Phạm Thanh Bình✔
Writer
Một cuộc gọi kéo dài gần 2 tiếng, bắt đầu bằng những vấn đề rất đúng với hoàn cảnh của một doanh nghiệp mới thành lập, cuối cùng khiến nạn nhân mất 250 triệu đồng. Điều đáng sợ ở vụ việc này không chỉ là số tiền bị mất, mà là cách kẻ lừa đảo đã từng bước tạo ra một tình huống khiến nạn nhân gần như không còn đủ tỉnh táo để dừng lại.
Nạn nhân bị lừa tải app "Dịch Vụ Công", chỉ có trên CHplay, và trước khi tải nó sẽ hướng dẫn mình cấp quyền truy cập tải app cho tất cả các app (kiểu như những app bị chặn bởi chính sách của CH), sau đó mới tải về, mở app ra chạy một lúc sẽ hiện trạng thái này. Mục đích của trạng thái này là k cho mình thao tác gì trên điện thoại, dưới lớp che màn hình này nó đã truy cập toàn bộ dữ liệu của máy bao gồm cả việc chuyển tiền (nếu tk có tiền, nó sẽ yêu cầu bạn đưa màn hình này lên xác nhận face id chuyển tiền). Bạn sẽ hoàn toàn k biết được nó đang thực hiện điều gì dưới màn hình của app này. Cách tốt nhất khi gặp trường hợp này là tắt 3g-wifi- rút sim- tắt nguồn đt,liên hệ ngân hàng để ngăn chặn việc giao dịch.
Theo lời kể trên trang cá nhân, nạn nhân vừa thành lập một công ty ở quê, mẹ đứng tên doanh nghiệp, số điện thoại đăng ký kinh doanh do mình quản lý và VNeID của mẹ cũng đăng nhập trên điện thoại Samsung để phục vụ việc khai báo thuế. Công ty có vốn điều lệ 500 triệu đồng và kế toán vừa nhắc về thời hạn góp đủ vốn. Đây chính là những thông tin mà kẻ lừa đảo đánh trúng. (thông tin này bọn lừa đảo lấy từ đâu cũng là vấn đề cần xem xét )
Cuộc gọi bắt đầu bằng hàng loạt nội dung nghe hoàn toàn hợp lý: yêu cầu định danh doanh nghiệp với công an xã, xác nhận cơ sở đang hoạt động tại địa bàn, kiểm tra thông tin người phụ thuộc trên VNeID, giải thích việc Etax Mobile chưa hiển thị đầy đủ thông tin, hướng dẫn người thân đại diện kê khai thuế, yêu cầu tải ứng dụng dịch vụ công, nhắc việc góp đủ vốn điều lệ và thậm chí nói về thủ tục làm việc với cơ quan thuế.
Đáng chú ý, trước hoặc trong quá trình này, kẻ lừa đảo còn gửi một văn bản có hình thức rất giống thông báo hành chính của cơ quan thuế. Chính văn bản này là một phần quan trọng giúp cuộc gọi trở nên đáng tin.
Nhưng nhìn kỹ, văn bản có rất nhiều dấu hiệu bất thường.
Thứ nhất, văn bản cơ quan nhà nước căn lề cân bằng hai bên, còn văn bản này căn lề trái.
Thứ hai, lỗi chính tả tùm lum (đã bôi đỏ trong văn bản).
Thứ ba, sai thông tin tùm lum, ngay từ số hiệu ở góc văn bản: Cơ quan phát hành được ghi là “Thuế cơ sở 9 tỉnh Hưng Yên” nhưng số hiệu lại có thành phần “TCTS8”, không thống nhất với đơn vị được nêu ở đầu văn bản. Đây là một dấu hiệu cần kiểm tra trực tiếp với cơ quan thuế trước khi thực hiện bất kỳ yêu cầu nào.
Đây mới là phần tinh vi nhất của vụ lừa đảo.
Kẻ lừa đảo không ngay lập tức nói “hãy chuyển tiền cho tôi”. Chúng xây dựng một chuỗi logic: doanh nghiệp mới thành lập → phải hoàn thiện hồ sơ → cần định danh → cần cập nhật Etax Mobile → cần cập nhật VNeID → cần tải ứng dụng → cần xác thực → cần làm thủ tục vốn → cần xử lý ngay. Mỗi bước đều có vẻ liên quan đến bước trước, khiến nạn nhân càng làm nhiều thì càng khó dừng lại.
Đặc biệt chúng còn biết những thông tin rất sát với tình trạng thực tế của doanh nghiệp. Khi một người vừa thành lập công ty và đúng lúc đang lo chuyện góp vốn trong 90 ngày, việc một người tự xưng là cán bộ thuế gọi đến nói chính xác về vấn đề này sẽ tạo ra cảm giác “họ biết hồ sơ của mình”. Trong thực tế, Luật Doanh nghiệp đúng là quy định thời hạn 90 ngày để góp đủ vốn trong nhiều loại hình doanh nghiệp, nên đây là một điểm mà kẻ lừa đảo có thể lợi dụng rất hiệu quả.
Sau khi tạo được niềm tin, mục tiêu chuyển từ lừa bằng thông tin sang chiếm quyền kiểm soát thiết bị và tài khoản. Nạn nhân cho biết mình đã nhập mã số thuế, mật khẩu và thực hiện Face ID trên điện thoại theo hướng dẫn. Sau đó, điện thoại bị đặt vào trạng thái mà người dùng không còn kiểm soát bình thường. Ở chiếc iPhone khác, khi tiền được chuyển vào tài khoản, điện thoại bị đơ và nóng máy, khiến nạn nhân gần như không thể thao tác để ngăn giao dịch.
Đây là lý do những cuộc lừa đảo kiểu này nguy hiểm hơn rất nhiều so với việc giả danh qua điện thoại thông thường. Kẻ gian không chỉ cần nạn nhân tin chúng. Chúng cần nạn nhân tự tay thực hiện các bước xác thực bảo mật, trong trạng thái đang bị dẫn dắt và tập trung hoàn toàn vào cuộc gọi. Khi cuộc gọi kéo dài gần 2 tiếng, nạn nhân gần như bị đưa vào một “đường hầm tâm lý”: liên tục nhận chỉ dẫn, liên tục giải quyết một vấn đề mới, không có thời gian dừng lại để gọi cho ngân hàng, người thân, kế toán hoặc cơ quan thuế thật để kiểm chứng.
Bài học lớn nhất từ vụ việc này không phải là “đừng bao giờ tin cuộc gọi của cơ quan thuế”, mà là: bất kỳ ai gọi điện và yêu cầu bạn thực hiện một chuỗi thao tác trên điện thoại đều phải được kiểm chứng độc lập trước khi làm bước tiếp theo. Nếu cuộc gọi thứ nhất khiến bạn thấy có vấn đề, đừng nghe cuộc gọi thứ hai. Hãy cúp máy, tự tìm số điện thoại chính thức của cơ quan thuế, ngân hàng hoặc cơ quan nhà nước liên quan và gọi lại. Không gọi vào số mà người đang hướng dẫn cung cấp.
Với văn bản hành chính, kiểm tra con dấu, logo hay cách trình bày. Thậm chí kiểm tra các văn bản đề cập trong đó có chính xác không.
Và tuyệt đối không cài đặt ứng dụng nào cả, cung cấp mật khẩu, mã OTP, thông tin đăng nhập ngân hàng, mã PIN, dữ liệu sinh trắc học hoặc thực hiện các thao tác xác thực theo hướng dẫn của người gọi. Cơ quan nhà nước có thể yêu cầu người dân thực hiện thủ tục, nhưng việc một người tự xưng là cán bộ gọi điện rồi trực tiếp điều khiển từng thao tác trên điện thoại của bạn là một tín hiệu cảnh báo cực lớn.
Vụ mất 250 triệu đồng này cũng đặt ra một câu hỏi lớn hơn về dữ liệu cá nhân. Một doanh nghiệp mới thành lập có thể nhanh chóng nhận hàng loạt cuộc gọi chào mời dịch vụ, bảo hiểm, thuế, thậm chí những cuộc gọi giả danh cơ quan nhà nước. Khi kẻ gian biết doanh nghiệp vừa thành lập, biết thông tin người đại diện, số điện thoại và thậm chí biết những vấn đề mà doanh nghiệp đang thực sự quan tâm, khả năng thao túng nạn nhân sẽ cao hơn rất nhiều.
Điều đáng tiếc là nạn nhân trong câu chuyện này không hề thiếu hiểu biết. Chính những thông tin có thật, đúng với hoàn cảnh thực tế và một văn bản được làm rất giống văn bản hành chính đã khiến cái bẫy trở nên thuyết phục.
Vì vậy, nếu có một điều cần nhớ sau câu chuyện này thì đó là: đừng sợ bị đánh giá là bất lịch sự khi cúp máy. Một cuộc gọi của cơ quan nhà nước có thể gọi lại được. Một giao dịch ngân hàng đã chuyển đi thì chưa chắc. Và trước khi nghe cuộc điện thoại thứ hai, hãy kiểm tra ngay thông tin của cuộc điện thoại thứ nhất. Chỉ vài phút kiểm chứng độc lập có thể giúp bạn tránh một cái giá lên tới hàng trăm triệu đồng.
Cuối cùng, rất mong quy định việc chuyển khoản từ bao nhiêu tiền (do chủ tài khoản đặt) thì khoản tiền bị treo 24h.
Nạn nhân bị lừa tải app "Dịch Vụ Công", chỉ có trên CHplay, và trước khi tải nó sẽ hướng dẫn mình cấp quyền truy cập tải app cho tất cả các app (kiểu như những app bị chặn bởi chính sách của CH), sau đó mới tải về, mở app ra chạy một lúc sẽ hiện trạng thái này. Mục đích của trạng thái này là k cho mình thao tác gì trên điện thoại, dưới lớp che màn hình này nó đã truy cập toàn bộ dữ liệu của máy bao gồm cả việc chuyển tiền (nếu tk có tiền, nó sẽ yêu cầu bạn đưa màn hình này lên xác nhận face id chuyển tiền). Bạn sẽ hoàn toàn k biết được nó đang thực hiện điều gì dưới màn hình của app này. Cách tốt nhất khi gặp trường hợp này là tắt 3g-wifi- rút sim- tắt nguồn đt,liên hệ ngân hàng để ngăn chặn việc giao dịch.
Theo lời kể trên trang cá nhân, nạn nhân vừa thành lập một công ty ở quê, mẹ đứng tên doanh nghiệp, số điện thoại đăng ký kinh doanh do mình quản lý và VNeID của mẹ cũng đăng nhập trên điện thoại Samsung để phục vụ việc khai báo thuế. Công ty có vốn điều lệ 500 triệu đồng và kế toán vừa nhắc về thời hạn góp đủ vốn. Đây chính là những thông tin mà kẻ lừa đảo đánh trúng. (thông tin này bọn lừa đảo lấy từ đâu cũng là vấn đề cần xem xét )
Cuộc gọi bắt đầu bằng hàng loạt nội dung nghe hoàn toàn hợp lý: yêu cầu định danh doanh nghiệp với công an xã, xác nhận cơ sở đang hoạt động tại địa bàn, kiểm tra thông tin người phụ thuộc trên VNeID, giải thích việc Etax Mobile chưa hiển thị đầy đủ thông tin, hướng dẫn người thân đại diện kê khai thuế, yêu cầu tải ứng dụng dịch vụ công, nhắc việc góp đủ vốn điều lệ và thậm chí nói về thủ tục làm việc với cơ quan thuế.
Đáng chú ý, trước hoặc trong quá trình này, kẻ lừa đảo còn gửi một văn bản có hình thức rất giống thông báo hành chính của cơ quan thuế. Chính văn bản này là một phần quan trọng giúp cuộc gọi trở nên đáng tin.
Nhưng nhìn kỹ, văn bản có rất nhiều dấu hiệu bất thường.
Thứ nhất, văn bản cơ quan nhà nước căn lề cân bằng hai bên, còn văn bản này căn lề trái.
Thứ hai, lỗi chính tả tùm lum (đã bôi đỏ trong văn bản).
Thứ ba, sai thông tin tùm lum, ngay từ số hiệu ở góc văn bản: Cơ quan phát hành được ghi là “Thuế cơ sở 9 tỉnh Hưng Yên” nhưng số hiệu lại có thành phần “TCTS8”, không thống nhất với đơn vị được nêu ở đầu văn bản. Đây là một dấu hiệu cần kiểm tra trực tiếp với cơ quan thuế trước khi thực hiện bất kỳ yêu cầu nào.
Đây mới là phần tinh vi nhất của vụ lừa đảo.
Kẻ lừa đảo không ngay lập tức nói “hãy chuyển tiền cho tôi”. Chúng xây dựng một chuỗi logic: doanh nghiệp mới thành lập → phải hoàn thiện hồ sơ → cần định danh → cần cập nhật Etax Mobile → cần cập nhật VNeID → cần tải ứng dụng → cần xác thực → cần làm thủ tục vốn → cần xử lý ngay. Mỗi bước đều có vẻ liên quan đến bước trước, khiến nạn nhân càng làm nhiều thì càng khó dừng lại.
Đặc biệt chúng còn biết những thông tin rất sát với tình trạng thực tế của doanh nghiệp. Khi một người vừa thành lập công ty và đúng lúc đang lo chuyện góp vốn trong 90 ngày, việc một người tự xưng là cán bộ thuế gọi đến nói chính xác về vấn đề này sẽ tạo ra cảm giác “họ biết hồ sơ của mình”. Trong thực tế, Luật Doanh nghiệp đúng là quy định thời hạn 90 ngày để góp đủ vốn trong nhiều loại hình doanh nghiệp, nên đây là một điểm mà kẻ lừa đảo có thể lợi dụng rất hiệu quả.
Sau khi tạo được niềm tin, mục tiêu chuyển từ lừa bằng thông tin sang chiếm quyền kiểm soát thiết bị và tài khoản. Nạn nhân cho biết mình đã nhập mã số thuế, mật khẩu và thực hiện Face ID trên điện thoại theo hướng dẫn. Sau đó, điện thoại bị đặt vào trạng thái mà người dùng không còn kiểm soát bình thường. Ở chiếc iPhone khác, khi tiền được chuyển vào tài khoản, điện thoại bị đơ và nóng máy, khiến nạn nhân gần như không thể thao tác để ngăn giao dịch.
Đây là lý do những cuộc lừa đảo kiểu này nguy hiểm hơn rất nhiều so với việc giả danh qua điện thoại thông thường. Kẻ gian không chỉ cần nạn nhân tin chúng. Chúng cần nạn nhân tự tay thực hiện các bước xác thực bảo mật, trong trạng thái đang bị dẫn dắt và tập trung hoàn toàn vào cuộc gọi. Khi cuộc gọi kéo dài gần 2 tiếng, nạn nhân gần như bị đưa vào một “đường hầm tâm lý”: liên tục nhận chỉ dẫn, liên tục giải quyết một vấn đề mới, không có thời gian dừng lại để gọi cho ngân hàng, người thân, kế toán hoặc cơ quan thuế thật để kiểm chứng.
Bài học lớn nhất từ vụ việc này không phải là “đừng bao giờ tin cuộc gọi của cơ quan thuế”, mà là: bất kỳ ai gọi điện và yêu cầu bạn thực hiện một chuỗi thao tác trên điện thoại đều phải được kiểm chứng độc lập trước khi làm bước tiếp theo. Nếu cuộc gọi thứ nhất khiến bạn thấy có vấn đề, đừng nghe cuộc gọi thứ hai. Hãy cúp máy, tự tìm số điện thoại chính thức của cơ quan thuế, ngân hàng hoặc cơ quan nhà nước liên quan và gọi lại. Không gọi vào số mà người đang hướng dẫn cung cấp.
Với văn bản hành chính, kiểm tra con dấu, logo hay cách trình bày. Thậm chí kiểm tra các văn bản đề cập trong đó có chính xác không.
Và tuyệt đối không cài đặt ứng dụng nào cả, cung cấp mật khẩu, mã OTP, thông tin đăng nhập ngân hàng, mã PIN, dữ liệu sinh trắc học hoặc thực hiện các thao tác xác thực theo hướng dẫn của người gọi. Cơ quan nhà nước có thể yêu cầu người dân thực hiện thủ tục, nhưng việc một người tự xưng là cán bộ gọi điện rồi trực tiếp điều khiển từng thao tác trên điện thoại của bạn là một tín hiệu cảnh báo cực lớn.
Vụ mất 250 triệu đồng này cũng đặt ra một câu hỏi lớn hơn về dữ liệu cá nhân. Một doanh nghiệp mới thành lập có thể nhanh chóng nhận hàng loạt cuộc gọi chào mời dịch vụ, bảo hiểm, thuế, thậm chí những cuộc gọi giả danh cơ quan nhà nước. Khi kẻ gian biết doanh nghiệp vừa thành lập, biết thông tin người đại diện, số điện thoại và thậm chí biết những vấn đề mà doanh nghiệp đang thực sự quan tâm, khả năng thao túng nạn nhân sẽ cao hơn rất nhiều.
Điều đáng tiếc là nạn nhân trong câu chuyện này không hề thiếu hiểu biết. Chính những thông tin có thật, đúng với hoàn cảnh thực tế và một văn bản được làm rất giống văn bản hành chính đã khiến cái bẫy trở nên thuyết phục.
Vì vậy, nếu có một điều cần nhớ sau câu chuyện này thì đó là: đừng sợ bị đánh giá là bất lịch sự khi cúp máy. Một cuộc gọi của cơ quan nhà nước có thể gọi lại được. Một giao dịch ngân hàng đã chuyển đi thì chưa chắc. Và trước khi nghe cuộc điện thoại thứ hai, hãy kiểm tra ngay thông tin của cuộc điện thoại thứ nhất. Chỉ vài phút kiểm chứng độc lập có thể giúp bạn tránh một cái giá lên tới hàng trăm triệu đồng.
Cuối cùng, rất mong quy định việc chuyển khoản từ bao nhiêu tiền (do chủ tài khoản đặt) thì khoản tiền bị treo 24h.
