Chỉ một lần bấm “cho phép”, tài khoản ngân hàng có thể bị rút sạch

Từ ngày 10/10 đến 15/10/2026, công an nhiều tỉnh và Bảo hiểm xã hội Việt Nam liên tục cảnh báo ba thủ đoạn lừa đảo: giả cán bộ bảo hiểm gọi điện, gửi tin nhắn kèm đường link giả, và giả nhân viên điện, nước đến tận nhà. Cách tiếp cận khác nhau, nhưng kết cục giống nhau: nạn nhân cài ứng dụng lạ, bấm “cho phép” và mất tiền trong tài khoản.

Nhiều người nghĩ rằng chỉ khi lộ mật khẩu ngân hàng mới bị mất tiền. Thực tế, kẻ gian không cần mật khẩu. Chúng chỉ cần nạn nhân tự cài một ứng dụng giả rồi bấm “cho phép”. Khi đó, phần mềm độc hại sẽ âm thầm theo dõi mọi thao tác trên điện thoại, đọc được tin nhắn chứa mã OTP và chuyển tiền đi, ngay cả khi điện thoại vẫn đang nằm trong tay chủ.

Dưới đây là ba thủ đoạn vừa được cơ quan chức năng cảnh báo trong tháng 10/2026.

Giả cán bộ bảo hiểm gọi điện, dụ cài “thẻ BHXH điện tử”

Ngày 10/10/2026, Công an tỉnh Hưng Yên cảnh báo tình trạng kẻ gian gọi điện, tự xưng là cán bộ Bảo hiểm xã hội hoặc cán bộ xã, phường. Chúng nói người dân cần cập nhật, đồng bộ thẻ Bảo hiểm y tế, nhất là thẻ của trẻ dưới 6 tuổi.

Ban đầu, đối tượng hẹn người dân mang căn cước lên UBND xã, phường để tạo cảm giác đây là thủ tục thật. Khi người dân nói bận, chúng đề nghị “hỗ trợ từ xa”: kết bạn Zalo, rồi gửi đường link cài ứng dụng giả mang tên “Bảo hiểm xã hội điện tử”. Cài xong và cấp quyền theo hướng dẫn, điện thoại sẽ bị chiếm quyền điều khiển, tiền trong tài khoản bị chuyển đi.

Bảo hiểm xã hội tỉnh Hưng Yên khẳng định không cử nhân viên và không có kế hoạch cài “thẻ Bảo hiểm xã hội điện tử” cho người dân.

Chiều 12/10, Bảo hiểm xã hội Việt Nam cảnh báo thêm một biến thể dựa trên thông tin từ Công an TP Cần Thơ. Kẻ gian báo người dân “được hoàn tiền bảo hiểm y tế năm 2026” hoặc “được cấp thẻ bảo hiểm y tế diện an toàn khu”, rồi gửi tệp cài đặt tên “vssid.apk”. Tệp này trông giống hệt ứng dụng VssID thật nhưng là phần mềm giả, đòi quyền đọc tin nhắn, danh bạ và điều khiển màn hình từ xa.

Tin nhắn “mở khóa tài khoản”, “nộp phạt nguội” kèm đường link

Cũng trong tháng 10, Công an tỉnh Điện Biên cảnh báo các tin nhắn có nội dung “xác minh tài khoản”, “mở khóa tài khoản”, “cập nhật thông tin” hoặc “xác nhận giao dịch”. Người gửi giả làm ngân hàng, cơ quan nhà nước, đơn vị giao hàng hay mạng xã hội.

Tin nhắn thường rất ngắn và thúc ép làm ngay, kèm lời dọa tài khoản sẽ bị khóa. Đường link dẫn tới một trang web trông gần giống trang thật. Khi người dùng nhập mật khẩu hoặc mã OTP, kẻ gian lập tức chiếm được tài khoản.

Công an tỉnh Hưng Yên cũng cảnh báo tin nhắn “phạt nguội” giả, gửi kèm link “nộp phạt trực tuyến”. Có trường hợp đối tượng còn gọi điện, đọc đúng thông tin cá nhân của nạn nhân để tạo lòng tin, rồi yêu cầu chuyển tiền vào tài khoản cá nhân.

Giả nhân viên điện, nước đến tận nhà, xin cầm điện thoại

Thủ đoạn thứ ba táo bạo hơn, vì kẻ gian xuất hiện ngay trước cửa nhà. Theo Công an tỉnh Ninh Bình, đối tượng có thể mặc đồng phục, đeo thẻ nhân viên giả, lấy lý do kiểm tra định kỳ, chuyển sang hóa đơn điện tử, cập nhật hợp đồng hoặc hoàn tiền hóa đơn.

Sau vài câu hỏi xã giao, chúng thúc giục chủ nhà quét mã QR hoặc đưa điện thoại để “cài giúp” ứng dụng. Một khi ứng dụng độc hại được cấp quyền, kẻ gian có thể vào ứng dụng ngân hàng để chuyển tiền, đồng thời chiếm Zalo, Facebook để nhắn tin vay tiền người thân của nạn nhân.

Chiêu mạo danh ngành điện không mới. Tháng 9/2025, Tổng công ty Điện lực miền Nam từng cảnh báo trường hợp một người dân ở TP.HCM mất hơn 2,25 tỷ đồng sau khi cài ứng dụng giả theo hướng dẫn của người tự xưng là nhân viên điện lực.

Khuyến cáo từ cơ quan công an

Để không sập bẫy, công an các tỉnh Hưng Yên, Điện Biên, Ninh Bình khuyến cáo người dân:

- Không làm theo yêu cầu của người lạ tự xưng là cán bộ bảo hiểm, công an, chính quyền hay nhân viên điện, nước. Người đến nhà phải xuất trình thẻ nhân viên, giấy giới thiệu; người dân nên gọi tổng đài chính thức của đơn vị để kiểm tra.

- Không kết bạn Zalo với người lạ, không bấm link lạ, không quét mã QR do người khác đưa, không giao điện thoại đang mở khóa cho người lạ.

- Chỉ tải ứng dụng từ App Store hoặc CH Play. Không cài tệp .apk, không cấp quyền trợ năng hay điều khiển thiết bị cho ứng dụng không rõ nguồn gốc.

- Không cung cấp mật khẩu, mã OTP hay xác thực khuôn mặt theo yêu cầu của người khác.

- Cơ quan chức năng không gửi link yêu cầu nộp phạt. Tra cứu phạt nguội qua VNeTraffic; thủ tục bảo hiểm làm trực tiếp tại cơ quan BHXH hoặc tra cứu trên baohiemxahoi.gov.vn.

Nếu đã lỡ làm theo, Phòng An ninh mạng Công an tỉnh Ninh Bình khuyến cáo cần làm ngay các bước sau: tắt mạng hoặc tắt nguồn điện thoại; dùng thiết bị khác gọi ngân hàng để khóa tài khoản; đổi mật khẩu Zalo, Facebook; báo cho người thân qua kênh khác; lưu chứng cứ và trình báo cơ quan công an gần nhất.