2026-10-17 · 7 phút

Quishing — Lừa đảo Phishing qua Mã QR: Cách nhận biết và phòng tránh QR độc hại

Quishing là tấn công phishing qua mã QR. Tìm hiểu cách nhận biết mã QR độc hại, các dấu hiệu cảnh báo và mẹo bảo mật khi quét mã QR.

Quishing: Lừa đảo Phishing qua Mã QR

Phishing — tấn công giả mạo để đánh cắp thông tin — không còn chỉ xảy ra qua email và tin nhắn. Kẻ tấn công ngày càng dùng mã QR như một vector tấn công mới: dán mã QR giả lên mã QR thật, tạo mã QR dẫn đến trang web giả mạo ngân hàng, hoặc phân phối mã QR độc hại qua tờ rơi và bưu thiếp.

Tấn công này được gọi là quishing (QR + phishing) — và nó hiệu quả vì con người thường tin tưởng mã QR hơn đường link trong email, mà không có lý do gì để làm vậy.

Quishing hoạt động như thế nào

Không giống đường link trong email mà bạn có thể di chuột lên để xem trước URL, mã QR là hộp đen: bạn không thể biết nó dẫn đến đâu trước khi quét. Đây chính là điểm khai thác của quishing.

Kịch bản tấn công phổ biến:

Dán đè mã QR nơi công cộng: Kẻ tấn công in mã QR độc hại lên nhãn dán, rồi dán đè lên mã QR hợp lệ tại bãi đỗ xe, cửa hàng, bảng thông báo. Nạn nhân tưởng quét mã QR của tổ chức thật nhưng thực ra quét mã QR của kẻ tấn công.

Mã QR giả mạo ngân hàng: Tờ rơi giả được phát hoặc dán ở nơi đông người, tuyên bố "Quét để nhận khuyến mãi từ [Tên Ngân Hàng]" nhưng thực ra dẫn đến trang đăng nhập giả mạo đánh cắp thông tin ngân hàng.

Mã QR trong email phishing: Email giả mạo cơ quan nhà nước, ngân hàng, hay công ty giao nhận yêu cầu "quét mã QR để xác nhận đơn hàng" hoặc "quét để nộp hồ sơ". Đây là cách vượt qua bộ lọc email phát hiện link độc hại — bộ lọc kiểm tra URL văn bản nhưng thường không phân tích mã QR trong ảnh đính kèm.

Mã QR bãi đỗ xe và thanh toán: Tại nhiều quốc gia, kẻ tấn công dán mã QR thanh toán giả lên máy bán vé đỗ xe hoặc thiết bị POS. Người dùng quét và thanh toán cho kẻ tấn công thay vì cho bãi đỗ.

Tại Việt Nam: Các hình thức quishing phổ biến bao gồm mã QR chuyển khoản giả (dẫn đến số tài khoản khác thay vì số thật), mã QR giả mạo ứng dụng ngân hàng (dẫn đến trang lừa đảo thu thập OTP), và mã QR mạo danh MoMo, ZaloPay khuyến mãi.

Dấu hiệu cảnh báo mã QR đáng ngờ

Dấu hiệu vật lý

Nhãn dán đắp lên nhãn gốc: Nhìn kỹ xem mã QR có được in lên bề mặt chính của biển hay chỉ là nhãn dán đắp lên? Nếu có thể bóc ra dễ dàng, đó là dấu hiệu nguy hiểm.
Mã QR không khớp với ngữ cảnh: Tại cửa hàng quen thuộc, mã QR mới xuất hiện mà không có thông báo nào từ nhân viên.
Chất lượng in kém: Mã QR bị mờ, nghiêng, hoặc được in trên giấy thường không phải vật liệu chuyên nghiệp — trong khi các điểm xung quanh đều được in đẹp.

Dấu hiệu kỹ thuật sau khi quét

URL lạ, không khớp với tổ chức: Mã QR của Vietcombank dẫn đến vietcombank-secure.xyz thay vì vietcombank.com.vn.
URL rút gọn không rõ nguồn gốc: Link bit.ly/abc123 không cho bạn biết sẽ đến đâu — đây không nhất thiết là nguy hiểm, nhưng cần thêm cẩn thận.
Trang yêu cầu thông tin nhạy cảm ngay lập tức: Trang đăng nhập ngân hàng xuất hiện ngay sau khi quét mà không có bước xác nhận nào.
Không có HTTPS: Trang web không có biểu tượng khóa (HTTPS) không nên nhập bất kỳ thông tin nào.

Dấu hiệu ngữ cảnh

Tạo cảm giác cấp bách: "Quét ngay trong 10 phút để nhận thưởng" — cảm giác khẩn cấp là kỹ thuật thao túng tâm lý cổ điển.
Phần thưởng quá hấp dẫn: "Quét để nhận iPhone 15" hoặc "Trúng thưởng 10 triệu đồng" — quá tốt để là thật.
Không có bối cảnh rõ ràng: Mã QR xuất hiện ở nơi lạ, không có giải thích, không có thương hiệu nhận dạng được.

Cách bảo vệ bản thân khi quét mã QR

Kiểm tra URL trước khi mở

Hầu hết camera điện thoại hiện đại hiển thị preview URL trước khi bạn cần nhấn để mở. Đọc URL đó trước khi nhấn. Hỏi bản thân:

Domain có khớp với tổ chức bạn mong đợi không? (phải là domain chính, không phải subdomain lạ)
URL có chứa ký tự lạ thay thế chữ cái không? (ví dụ: vietc0mbank.com với số 0 thay chữ O)
URL có quá dài và phức tạp không cần thiết không?

Dùng app quét QR có tính năng bảo mật

Một số app quét QR (như Kaspersky QR Scanner, Norton QR Scanner) kiểm tra URL trước khi mở và cảnh báo nếu liên kết bị đánh dấu là độc hại. Đây là lớp bảo vệ thêm so với camera gốc.

Không nhập thông tin nhạy cảm từ trang mở bằng QR

Nếu trang web được mở từ mã QR yêu cầu nhập thông tin đăng nhập ngân hàng, OTP, hay thông tin thẻ tín dụng — hãy dừng lại. Thay vào đó, gõ trực tiếp URL chính thức của ngân hàng vào trình duyệt.

Nguyên tắc vàng: Không bao giờ nhập mật khẩu ngân hàng hoặc OTP vào trang web được mở từ mã QR không rõ nguồn gốc.

Kiểm tra mã QR tại địa điểm công cộng

Khi gặp mã QR ở bãi đỗ xe, nhà hàng, trên đường: nhìn xem có vết tích nhãn dán đắp lên không. Nếu nghi ngờ, hỏi nhân viên xác nhận trước khi quét.

Cập nhật thiết bị và ứng dụng

Hệ điều hành và trình duyệt đã vá các lỗ hổng được khai thác bởi trang web độc hại. Giữ điện thoại luôn cập nhật là biện pháp bảo vệ cơ bản.

Trách nhiệm của tổ chức tạo mã QR

Nếu bạn là doanh nghiệp hay tổ chức sử dụng mã QR, bạn cũng có trách nhiệm bảo vệ người dùng:

In mã QR trực tiếp trên vật liệu, không dùng nhãn dán: Khó dán đè hơn.
Đặt mã QR ở vị trí có camera giám sát hoặc dưới sự quan sát của nhân viên.
Kiểm tra mã QR định kỳ: Quét thử mã QR tại cửa hàng mỗi ngày để phát hiện nếu bị dán đè.
Thông báo cho khách hàng về URL hợp lệ: "Mã QR của chúng tôi luôn dẫn đến domain cửahàng.vn."
Sử dụng công cụ tạo QR đáng tin cậy: QRcito tạo mã QR hoàn toàn trong trình duyệt, không qua máy chủ trung gian, không tạo URL redirect đáng ngờ. URL trong mã QR là URL bạn nhập — không thay đổi, không theo dõi.

Nhận biết nhanh: Checklist trước khi quét

Trước khi quét bất kỳ mã QR nào ở nơi công cộng, hãy tự hỏi nhanh:

[ ] Tôi có biết mã QR này đến từ đâu không?
[ ] Mã QR có bị dán đè không?
[ ] Ngữ cảnh có hợp lý không (nhà hàng, cửa hàng, sự kiện tôi đang tham dự)?
[ ] Preview URL có khớp với tổ chức tôi mong đợi không?
[ ] Có ai kêu gọi tôi quét với lý do "khẩn cấp" hoặc "phần thưởng lớn" không?

Nếu có bất kỳ dấu hiệu đáng ngờ nào, không quét, hoặc quét nhưng đóng trang ngay mà không nhập thông tin gì.

Bảo mật và tiện lợi không loại trừ nhau

Mã QR an toàn khi dùng đúng cách và cẩn thận. Rủi ro quishing thực tế nhưng có thể giảm thiểu đáng kể với vài thói quen đơn giản. Khi bạn cần tạo mã QR cho doanh nghiệp hoặc cá nhân, hãy dùng công cụ an toàn: qrcito.com/vi/ xử lý mọi thứ trong trình duyệt, không lưu URL, không theo dõi, không dữ liệu nào rời khỏi thiết bị của bạn. Mã QR bạn tạo ra chứa chính xác URL bạn nhập — minh bạch hoàn toàn.

← Quay lại blog