Caller ID Spoofing: Vì sao số điện thoại hiển thị đúng hotline ngân hàng vẫn có thể là giả?

Nhiều người có thói quen kiểm tra số gọi đến rồi quyết định có tin người gọi hay không. Tuy nhiên, Techcombank đã cảnh báo thủ đoạn Caller ID Spoofing, trong đó kẻ gian dùng công nghệ thay đổi số hiển thị để trông giống cơ quan nhà nước, ngân hàng hoặc thậm chí người thân. Vì vậy 'đúng số' không còn là tiêu chí xác thực đủ mạnh.

Với các ứng dụng tài chính, một thao tác tưởng như rất nhỏ - bấm một đường link, cấp một quyền, đổi thiết bị hoặc xác nhận một mã - có thể thay đổi toàn bộ mức độ an toàn của tài khoản. Vì vậy bài viết này tập trung vào cách kiểm tra theo thứ tự, phân biệt việc người dùng có thể tự xử lý với tình huống nên dừng thao tác và liên hệ ngân hàng.

Vì sao chủ đề này đáng quan tâm?

1. Kẻ gian thường kết hợp số hiển thị giả với thông tin cá nhân rò rỉ để tăng độ tin cậy

Kẻ gian thường kết hợp số hiển thị giả với thông tin cá nhân rò rỉ để tăng độ tin cậy.

Điểm cần nhớ là không nên đánh giá rủi ro chỉ qua một dấu hiệu riêng lẻ. Hãy kết hợp nguồn thông tin, trạng thái thiết bị, hành vi ứng dụng và kênh xác minh chính thức trước khi quyết định tiếp tục thao tác.

2. Kịch bản thường có yếu tố thúc ép: tài khoản bị khóa, giao dịch treo, nợ thẻ, hoàn phí hoặc điều tra

Kịch bản thường có yếu tố thúc ép: tài khoản bị khóa, giao dịch treo, nợ thẻ, hoàn phí hoặc điều tra.

Điểm cần nhớ là không nên đánh giá rủi ro chỉ qua một dấu hiệu riêng lẻ. Hãy kết hợp nguồn thông tin, trạng thái thiết bị, hành vi ứng dụng và kênh xác minh chính thức trước khi quyết định tiếp tục thao tác.

3. Mục tiêu cuối thường là khiến nạn nhân tiết lộ mật khẩu/OTP/CVV hoặc tự chuyển tiền

Mục tiêu cuối thường là khiến nạn nhân tiết lộ mật khẩu/OTP/CVV hoặc tự chuyển tiền.

Điểm cần nhớ là không nên đánh giá rủi ro chỉ qua một dấu hiệu riêng lẻ. Hãy kết hợp nguồn thông tin, trạng thái thiết bị, hành vi ứng dụng và kênh xác minh chính thức trước khi quyết định tiếp tục thao tác.

Hướng dẫn xử lý theo đúng thứ tự

1. Không xác minh danh tính chỉ bằng Caller ID.

2. Nếu nội dung liên quan tiền hoặc bảo mật, kết thúc cuộc gọi và chủ động gọi lại số chính thức lấy từ app/web/thẻ.

3. Không dùng số điện thoại mà chính người gọi đọc cho bạn để gọi lại.

4. Không nhấp link hoặc quét QR được gửi trong lúc cuộc gọi đang diễn ra.

5. Nếu bị đe dọa hoặc thúc ép, ghi nhận nội dung và báo ngân hàng/cơ quan chức năng qua kênh chính thức.

Sau mỗi bước, nên dừng vài giây để kiểm tra kết quả thay vì thực hiện hàng loạt thao tác cùng lúc. Cách làm này giúp xác định chính xác bước nào giải quyết vấn đề và hạn chế việc vô tình tạo thêm rủi ro hoặc làm mất một kênh khôi phục quan trọng.

Những sai lầm thường gặp

• Nghĩ rằng người gọi biết họ tên, số CCCD hoặc bốn số cuối thẻ thì chắc chắn là ngân hàng.
• Tin số lưu trong danh bạ vì cuộc gọi hiển thị đúng tên.
• Chuyển tiền vào 'tài khoản an toàn' để kiểm tra.
• Đọc OTP để hủy giao dịch mà chính bạn không tạo.

Các sai lầm trên có một điểm chung: người dùng hành động dưới áp lực thời gian hoặc đặt niềm tin vào giao diện/thông tin hiển thị thay vì xác minh nguồn. Với Mobile Banking, nếu cảm thấy bị thúc ép phải làm ngay, đó chính là lúc nên dừng và kiểm tra lại qua kênh độc lập.

Góc kỹ thuật và lưu ý nâng cao

Có thể xây dựng thói quen 'xác minh hai kênh': một kênh nhận thông tin, một kênh độc lập để xác minh. Ví dụ nhận cuộc gọi thì dùng app chính thức để chat/call hotline.

Với người lớn tuổi hoặc người ít dùng công nghệ, nên thống nhất trước với gia đình: mọi yêu cầu chuyển tiền bất thường phải gọi lại người thân bằng một kênh khác.

Nếu điện thoại có dấu hiệu phần cứng bất thường như camera mất nét, NFC chập chờn, cảm ứng tự bấm, máy quá nóng hoặc hệ điều hành bị can thiệp, nên tách bài toán phần cứng khỏi bài toán ngân hàng. Không nên liên tục cài lại hoặc reset chỉ để cố vượt qua một cảnh báo bảo mật.

Bảng quyết định nhanh

Checklist 60 giây trước khi xác nhận

• Tôi đang dùng ứng dụng/website chính chủ và tự mở từ nguồn đã xác minh.
• Không có người lạ đang gọi điện, xem màn hình hoặc điều khiển thiết bị.
• Tên người nhận/merchant, số tiền và nội dung giao dịch đã được kiểm tra lại.
• Tôi không cung cấp mật khẩu, PIN, OTP, CVV hoặc mã khôi phục cho bất kỳ ai.
• Nếu có điều gì bất thường, tôi biết cách dừng giao dịch và liên hệ hotline chính thức.

FAQ - Câu hỏi thường gặp

Caller ID Spoofing có thể giả tên ngân hàng không?

Có thể khiến số hiển thị trông giống số quen thuộc hoặc tổ chức; vì vậy cần xác minh qua kênh độc lập.

Ngân hàng gọi từ số lạ có phải lừa đảo không?

Không thể kết luận chỉ từ số gọi. Hãy xác minh nội dung qua hotline/app chính thức.

Có nên chặn mọi số lạ?

Không nhất thiết, nhưng không cung cấp thông tin nhạy cảm trước khi xác minh.

Nếu đã đọc OTP thì làm gì?

Liên hệ ngân hàng ngay, khóa/giới hạn dịch vụ nếu cần và kiểm tra giao dịch bất thường.

Caller ID Spoofing không nên được nhìn như một mẹo đơn lẻ. Giá trị thực tế nằm ở việc tạo thói quen kiểm tra nguồn, quyền truy cập, thiết bị và thông tin giao dịch trước khi xác nhận. Khi có dấu hiệu bất thường, dừng thao tác sớm thường an toàn hơn cố hoàn tất quy trình rồi mới xử lý hậu quả.

Nếu vấn đề xuất phát từ điện thoại - ví dụ NFC không hoạt động, camera lỗi, máy bị treo, màn hình/cảm ứng bất thường hoặc nghi có ứng dụng lạ - Di Động 3 Tốt có thể hỗ trợ kiểm tra thiết bị. Phần đăng nhập và xác thực ngân hàng phải do chính khách hàng thực hiện; nhân viên không nhận mật khẩu, PIN, OTP, CVV hoặc mã khôi phục.

Xem thêm:

• Cách kiểm tra ứng dụng ngân hàng chính chủ: Tránh APK, TestFlight và app giả mạo
• 5 quyền Android nên kiểm tra trước khi dùng app ngân hàng: Accessibility, thông báo, hiển thị nổi và hơn thế nữa
• Android 17 tự ẩn OTP khỏi phần lớn ứng dụng khác: Mẹo mới giúp bảo vệ mã ngân hàng
• Đang gọi điện mà được yêu cầu mở app ngân hàng và chia sẻ màn hình: Vì sao phải dừng ngay?