Hãy xác minh hành động bạn đang cho phép, không chỉ nhìn hình thức của mã.
Một tin nhắn nói rằng bạn phải quét mã QR để tham gia nhóm riêng tư hoặc giữ cho tài khoản hoạt động. Màn hình tiếp theo lại yêu cầu liên kết thiết bị. Đây là hai hành động khác nhau. Hãy dừng lại trước khi chấp thuận: một cơ chế liên kết tài khoản có thật vẫn có thể bị sử dụng với mục đích gian dối.
Mã hóa đầu cuối bảo vệ tin nhắn giữa các đầu cuối tham gia. Nó không thể xác định liệu bạn có thực sự muốn thêm thiết bị đang nhận tin nhắn hay không. Hướng dẫn này giải thích cách phân biệt liên kết web, yêu cầu liên kết thiết bị và mã xác minh liên hệ — cùng những điều cần kiểm tra nếu bạn đã thực hiện thao tác.
Hai kiểu bẫy mã QR khác nhau
Trang web giả: mã mở một trang bắt chước dịch vụ quen thuộc, yêu cầu bạn nhập mật khẩu hoặc thông tin nhạy cảm khác. FTC cảnh báo về mã QR trong những tin nhắn bất ngờ, khuyến nghị kiểm tra đích đến và liên hệ với người được cho là người gửi qua kênh đã biết, thay vì làm theo tin nhắn. Logo quen thuộc không chứng minh ai đang vận hành trang đó. Hướng dẫn của FTC về lừa đảo mã QR.
Thiết bị liên kết không mong muốn: kẻ tấn công thuyết phục bạn kết nối máy tính hoặc thiết bị khác của chúng với tài khoản nhắn tin của bạn. Đây có thể là việc lợi dụng tính năng hợp lệ, chứ không phải phá mã hóa. Google Threat Intelligence đã ghi nhận các cuộc tấn công liên kết thiết bị Signal giả dạng lời mời vào nhóm và thông báo bảo mật. Trong những vụ được quan sát, việc liên kết thành công khiến các tin nhắn sau đó được gửi tới thiết bị do kẻ tấn công kiểm soát. Điều tra của Google về lừa đảo liên kết thiết bị.
Sự khác biệt này rất quan trọng. Đổi mật khẩu không thay thế cho việc kiểm tra thiết bị đã liên kết. Tương tự, chỉ hướng camera vào mã không chứng minh tài khoản đã bị chiếm đoạt. Hãy xác định trang nào đã mở, thông tin nào bạn đã cung cấp và hành động nào bạn đã chấp thuận.
Ba loại mã trông giống nhau, ba mục đích khác nhau
| Mã hoặc màn hình | Mục đích dự kiến | Câu hỏi trước khi tiếp tục |
|---|---|---|
| Mã QR của trang web | Mở một địa chỉ | Đây có phải đích đến tôi đã tự mình dự kiến, không phụ thuộc vào tin nhắn này? |
| Mã QR liên kết thiết bị | Cấp quyền cho thiết bị khác | Đây có phải thiết bị của tôi và chính tôi đã bắt đầu liên kết nó không? |
| Mã QR xác minh liên hệ | So sánh thông tin định danh mật mã | Tôi có đang ở màn hình xác minh liên hệ và so sánh với đúng người không? |
Ví dụ, Signal có tài liệu mô tả quy trình liên kết riêng thông qua phần cài đặt thiết bị đã liên kết và camera trong ứng dụng. Hướng dẫn hiện tại cũng có lựa chọn về việc chuyển lịch sử tin nhắn. Đây không phải cùng một thao tác với kiểm tra số an toàn của liên hệ. Hướng dẫn về thiết bị đã liên kết của Signal.
Tài liệu về số an toàn của Signal mô tả việc so sánh các số hoặc quét mã QR xác minh của liên hệ, tốt nhất là gặp trực tiếp. Việc so sánh giúp xác minh định danh mật mã của cuộc trò chuyện; đó không phải chỉ dẫn cấp cho máy tính mới quyền truy cập tài khoản của bạn. Bản thân thao tác này không chứng minh danh tính ngoài đời của một người. Hãy căn cứ vào mục đích thực tế của màn hình, không phải mô tả của người gửi. Giải thích của Signal về số an toàn.
Ví dụ thực tế: lời mời đổi ý nghĩa giữa chừng
Hãy hình dung tình huống hư cấu sau. Mina nhận được tin nhắn có vẻ từ đồng nghiệp: “Nhóm dự án đã chuyển. Quét mã này để tham gia lại.” Trang được thiết kế chỉn chu. Nó hướng dẫn cô mở trình quét liên kết thiết bị trong ứng dụng nhắn tin.
Mina nhận ra sự không khớp: cô muốn tham gia cuộc trò chuyện, không phải kết nối thêm máy tính. Cô hủy thao tác, tự mở thông tin liên hệ thường dùng và xác nhận với đồng nghiệp qua một kênh riêng đáng tin cậy. Cô không dùng số điện thoại được cung cấp trên trang đáng ngờ.
Ví dụ này minh họa một quy tắc hữu ích: nếu quyền ứng dụng yêu cầu rộng hơn hoặc khác với việc bạn định làm, hãy dừng lại. Tài khoản người gửi quen thuộc chưa đủ, vì tài khoản có thể bị giả mạo hoặc chiếm quyền. Chỉ một địa chỉ web trông đáng tin cũng không giải thích được vì sao một thiết bị bất ngờ lại cần quyền truy cập.
Danh sách kiểm tra ngắn trước khi chấp thuận
- Xác định việc bạn muốn làm. Bạn đang mở trang, tham gia nhóm, xác minh liên hệ hay liên kết máy tính của chính mình?
- Tự bắt đầu từ nguồn đã biết. Để quản lý tài khoản, hãy mở ứng dụng đã cài hoặc địa chỉ bạn đã biết, thay vì làm theo chỉ dẫn trong tin nhắn không yêu cầu.
- Đọc lời nhắc của ứng dụng. Hãy coi liên kết thiết bị, khôi phục tài khoản và nhập thông tin đăng nhập là những quyết định riêng biệt. Hủy yêu cầu không phù hợp với việc bạn muốn làm.
- Nhận diện thiết bị còn lại. Chỉ liên kết thiết bị bạn định sử dụng và đang kiểm soát. Tên thiết bị nghe thân thiện không phải bằng chứng về quyền sở hữu.
- Không gửi bí mật qua trò chuyện. Đừng gửi mật khẩu, mã đăng ký hoặc khóa khôi phục cho người tự nhận đang giúp bạn.
- Dùng phần mềm cập nhật. Bản cập nhật và cảnh báo tích hợp có ý nghĩa, nhưng không biến yêu cầu chấp thuận bất ngờ thành đáng tin cậy.
Hướng dẫn chống lừa đảo của chính Signal khuyến nghị xác minh độc lập, giữ kín mã và thận trọng với yêu cầu bất ngờ. Tài liệu cũng phân biệt thông báo chính thức chỉ để xem với kẻ giả danh hỗ trợ đang trò chuyện tương tác. Đây là chi tiết riêng của Signal, không phải khẳng định về hệ thống hỗ trợ của mọi ứng dụng nhắn tin. Hướng dẫn của Signal về lừa đảo và giả danh.
Nếu bạn đã quét hoặc chấp thuận
Hãy xử lý dựa trên hành động thực sự đã xảy ra:
- Chỉ mở một trang: đóng trang và ngừng tương tác. Kiểm tra xem bạn đã nhập thông tin, tải xuống thứ gì hay chấp thuận thao tác của ứng dụng chưa. Đừng chỉ dựa vào việc quét mã để kết luận đã bị xâm phạm hoặc vẫn an toàn.
- Đã nhập thông tin đăng nhập hoặc chia sẻ mã: làm theo hướng dẫn khôi phục chính thức của dịch vụ từ thiết bị đáng tin cậy. Đổi mật khẩu bị lộ và rà soát quyền truy cập tài khoản; xử lý riêng những mật khẩu được dùng lại ở nơi khác.
- Đã liên kết thiết bị lạ: mở danh sách thiết bị hoặc phiên đăng nhập thực tế trong ứng dụng và gỡ kết nối không mong muốn. Đừng cho rằng xóa tin nhắn lừa đảo sẽ thu hồi quyền truy cập.
- Đã cài phần mềm hoặc cấp quyền bất thường: điều tra riêng việc đó. Thu hồi một phiên tài khoản không tự loại bỏ phần mềm độc hại khỏi điện thoại.
Riêng với Signal, hướng dẫn bảo vệ khuyến nghị kiểm tra thiết bị đã liên kết, xóa các mục không nhận ra và xóa mọi thiết bị trong danh sách nếu không chắc chắn. Hướng dẫn hủy liên kết mô tả cách thu hồi quyền của thiết bị từ điện thoại chính. Dịch vụ khác có thể có cơ chế điều khiển khác. Hướng dẫn bảo vệ tài khoản Signal, hướng dẫn hủy liên kết thiết bị Signal.
Thu hồi quyền không thể lấy lại thông tin đã được sao chép sang nơi khác. Mức độ lộ thông tin phụ thuộc vào dịch vụ, các quyền đã cấp, lựa chọn chuyển lịch sử nếu có và thời gian truy cập kéo dài bao lâu — không có quy tắc chung rằng “mọi cuộc trò chuyện” đều bị lộ. Nếu các cuộc trò chuyện nhạy cảm có thể đã bị lộ, hãy thông báo cho người bị ảnh hưởng qua đường liên lạc đáng tin cậy và tuân theo quy trình báo cáo sự cố phù hợp.
Cần kiểm tra gì khi đánh giá Livara hoặc ứng dụng nhắn tin khác
Hãy hỏi thiết bị mới được cấp quyền như thế nào, phiên đang hoạt động hiển thị ở đâu, cách thu hồi quyền truy cập và liệu lịch sử có được chuyển riêng hay không. Đọc tài liệu sản phẩm hiện tại thay vì cho rằng nhãn mã hóa đã trả lời những câu hỏi này. Bài viết không xác nhận rằng Livara sử dụng đăng nhập bằng QR hoặc một quy trình liên kết thiết bị cụ thể.
Bài học thực hành rất đơn giản: xác minh hành động bạn đang cho phép, không chỉ nhìn hình thức của mã.
