Thủ đoạn lừa đảo ngân hàng tinh vi tiếp tục tấn công giả mạo bằng cách giả vờ bị triệt phá – Phương thức hoạt động

Công nghệ > An ninh mạng Phương thức lừa đảo ngân hàng tinh vi duy trì hoạt động bằng cách giả mạo trạng thái ngừng hoạt động Người dùng sẽ không nhìn thấy thông báo "bị đình chỉ" vì nội dung này không nhắm vào đối tượng nạn nhân. Charlie Osborne Cộng tác viên Charlie Osborne là nhà báo kiêm nhiếp ảnh gia chuyên về an ninh mạng, làm việc cho ZDNET và CNET từ London... Xem tiểu sử đầy đủ Charlie Osborne Cộng tác viên Xem tiểu sử đầy đủ Ngày 3/11/2026, 9 giờ 15 phút ET 4 phút đọc Yuliya Taba/iStock/Getty Images Plus Các nội dung chính theo ZDNET Các trang web ngân hàng giả mạo đang tự tạo thông báo đình chỉ hoạt động để tránh bị phát hiện. Hệ thống quét an ninh ghi nhận thông báo gỡ bỏ, trong khi nạn nhân không nhìn thấy thông báo này. Hàng trăm tên miền giả mạo vẫn đang hoạt động. Các chuyên gia nghiên cứu tại KELA vừa phát hiện một hạ tầng lừa đảo tài chính đang hoạt động, vận hành hàng trăm trang web lừa đảo có khả năng tự giả mạo trạng thái bị đình chỉ để duy trì hiện diện trực tuyến. Tính đến ngày 25/10/2026, có 248 tên miền lừa đảo tài chính và giả mạo (phishing) liên quan đến 189 ngân hàng và tổ chức dịch vụ tài chính lớn của Mỹ đã được xác định kết nối với hạ tầng này. Theo báo cáo của công ty an ninh mạng công bố vào ngày thứ Ba, chiến dịch hạ tầng mang tên “Suspended” vận hành các trang web sao chép tên miền chính thức của các tổ chức là nạn nhân, tập trung đặc biệt vào mảng dịch vụ ngân hàng doanh nghiệp. Nhiều tên miền sử dụng định dạng [từ khóa]-[tên ngân hàng].com, chèn thêm các từ khóa như “secure” (bảo mật), “disable” (vô hiệu hóa), “protect” (bảo vệ) và “cancel” (hủy bỏ). Xem thêm: Cảnh báo thiết bị nghe lén Bluetooth: Cách các thiết bị công nghệ phổ biến có thể làm lộ dữ liệu cá nhân Tin đọc thêm từ ZDNET Đang được quan tâm Cảnh báo thiết bị nghe lén Bluetooth: Cách các thiết bị công nghệ phổ biến có thể làm lộ dữ liệu cá nhân 29/10/2026 Firefox và Chrome cùng vá hơn 200 lỗ hổng bảo mật – khuyến nghị cập nhật khẩn cấp cả hai trình duyệt 29/10/2026 Bộ định tuyến Netgear có thể tồn tại lỗ hổng bảo mật – hướng dẫn kiểm tra và vá lỗi 30/10/2026 Một số ít máy chủ phân bổ trên hai nhà cung cấp dịch vụ lưu trữ chia sẻ (shared hosting) đang vận hành hệ thống máy chủ phụ trợ (backend) của hạ tầng Suspended. Hạ tầng này cũng liên quan đến các chiến dịch lừa đảo giả mạo nhắm vào các sàn giao dịch tiền mã hóa và dịch vụ chính phủ tại Anh, Hà Lan, Australia và New Zealand. Do đó, các nhà nghiên cứu nhận định rằng hệ thống này có thể do một đối tượng duy nhất điều hành hoặc là một phần của nền tảng cung cấp dịch vụ lừa đảo giả mạo (phishing-as-a-service) quy mô lớn hơn. Điểm khác biệt của chiến dịch lừa đảo tài chính này Chiến dịch lừa đảo giả mạo này trở nên đặc biệt bởi cách thức các đối tượng tội phạm mạng bảo vệ hệ thống: tự đưa ra các thông báo gỡ bỏ. Thông thường, khi truy cập một trang web và thấy thông báo trang đã bị gỡ bỏ hoặc đình chỉ, nguyên nhân là do tên miền đó liên quan đến hoạt động độc hại hoặc bất hợp pháp, bao gồm lừa đảo và tấn công giả mạo. Các cơ quan thực thi pháp luật, thường phối hợp với các công ty công nghệ, sẽ xác định các trang web này, xin lệnh của tòa án và tịch thu hạ tầng hoặc tài khoản liên quan để buộc nhà đăng ký tên miền hoặc nhà cung cấp dịch vụ lưu trữ phải đình chỉ hoạt động. Khi thấy thông báo, người dùng sẽ rời đi – và các công cụ quét tự động cũng như đội ngũ an ninh mạng cũng phản ứng tương tự. Tuy nhiên, trong trường hợp này, các đối tượng lừa đảo đã tự tạo cơ chế hiển thị thông báo giả nhằm tránh bị gắn cờ và triệt hạ. Yếu tố mấu chốt nằm ở thời điểm hiển thị thông báo này. Cơ chế hoạt động của cảnh báo giả mạo Thông báo đình chỉ giả mạo thoạt nhìn có vẻ đơn giản. Một bộ công cụ lừa đảo (phishing kit) được nhúng trong tên miền sẽ ghi nhận địa chỉ IP của từng khách truy cập; khi họ truy cập lần thứ hai, hệ thống sẽ hiển thị một trang giả mạo thông báo “tài khoản đã bị đình chỉ”. Bộ công cụ này được ngụy trang dưới dạng một trang xác thực tương tự các trang hợp pháp do Cloudflare sử dụng. Các nhà nghiên cứu cũng phát hiện những hình thức nghi binh khác, bao gồm thông báo “Rất tiếc, bạn đã bị chặn”, các trang trắng và lệnh chuyển hướng đến Google. Một số trang còn tích hợp reCAPTCHA. Bên cạnh đó, các nhà nghiên cứu cũng phát hiện các đoạn mã ngăn chặn công cụ dành cho nhà phát triển trên trình duyệt, nhiều khả năng nhằm làm chậm quá trình phân tích. Tin liên quan: Không sử dụng Muse? Tác tử AI của Meta vẫn có thể truy cập tin nhắn riêng tư – phương thức thực hiện Tuy nhiên, mục đích của việc hiển thị các thông báo đình chỉ giả mạo là gì? Đối với các công cụ quét và đội ngũ an ninh mạng, giao diện này tạo cảm giác tên miền độc hại đã được xử lý, từ đó họ sẽ chuyển sang kiểm tra các trang web đáng ngờ khác. Tổ chức KELA nhận định: “Thiết kế này nhắm trực tiếp vào những đối tượng có khả năng đánh sập một trang web. Nạn nhân thông thường chỉ nhấp vào liên kết một lần. Trong khi đó, một công cụ quét, một đội ngũ an ninh mạng hoặc đơn vị gỡ bỏ nội dung độc hại sẽ kiểm tra trang web bị báo cáo và kiểm tra lại lần thứ hai để xác nhận; lần kiểm tra thứ hai này sẽ hiển thị trạng thái dường như trang đã bị gỡ bỏ hoàn toàn.” Như trong hình ảnh dưới đây, trong khi các công cụ quét ghi nhận thông báo đình chỉ, nạn nhân vẫn nhìn thấy trang web giả mạo với đầy đủ các nội dung dẫn dụ nhằm chiếm đoạt thông tin, dẫn đến hành vi gian lận tài chính và nguy cơ bị đánh cắp danh tính. Xét cho cùng, chỉ một lần truy cập là đủ. KELA Mức độ lan rộng của chiến dịch lừa đảo này ra sao? Tính đến thời điểm viết bài, có 248 tên miền đang hoạt động, chưa kể các tên miền đã bị gỡ bỏ sau khi các nhà nghiên cứu báo cáo phát hiện với cơ quan thực thi pháp luật; hơn 300 tên miền lừa đảo đã được lưu trữ trên cùng một cơ sở hạ tầng kể từ tháng 5 năm nay. Đáng quan ngại, chiến dịch lừa đảo này vẫn đang tiếp diễn với các tên miền mới xuất hiện mỗi ngày. Một manh mối có thể giúp xác định đối tượng vận hành là kết nối máy tính từ xa tới cơ sở hạ tầng độc hại thông qua đường truyền băng thông rộng gia đình tiêu chuẩn tại Vương quốc Anh, song thông tin này vẫn chưa được xác minh. Phương thức nhận biết các trang web ngân hàng giả mạo Cần sử dụng công cụ kiểm tra liên kết lừa đảo để xác minh độ tin cậy của một URL, đồng thời lưu ý rằng mọi thư điện tử hoặc tin nhắn tự xưng là từ phía ngân hàng đều có thể là hành vi gian lận. Các dấu hiệu điển hình của một thư điện tử ngân hàng lừa đảo bao gồm: Địa chỉ thư điện tử bất thường: Đây là dấu hiệu rõ ràng cho thấy thư bắt nguồn từ một tên miền gian lận. Cần cảnh giác trước các lỗi chính tả nhỏ và các tên miền lạ. Po