Mã hóa bảo vệ đường truyền tin nhắn; tính đáng tin cậy của yêu cầu gửi tiền cần được kiểm tra độc lập.
Mã hóa đầu cuối có thể bảo vệ nội dung tin nhắn trước các bên trung gian, nhưng không bảo đảm người gửi nói thật. Kẻ lừa đảo cũng có thể gửi tin nhắn được mã hóa từ chính tài khoản của mình. Để kiểm tra một quản trị viên giả mạo, giải thưởng giả hoặc lời mời liên quan đến tiền mã hóa, bạn cần xem xét danh tính tài khoản và yêu cầu của họ tách biệt với tính an toàn của đường truyền tin nhắn.
Ba kiểu thường gặp và cách ứng phó phù hợp
| Tin nhắn nhận được | Điều cần kiểm tra | Hành động an toàn hơn |
|---|---|---|
| “Tôi là quản trị viên nhóm; hãy gửi ngay số tiền này” | Tên và ảnh của một quản trị viên có thể đã bị sao chép | Kiểm tra danh sách quản trị viên và xác nhận qua một cách liên hệ mà bạn đã biết từ trước |
| “Bạn đã trúng thưởng; hãy trả phí để nhận giải” | Yêu cầu trả tiền để được nhận giải là dấu hiệu lừa đảo | Không trả tiền; tự tìm đơn vị tổ chức qua nguồn độc lập |
| “Lợi nhuận bảo đảm; bạn chỉ còn vài phút” | Áp lực thời gian và lời hứa chắc chắn có lãi cản trở việc kiểm tra | Không gửi tiền hay thông tin ví và kiểm chứng tuyên bố qua nguồn độc lập |
Những dấu hiệu này là lý do để dừng lại và kiểm tra. Vẻ ngoài chính thức, số lượng thành viên hay sự tán thành của vài tài khoản khác tự chúng không chứng minh được tính đáng tin cậy.
Làm sao để kiểm tra một quản trị viên giả mạo?
Tên hiển thị và ảnh tài khoản đều có thể bị bắt chước. Hãy xem kỹ tên người dùng và mã định danh, nhưng lưu ý rằng ngay cả tài khoản thật cũng có thể đã bị chiếm quyền. Nếu yêu cầu khác thường, thay vì trả lời trong cùng cuộc trò chuyện, hãy liên hệ với người đó qua một cách khác mà bạn đã biết từ trước.
Ví dụ, nếu quản trị viên nhóm công việc nhắn riêng yêu cầu chuyển tiền, hãy xác nhận qua số điện thoại hoặc kênh liên lạc đã đăng ký của tổ chức, chứ không phải số mới do chính tài khoản đó cung cấp. Đừng gửi thông tin nhạy cảm để “chứng minh tư cách thành viên”.
Mã số an toàn hoặc dấu vân tay khóa có thể giúp xác minh kết nối mật mã với người liên hệ. Nhưng việc các khóa khớp nhau không chứng minh đề nghị tài chính của họ là đáng tin cậy hay thiết bị của họ không bị nhiễm mã độc.
Vì sao không nên gửi tiền hoặc mã đăng nhập để nhận giải?
Hướng dẫn của Ủy ban Thương mại Liên bang Hoa Kỳ về giải thưởng giả nêu yêu cầu trả tiền để nhận giải và yêu cầu cung cấp thông tin tài chính là những dấu hiệu cảnh báo chính. Tin nhắn có thể mang hình thức cuộc thi, rút thăm trúng thưởng, quà tặng hoặc hỗ trợ tài khoản.
Đừng gửi mã đăng nhập, mật khẩu hay cụm từ khôi phục trong cuộc trò chuyện. Nếu ai đó yêu cầu bạn đăng nhập vào một trang web để “kích hoạt giải thưởng”, hãy tự mở địa chỉ chính thức của đơn vị tổ chức qua một cách truy cập quen thuộc. Biểu tượng ổ khóa HTTPS hoặc chữ “được mã hóa” trên trang không chứng minh đơn vị tổ chức là thật.
Pump-and-dump và lời mời tiền mã hóa khác giải thưởng giả ở điểm nào?
Trong mô hình pump-and-dump, hoạt động quảng bá có phối hợp có thể đẩy nhu cầu và giá của một tài sản lên cao để những người đứng sau bán số tài sản họ nắm giữ. Với một khoản đầu tư giả, có thể hoàn toàn không có giao dịch thật và bảng theo dõi chỉ hiển thị lợi nhuận bịa đặt. Không nên coi đây là cùng một hiện tượng, dù cả hai đều có thể lợi dụng sự phấn khích của nhóm và áp lực thời gian.
Hướng dẫn chính thức của FTC về lừa đảo tiền mã hóa cảnh báo về lời hứa bảo đảm lợi nhuận, hành vi mạo danh và yêu cầu chuyển tiền mã hóa. Bài viết này không phải lời khuyên mua hay bán tài sản; mục đích là xem xét một yêu cầu đáng ngờ.
Đừng kết nối ví hoặc ký một giao dịch khi bạn không hiểu ý nghĩa của nó. Tuyệt đối không nhập cụm từ khôi phục cho quản trị viên, nhân viên hỗ trợ hoặc để nhận airdrop. Trả thêm phí để “mở khóa lợi nhuận” hoặc “lấy lại tiền đã mất” có thể là phần tiếp diễn của cùng vụ lừa đảo.
Mã hóa đầu cuối giúp được gì và không giải quyết được điều gì?
Mã hóa đúng cách, kết hợp với xác thực khóa, được thiết kế để bảo vệ tính bí mật và toàn vẹn của tin nhắn trước những người ngoài cuộc trò chuyện. Nhưng thành viên được phép tham gia nhóm đọc được nội dung và có thể nói dối, gửi liên kết độc hại hoặc sao chép tin nhắn. Bảo mật sau xâm phạm cũng không phải hệ thống phát hiện lừa đảo hay tự động thu hồi quyền truy cập của kẻ tấn công.
Tương tự, một giao thức như SRP, vốn không gửi trực tiếp mật khẩu trong quá trình đăng nhập, không ngăn bạn nhập chính mật khẩu đó vào một trang giả mạo. Bảo vệ quá trình đăng nhập và nhận diện hành vi đánh lừa là hai vấn đề riêng biệt.
Theo các giới hạn bảo mật do Livara công bố, kênh công khai không giống cuộc trò chuyện riêng tư. Khả năng báo cáo nội dung là hữu ích, nhưng tính công khai hay sự hiện diện của công cụ báo cáo không khiến lừa đảo trở thành điều bất khả thi.
Tôi nên làm gì nếu đã gửi thông tin hoặc tiền?
- Ngừng liên lạc và không thanh toán thêm; đừng trả khoản phí mới để “giải quyết vấn đề”.
- Lưu tin nhắn, mã định danh tài khoản, địa chỉ trang web và biên nhận giao dịch để báo cáo; đừng công khai chúng.
- Nếu đã cung cấp thông tin đăng nhập, hãy dùng thiết bị đáng tin cậy để đăng nhập vào trang chính thức, đổi mật khẩu và kiểm tra các phiên đăng nhập cùng phương thức khôi phục.
- Nếu đã thanh toán, hãy nhanh chóng liên hệ ngân hàng hoặc dịch vụ thanh toán có liên quan. Việc hoàn tiền không được bảo đảm, đặc biệt với tiền mã hóa.
- Báo cáo tài khoản và tin nhắn, đồng thời chặn tài khoản bằng công cụ chính thức của ứng dụng nhắn tin. Để trình báo với cơ quan có thẩm quyền, hãy nhờ cơ quan chính thức tại nơi bạn sinh sống hướng dẫn.
Câu hỏi ngắn
Dấu xác minh hoặc số lượng thành viên lớn đã đủ chưa?
Chưa. Hãy kiểm tra độc lập yêu cầu cụ thể, danh tính người đó và nơi nhận tiền; không dấu hiệu bên ngoài nào thay thế được việc kiểm tra này.
Nếu mã số an toàn đúng thì yêu cầu gửi tiền có đáng tin không?
Không. Xác minh khóa liên quan đến bên kia của kết nối mật mã, không phải tính đúng đắn của tuyên bố tài chính hay tình trạng an toàn của thiết bị của họ.
Tôi có cần nhấp vào liên kết để biết nó có giả mạo không?
Không. Để kiểm tra một yêu cầu đáng ngờ, trước hết hãy truy cập dịch vụ qua một cách chính thức và quen thuộc. Phần xem trước đẹp mắt hoặc tên miền giống tên thật không phải bằng chứng về tính đáng tin cậy.
