Phần lớn mã độc trên điện thoại không tự lây vào máy; nó được chính người dùng cài đặt, thường theo hướng dẫn của kẻ gian qua điện thoại hoặc qua một đường dẫn trong tin nhắn. Ứng dụng giả mạo mang tên và biểu tượng của dịch vụ công, ngân hàng, nhà mạng hay công ty điện lực, được tải từ trang web lạ thay vì kho ứng dụng chính thức. Sau khi được cấp quyền, đặc biệt là quyền trợ năng, nó có thể đọc màn hình, đọc tin nhắn chứa mã OTP và tự thao tác thay người dùng.
Quy tắc phòng vệ cốt lõi gồm ba điều: chỉ cài ứng dụng từ kho chính thức và từ nhà phát triển đúng; không cấp quyền trợ năng cho ứng dụng không phải công cụ hỗ trợ tiếp cận thật sự; và không bao giờ cài ứng dụng theo yêu cầu của người gọi điện, dù họ xưng là ai.
Bài này giải thích cơ chế các loại mã độc phổ biến trên điện thoại, các quyền nguy hiểm, khác biệt giữa Android và iPhone, dấu hiệu máy đã bị chiếm và quy trình xử lý.
Kịch bản điển hình: từ cuộc gọi tới tài khoản bị rút tiền
Một kịch bản đã được cơ quan chức năng và ngân hàng tại Việt Nam cảnh báo nhiều lần diễn ra như sau. Kẻ gian gọi điện, giả danh cơ quan nhà nước hoặc doanh nghiệp cung cấp dịch vụ, nói rằng hồ sơ của bạn cần cập nhật, hoá đơn có sai sót hoặc bạn được hoàn tiền. Họ gửi một đường dẫn qua tin nhắn hoặc ứng dụng nhắn tin để bạn "tải ứng dụng chính thức".
Đường dẫn dẫn tới một trang web giống trang thật, cho tải về một tệp cài đặt. Trên Android, đó thường là tệp APK; người dùng được hướng dẫn bật cho phép cài từ nguồn không xác định. Ứng dụng mở ra với giao diện quen thuộc, rồi yêu cầu cấp một loạt quyền, trong đó có quyền trợ năng, với lời giải thích như "để hệ thống tự động điền hồ sơ".
Từ lúc đó, ứng dụng có thể hiển thị màn hình giả che lên ứng dụng ngân hàng để lấy mật khẩu, đọc tin nhắn chứa mã OTP, và trong các biến thể nguy hiểm hơn, nhận lệnh điều khiển từ xa để tự mở ứng dụng ngân hàng và thao tác chuyển tiền trong lúc màn hình điện thoại bị che bằng một lớp đen hoặc giao diện "đang cập nhật". Nạn nhân thường được yêu cầu giữ máy, không tắt, trong khi việc chuyển tiền diễn ra.
Điểm then chốt của toàn bộ chuỗi là người dùng tự tay vượt qua các lớp bảo vệ của hệ điều hành. Vì vậy biện pháp mạnh nhất không phải phần mềm diệt virus mà là quy tắc hành vi rõ ràng.
Các quyền nguy hiểm và dấu hiệu bị lạm dụng
Hệ điều hành chia quyền thành nhiều mức. Bảng dưới liệt kê các quyền mà mã độc thường đòi, kèm câu hỏi bạn nên tự đặt ra trước khi đồng ý.
| Quyền | Cho phép ứng dụng làm gì | Hỏi trước khi cấp |
|---|---|---|
| Trợ năng (Accessibility) | Đọc mọi nội dung trên màn hình, bấm nút, nhập chữ thay người dùng | Đây có thật là công cụ hỗ trợ người khuyết tật hoặc ứng dụng bạn chủ động tìm không? Nếu không, từ chối. |
| Hiển thị trên ứng dụng khác | Vẽ lớp phủ lên màn hình của ứng dụng khác | Ứng dụng này có lý do gì để che lên ứng dụng ngân hàng? |
| Đọc và nhận tin nhắn SMS | Đọc mã OTP và tin nhắn ngân hàng | Chỉ ứng dụng nhắn tin mặc định mới cần quyền này. |
| Quản trị thiết bị | Khoá màn hình, xoá dữ liệu, chống gỡ cài đặt | Gần như chỉ phần mềm quản lý thiết bị của cơ quan, doanh nghiệp mới cần. |
| Truy cập thông báo | Đọc nội dung mọi thông báo, kể cả mã OTP hiện trong thông báo | Ứng dụng này có phải đồng hồ thông minh hay công cụ bạn tin tưởng không? |
| Cài ứng dụng không rõ nguồn | Cho phép ứng dụng hoặc trình duyệt cài thêm ứng dụng khác | Ai đang yêu cầu bạn bật quyền này, và vì sao? |
| Chia sẻ hoặc ghi màn hình | Truyền hình ảnh màn hình ra ngoài | Bạn có đang trong một cuộc gọi với người lạ không? |
Nhiều phiên bản Android gần đây đã hạn chế việc cấp quyền trợ năng cho ứng dụng cài từ nguồn ngoài kho, và hiện cảnh báo rõ hơn. Kẻ gian vì vậy hướng dẫn nạn nhân từng bước vượt qua các cảnh báo này. Mỗi cảnh báo bạn phải bấm qua theo lời người khác là một tín hiệu dừng.
Android và iPhone: khác nhau ở đâu
Android mở hơn, rủi ro cài ngoài kho lớn hơn. Android cho phép cài ứng dụng từ tệp APK ngoài kho chính thức sau khi người dùng bật quyền tương ứng. Đây là tính năng hợp pháp, hữu ích cho nhà phát triển và một số trường hợp đặc thù, nhưng cũng là đường vào chính của mã độc ngân hàng tại Việt Nam. Google Play Protect quét ứng dụng cả trong và ngoài kho, nhưng không bắt được mọi biến thể mới.
iPhone đóng hơn nhưng không miễn nhiễm. iOS mặc định chỉ cho cài ứng dụng từ App Store, nên mã độc kiểu APK gần như không áp dụng. Kẻ gian chuyển sang các đường khác: dụ cài hồ sơ cấu hình hoặc đăng ký thiết bị vào hệ thống quản lý thiết bị (MDM) của họ, dùng các kênh phân phối thử nghiệm, hoặc đơn giản là lừa chia sẻ màn hình trong cuộc gọi video để nhìn mã OTP. Ở một số khu vực, quy định mới buộc Apple mở cửa cho kho ứng dụng bên thứ ba, làm bức tranh thay đổi theo thời gian.
Ứng dụng giả trong chính kho chính thức. Kho chính thức không phải bộ lọc tuyệt đối. Thỉnh thoảng có ứng dụng sao chép tên, biểu tượng của ứng dụng nổi tiếng lọt qua kiểm duyệt. Kiểm tra tên nhà phát triển, số lượt tải, ngày phát hành và mở ứng dụng từ đường dẫn trên trang chính thức của tổ chức thay vì tìm theo tên.
Phần mềm theo dõi do người quen cài. Một nhóm rủi ro khác là stalkerware, phần mềm theo dõi do người có quyền tiếp cận máy, như vợ chồng, người yêu cũ, cài lén để đọc tin nhắn và theo dõi vị trí. Dấu hiệu và cách xử lý khác với mã độc lừa đảo, và an toàn của người bị theo dõi cần được cân nhắc trước khi gỡ, vì người cài sẽ biết.
Dấu hiệu điện thoại có thể đã bị chiếm
Không có dấu hiệu nào chắc chắn một trăm phần trăm, nhưng sự kết hợp của nhiều dấu hiệu dưới đây đáng được xử lý nghiêm túc:
- Có ứng dụng bạn không nhớ đã cài, hoặc ứng dụng không có biểu tượng trên màn hình chính nhưng vẫn xuất hiện trong danh sách ứng dụng của phần cài đặt.
- Mục trợ năng hoặc quản trị thiết bị có ứng dụng lạ đang được bật.
- Màn hình tự sáng, tự bấm, tự mở ứng dụng; hoặc có lúc màn hình đen, hiện "đang cập nhật" trong khi máy vẫn hoạt động.
- Pin tụt nhanh và máy nóng bất thường khi không dùng, lưu lượng dữ liệu di động tăng đột biến.
- Không nhận được tin nhắn OTP mà ngân hàng nói đã gửi, hoặc tin nhắn bị đánh dấu đã đọc.
- Không gỡ được một ứng dụng vì nút gỡ bị mờ hoặc ứng dụng tự đóng phần cài đặt mỗi khi bạn mở.
- Ngân hàng thông báo đăng nhập từ thiết bị lạ hoặc giao dịch bạn không thực hiện.
Pin yếu hay máy nóng riêng lẻ thường có nguyên nhân bình thường như pin chai hoặc ứng dụng nặng. Những dấu hiệu liên quan tới quyền trợ năng, ứng dụng ẩn và tin nhắn OTP biến mất mới là tín hiệu mạnh.
Xử lý khi nghi máy đã cài ứng dụng độc
Thứ tự các bước được sắp để chặn thiệt hại tài chính trước, rồi mới làm sạch thiết bị.
- Ngắt mạng ngay: bật chế độ máy bay, tắt Wi-Fi. Việc này cắt kênh điều khiển từ xa và ngăn dữ liệu tiếp tục bị gửi đi.
- Dùng một thiết bị khác gọi tổng đài chính thức của ngân hàng và ví điện tử để khoá tài khoản, khoá dịch vụ ngân hàng điện tử tạm thời.
- Trên máy nghi nhiễm, vào phần cài đặt, tắt quyền trợ năng và quyền quản trị thiết bị của ứng dụng lạ, rồi gỡ ứng dụng. Nếu không gỡ được, khởi động vào chế độ an toàn của Android (cách vào khác nhau theo hãng) để gỡ.
- Cân nhắc khôi phục cài đặt gốc. Đây là cách chắc chắn nhất khi đã cấp quyền trợ năng cho ứng dụng độc. Sao lưu ảnh và danh bạ trước, nhưng không khôi phục lại toàn bộ ứng dụng từ bản sao lưu một cách mù quáng.
- Từ một thiết bị sạch, đổi mật khẩu hộp thư, tài khoản Apple hoặc Google và các tài khoản quan trọng; đăng xuất mọi phiên.
- Đến ngân hàng để đăng ký lại thiết bị, Smart OTP và kiểm tra giao dịch; trình báo công an nếu đã mất tiền, kèm thông tin ứng dụng, đường dẫn tải và số điện thoại đã gọi cho bạn.
Thói quen phòng ngừa cho cả gia đình
Phần lớn biện pháp phòng ngừa hiệu quả không đòi hỏi kỹ thuật. Cập nhật hệ điều hành và ứng dụng ngay khi có bản mới, vì nhiều bản cập nhật vá chính các lỗ hổng mà mã độc khai thác. Giữ quyền cài đặt từ nguồn không xác định ở trạng thái tắt, và trên điện thoại của cha mẹ, có thể dùng tính năng quản lý gia đình hoặc chế độ bảo vệ nâng cao của hệ điều hành để chặn hẳn.
Rà danh sách quyền mỗi vài tháng. Cả Android và iOS đều có trang tổng hợp quyền theo loại: vị trí, micro, camera, trợ năng. Thu hồi những gì không cần thiết. Android còn có tính năng tự động thu hồi quyền của ứng dụng lâu không dùng; nên để bật.
Đặt một quy tắc gia đình duy nhất và nhắc lại thường xuyên: không ai, kể cả người xưng là cán bộ, nhân viên ngân hàng hay kỹ thuật viên, có lý do hợp pháp để yêu cầu bạn cài ứng dụng qua đường dẫn trong lúc đang nói chuyện điện thoại. Dịch vụ công và ngân hàng thật đều có ứng dụng trong kho chính thức và hướng dẫn trên trang chính thức; bạn có thể tự tìm sau khi cúp máy.
Cuối cùng, tách điện thoại dùng ngân hàng khỏi các hoạt động rủi ro là lựa chọn hợp lý với người thường xuyên thử ứng dụng mới, tải trò chơi từ nguồn lạ hoặc cho trẻ mượn máy. Một chiếc máy cũ chỉ cài ứng dụng ngân hàng và để ở nhà có thể giảm rủi ro đáng kể.
Câu hỏi thường gặp
Phần mềm diệt virus trên điện thoại có cần thiết không?
Với người chỉ cài ứng dụng từ kho chính thức và cập nhật đều, lớp bảo vệ có sẵn của hệ điều hành thường đủ. Phần mềm bảo mật uy tín có thể hữu ích trên Android cho người hay cài ứng dụng ngoài kho. Không phần mềm nào bù được việc tự tay cấp quyền trợ năng cho ứng dụng độc.
Ứng dụng ngân hàng phát hiện được mã độc không?
Nhiều ứng dụng ngân hàng tại Việt Nam đã bổ sung kiểm tra môi trường: từ chối chạy khi phát hiện ứng dụng đang dùng quyền trợ năng đáng ngờ, phần mềm điều khiển từ xa hoặc máy đã bị can thiệp hệ thống. Khi ứng dụng ngân hàng báo lỗi như vậy, đừng tìm cách vượt qua; hãy kiểm tra các ứng dụng đang có quyền nhạy cảm.
Bấm vào đường dẫn tải APK nhưng chưa cài thì có sao không?
Tệp tải về chưa cài thì chưa chạy. Hãy xoá tệp trong thư mục tải xuống và kiểm tra rằng quyền cài từ nguồn không xác định đang tắt. Nếu đã nhập thông tin cá nhân hay mật khẩu vào trang tải, xử lý như trường hợp nhập vào trang lừa đảo.
Khôi phục cài đặt gốc có xoá được mọi mã độc không?
Với phần lớn mã độc ứng dụng thông thường, có. Ngoại lệ hiếm là mã độc can thiệp sâu vào hệ thống hoặc máy đã cài sẵn phần mềm độc từ nhà sản xuất kém uy tín. Sau khi khôi phục, đừng cài lại ứng dụng từ tệp cũ, và đổi mật khẩu từ thiết bị sạch.
Có nên root hoặc jailbreak điện thoại không?
Với người dùng thông thường, không nên. Root hoặc jailbreak gỡ bỏ các lớp cách ly mà hệ điều hành dựng ra để ứng dụng không can thiệp lẫn nhau, khiến mã độc có thể chiếm quyền sâu hơn. Nhiều ứng dụng ngân hàng cũng từ chối chạy trên máy đã bị can thiệp như vậy.
Sạc điện thoại ở trạm sạc công cộng có nguy cơ bị cài mã độc không?
Nguy cơ lý thuyết qua cổng USB, thường gọi là juice jacking, đã được giới nghiên cứu trình diễn, nhưng các hệ điều hành hiện đại hỏi xác nhận trước khi cho phép truyền dữ liệu qua cáp. Nếu muốn yên tâm, dùng củ sạc riêng cắm ổ điện, và luôn chọn "chỉ sạc" khi máy hỏi.