Chiến dịch lừa đảo ngân hàng giả trang web bị đình chỉ

Minh họa lừa đảo ngân hàng trực tuyến

Hãng an ninh mạng Kela vừa công bố nghiên cứu về một chiến dịch lừa đảo (phishing) tinh vi nhắm vào các ngân hàng, sử dụng thủ đoạn đặc biệt để né tránh các nỗ lực gỡ bỏ. Theo đó, kẻ tấn công hiển thị trang đăng nhập giả cho người truy cập lần đầu, nhưng khi ai đó quay lại kiểm tra lần thứ hai thì sẽ thấy một trang thông báo giả rằng tài khoản lưu trữ đã bị đình chỉ ("This account has been suspended").

Chiến dịch này đang hoạt động từ tháng 5 và sử dụng hơn 300 tên miền giả mạo, trong đó có 248 tên miền mạo danh 189 tổ chức tài chính tại Mỹ. Những tên miền đầu tiên được đăng ký vào cuối năm 2025, nhưng phần lớn xuất hiện trong giai đoạn từ tháng 7 đến tháng 9 năm 2026.

Cơ chế né tránh gỡ bỏ

Điểm mấu chốt của chiến dịch nằm ở một cơ chế duy nhất: bộ công cụ lừa đảo (phishing kit) ghi nhớ địa chỉ IP của mọi khách truy cập. Lần truy cập đầu tiên sẽ nhận được trang đăng nhập ngân hàng, còn bất kỳ lần truy cập lại nào cũng nhận được trang trông như tài khoản lưu trữ đã bị đóng. Kela gọi cụm hạ tầng này là "Suspended".

"Thiết kế đó nhắm chính xác vào những người có thể đưa một trang web ngừng hoạt động. Nạn nhân thường chỉ theo một liên kết một lần. Nhưng một công cụ quét, một đội an ninh hay một nhà cung cấp dịch vụ gỡ bỏ sẽ kiểm tra trang bị báo cáo, rồi kiểm tra lại để xác nhận — và lần kiểm tra thứ hai hiển thị thứ trông như một vụ gỡ bỏ đã hoàn tất", Kela giải thích.

Hệ quả là một nhà cung cấp dịch vụ gỡ bỏ có thể đánh dấu tên miền giả mạo là đã ngừng hoạt động trong khi nó vẫn đang phục vụ trang lừa đảo cho khách truy cập mới. Muốn thấy nội dung thật, mỗi lần kiểm tra phải dùng một địa chỉ IP mới.

Quy luật đặt tên và đối tượng nhắm tới

Phần lớn tên miền được phát hiện tuân theo một mẫu đặt tên tương tự: chứa từ khóa như "secure", "disable", "protect", "cancel", "authorize", "terminate", "credentials" hay "commercial", theo sau là dấu gạch nối và tên ngân hàng bị nhắm tới. Một nhóm nhỏ hơn nhưng đang lớn dần dùng các tên gắn với ngân hàng như help-desk, live-support, treasury-portal và "primary device". Khoảng một nửa trong số 49 tên miền hoạt động trong tuần tính đến ngày 25/10 dùng các mẫu này, gồm cả trang giả mạo bộ phận hỗ trợ và chat trực tuyến của JPMorgan, Citi, BMO và Santander.

Tính đến ngày 25/10, 183 tổ chức bị nhắm tới vẫn còn trang giả mạo đang hoạt động, chủ yếu là các ngân hàng khu vực quy mô vừa. Riêng tuần trước đã xuất hiện 49 tên miền mới.

Kela chưa xác định được cách nạn nhân bị dẫn dụ tới các trang lừa đảo, nhưng kết luận chiến dịch này chủ yếu nhắm vào đăng nhập ngân hàng doanh nghiệp và kho bạc (treasury) thay vì tài khoản cá nhân.

Chi tiết kỹ thuật của trang giả

Khách truy cập lần đầu nhận được trang gắn thương hiệu của ngân hàng mục tiêu, yêu cầu nhập mã người dùng và mật khẩu, có thể kèm reCAPTCHA. Tiêu đề tab "Attention required" sao chép tên trang thử thách của Cloudflare, trong khi một đoạn mã trên trang chặn công cụ dành cho nhà phát triển của trình duyệt.

Không phải tên miền nào cũng dùng trang "suspended" giả. Một số hiển thị thông báo giả khác, số khác chuyển hướng về Google, khiến các dịch vụ quét công khai không thể ghi nhận đầy đủ chiến dịch. Các tên miền nằm sau Cloudflare, nhưng một số từng phân giải (resolve) về máy chủ thật trong thời gian ngắn, giúp Kela truy ra nơi lưu trữ thực tế và phát hiện chiến dịch còn nhắm vào nạn nhân tại Anh, Australia và New Zealand.

Minh họa an ninh mạng

Theo Kela, có bốn yếu tố khiến hạ tầng này khó bị ngăn chặn: công thức đặt tên đơn giản đến mức có thể lặp lại cho bất kỳ ngân hàng nào; Cloudflare che giấu nơi lưu trữ trang; bộ kit hiển thị màn hình "suspended" giả cho bất kỳ ai kiểm tra lần hai, khiến tên miền đang sống có thể giả làm tên miền đã chết; và máy chủ dùng chung tồn tại lâu hơn bất kỳ tên miền đơn lẻ nào.

Góc nhìn

Với các kỹ sư và đội an ninh tại Việt Nam, chiến dịch này cho thấy quy trình kiểm tra một trang lừa đảo theo kiểu "mở link xem còn sống hay không" đã không còn đáng tin. Khi một hệ thống có thể nhận diện khách truy cập và trả nội dung khác nhau cho từng lần vào, bất kỳ quy trình đánh giá tự động nào dựa trên một lần truy cập cũng có thể bị qua mặt — kể cả khi đó là bước xác nhận trước khi đóng một báo cáo sự cố.

Về phía doanh nghiệp, các tổ chức tài chính và những đơn vị dùng cổng đăng nhập nội bộ nên xem đây là lời nhắc về rủi ro của mô hình đăng nhập một lớp. Việc bổ sung xác thực đa yếu tố và theo dõi tên miền giả mạo gắn với thương hiệu của mình là những bước phòng vệ hợp lý, bởi kẻ tấn công đang nhắm vào chính các luồng đăng nhập nhạy cảm như ngân hàng doanh nghiệp và kho bạc.