được tiền. Chỉ vài phút sau, khi nhìn lại màn hình điện thoại với gần 20 thông báo trừ tiền từ MB, nạn nhân mới biết mình đã mất sạch tiền từ lúc nào.
Vì sao kẻ lừa đảo có thể thao túng một người vốn rất cảnh giác?
Điều đáng chú ý trong vụ việc này là kẻ gian không dùng một lời nói dối duy nhất để thuyết phục nạn nhân. Chúng xây dựng cả một quy trình, trong đó mỗi bước đều có vẻ hợp lý nếu chỉ nhìn riêng lẻ.1. Mượn danh một dịch vụ thiết yếu để tạo lòng tin
Điện, nước, hóa đơn sinh hoạt và VNeID đều là những thứ gần gũi với mọi gia đình. Việc tích hợp hóa đơn điện vào ứng dụng định danh để thanh toán thuận tiện nghe không có gì bất thường. Kẻ gian không bắt đầu bằng chuyện tiền bạc mà đưa ra một công việc có vẻ hữu ích, khiến nạn nhân tự nguyện tham gia.
2. Vượt qua sự nghi ngờ bằng cách tỏ ra sẵn sàng hỗ trợ
Khi nạn nhân đề nghị đến trực tiếp cơ quan điện lực, kẻ gian không phản ứng gay gắt hay thúc ép. Nạn nhân đến đúng địa chỉ thật. Chúng chỉ đưa ra lý do đã hết giờ làm nhưng vẫn có thể hướng dẫn từ xa. Cách ứng xử bình tĩnh, nhiệt tình này khiến người nghe dễ nghĩ rằng mình đang được hỗ trợ bởi một nhân viên có trách nhiệm.
3. Dùng hàng loạt thao tác nhỏ để chiếm sự tập trung
Tải ứng dụng, điền email, nhập thông tin, quay camera, chia sẻ màn hình, thoát ra rồi đăng nhập lại... Những việc này nối tiếp nhau khiến nạn nhân phải liên tục tập trung vào hướng dẫn. Đây là một dạng thao túng tâm lý đáng sợ: thay vì để nạn nhân có thời gian suy nghĩ xem toàn bộ quy trình có hợp lý không, kẻ gian khiến họ bận rộn xử lý từng yêu cầu trước mắt. Cuộc gọi kéo dài hơn một giờ cũng khiến nạn nhân ngày càng bị cuốn vào những gì mình đang làm.
4. Lợi dụng suy nghĩ chuyển tiền cho chính mình thì không thể mất tiền
Đây có lẽ là nút thắt quan trọng nhất. Nạn nhân không được yêu cầu chuyển tiền cho người lạ mà chỉ chuyển từ tài khoản Techcombank sang tài khoản MB cùng đứng tên. Vì thế, thao tác này không tạo ra cảm giác nguy hiểm. Nhưng việc tiền vẫn nằm trong tài khoản của mình không có nghĩa là các kênh thanh toán liên kết với tài khoản đó cũng an toàn. Nếu kẻ gian đã chiếm được quyền truy cập hoặc khai thác được một phương thức thanh toán liên kết, tiền vẫn có thể bị sử dụng trái phép.
5. Lợi dụng những liên kết thanh toán mà chủ tài khoản ít khi kiểm tra
Chi tiết tài khoản MB liên kết với ZaloPay và các dịch vụ khác như Shopee, Grab... rất đáng chú ý. Một tài khoản ngân hàng có thể kết nối với ví điện tử, sau đó ví lại được sử dụng để thanh toán trên nhiều nền tảng. Người dùng có thể không thường xuyên mở ví để kiểm tra lịch sử giao dịch, các dịch vụ đã liên kết hay phương thức thanh toán đang hoạt động. Trong vụ việc này, nạn nhân cho biết gần 20 giao dịch được thực hiện qua ZaloPay nhưng không nhận ra tiền đang bị trừ trong lúc làm theo hướng dẫn.
Không thể từ câu chuyện này kết luận ZaloPay có lỗ hổng bảo mật. Tuy nhiên, nó cho thấy một vấn đề thực tế: càng có nhiều kênh thanh toán liên kết, người dùng càng khó theo dõi và kiểm soát toàn bộ dòng tiền nếu không thường xuyên kiểm tra. Đặc biệt, nếu chỉ sử dụng ví thông qua Zalo mà không cài ứng dụng riêng, người dùng có thể ít chủ động kiểm tra lịch sử giao dịch và thông báo thanh toán. Không nên mặc định rằng mọi giao dịch liên kết đều sẽ có thông báo nhắc nhở rõ ràng, kịp thời tại nơi mình thường theo dõi.
6. Tiếp tục khai thác tâm lý ngay cả khi tiền đã bị rút
Sau khi các giao dịch lớn đã diễn ra, kẻ gian vẫn tiếp tục yêu cầu quét mã QR và xác thực căn cước công dân. Có thể thấy chúng không chỉ tìm cách lấy tiền mà còn cố gắng duy trì sự hợp tác của nạn nhân đến phút cuối. Nếu không nhìn thấy tên người nhận bất thường, người này có thể tiếp tục làm theo những yêu cầu tiếp theo.
Bài học rút ra: Đừng chỉ cảnh giác với số điện thoại lạ, hãy cảnh giác với cả những thao tác mình được yêu cầu thực hiện
Vụ việc cho thấy một người có hiểu biết, từng đọc nhiều cảnh báo và có phản xạ nghi ngờ vẫn có thể trở thành nạn nhân. Bởi kẻ gian không nhất thiết phải khiến bạn tin tưởng hoàn toàn. Chúng chỉ cần khiến bạn tin rằng từng thao tác riêng lẻ mình đang thực hiện đều vô hại.Có một số nguyên tắc người dùng nên nhớ:
- Không làm theo hướng dẫn cài ứng dụng, chia sẻ màn hình hoặc cấp quyền điều khiển điện thoại từ người gọi đến tự xưng là nhân viên điện lực, ngân hàng hay cơ quan nhà nước.
- Không cung cấp OTP, mật khẩu, thông tin đăng nhập hoặc quét mã QR theo yêu cầu của người lạ qua điện thoại.
- Không chuyển tiền giữa các tài khoản chỉ vì người gọi yêu cầu để xác minh, tích hợp hay kích hoạt dịch vụ.
- Khi cần liên kết hóa đơn điện, nước, hãy tự tìm ứng dụng và kênh liên hệ chính thức của đơn vị cung cấp dịch vụ. Không sử dụng số điện thoại hoặc đường dẫn do người gọi cung cấp.
- Rà soát lại các ví điện tử đang liên kết với ngân hàng và những dịch vụ thanh toán đã kết nối. Dịch vụ nào không thực sự cần thiết thì nên ngắt kết nối. Không nhất thiết phải liên kết ví điện tử với tất cả nền tảng mua sắm, gọi xe hay dịch vụ trực tuyến chỉ vì tiện lợi.
- Tiền điện, tiền nước hoàn toàn có thể thanh toán trực tiếp qua ứng dụng ngân hàng. Không cần tạo thêm các liên kết trung gian nếu không có nhu cầu.
Một điều nữa rất quan trọng: hãy chia sẻ những câu chuyện như thế này với cha mẹ, người thân lớn tuổi. Đôi khi người bị kẻ gian tiếp cận ban đầu không phải chúng ta, nhưng chính chúng ta lại là người cầm điện thoại làm theo hướng dẫn và vô tình trở thành nạn nhân. Đừng nghĩ rằng mình sẽ không bao giờ bị lừa chỉ vì mình đủ thông minh để nhận ra những lời nói dối. Trong những vụ việc tinh vi, thứ bị lợi dụng không chỉ là lòng tin mà còn là sự tập trung, thói quen sử dụng công nghệ và cả cảm giác tự tin rằng mình đang kiểm soát được tình hình.
