Bài học quan trọng của ZDNET

• Các trang web ngân hàng giả mạo đang giả mạo việc đình chỉ của chính họ để ẩn nấp
• Mặc dù máy quét nhìn thấy thông báo gỡ xuống nhưng nạn nhân thì không.
• Hàng trăm tên miền giả vẫn đang hoạt động.

Các nhà nghiên cứu của KELA đã phát hiện ra một cơ sở hạ tầng lừa đảo tài chính đang hoạt động, nơi lưu trữ hàng trăm trang web lừa đảo có khả năng giả mạo lệnh đình chỉ của chính họ để duy trì hoạt động trực tuyến. Tính đến ngày 25 tháng 10 năm 2026, 248 miền lừa đảo và lừa đảo tài chính gắn liền với 189 ngân hàng và dịch vụ tài chính lớn của Hoa Kỳ đã được liên kết với cùng một cơ sở hạ tầng.

Theo báo cáo của công ty an ninh mạng được công bố hôm thứ Ba, hoạt động cơ sở hạ tầng “bị đình chỉ” điều hành các trang web đã sao chép các miền chính thức của các tổ chức nạn nhân, đặc biệt tập trung vào ngân hàng kinh doanh. Nhiều miền sử dụng định dạng [keyword]-[bank].com, đặt các từ khóa như “bảo mật”, “vô hiệu hóa”, “bảo vệ” và “hủy”.

Xem thêm từ ZDNET

Tại sao chiến dịch lừa đảo tài chính này lại khác biệt?

Chiến dịch lừa đảo này nổi bật vì cách bọn tội phạm mạng đứng sau trò lừa đảo này đang bảo vệ nó: bằng cách đưa ra thông báo gỡ xuống.

Khi bạn truy cập một trang web và thấy thông báo rằng trang web đó đã bị gỡ xuống hoặc bị tạm ngừng, nguyên nhân thường là do miền đó có liên quan đến hoạt động độc hại hoặc bất hợp pháp, bao gồm lừa đảo và lừa đảo. Các cơ quan thực thi pháp luật, thường với sự trợ giúp từ các công ty công nghệ, sẽ tìm ra những trang web này, nhận được lệnh tòa cần thiết và thu giữ cơ sở hạ tầng hoặc tài khoản đằng sau chúng để buộc nhà đăng ký hoặc nhà cung cấp dịch vụ lưu trữ tạm dừng.

Bạn nhìn thấy thông báo, bạn tiếp tục — và điều này cũng áp dụng cho máy quét và đội bảo mật.

Tuy nhiên, trong trường hợp này, những kẻ lừa đảo đã tạo ra một cơ chế để tự mình thể hiện, nhằm tránh bị gắn cờ và gỡ xuống. Nhưng quan trọng là khi họ thể hiện điều đó.

Cờ lừa đảo giả hoạt động như thế nào

Thông báo đình chỉ sai thoạt nhìn có vẻ đơn giản. Một bộ lừa đảo được nhúng trong miền sẽ đăng ký địa chỉ IP của từng khách truy cập và trong lần truy cập thứ hai, họ sẽ thấy một trang "tài khoản bị đình chỉ" giả mạo. Bộ công cụ này được ngụy trang thành một trang thử thách tương tự như những trang được Cloudflare sử dụng hợp pháp.

Các nhà nghiên cứu cũng phát hiện ra các chiêu trò khác, bao gồm thông báo “Xin lỗi, bạn đã bị chặn”, các trang trống và chuyển hướng đến Google. Một số trang cũng có reCAPTCHA và các nhà nghiên cứu đã phát hiện các tập lệnh chặn các công cụ dành cho nhà phát triển trình duyệt, có khả năng làm chậm quá trình phân tích.

Nhưng tại sao ngay từ đầu lại hiển thị thông báo đình chỉ giả? Đối với các máy quét và nhóm an ninh mạng, có vẻ như ai đó đã xử lý miền độc hại và họ có thể chuyển sang trang web đáng ngờ tiếp theo.

“Thiết kế đó nhắm mục tiêu chính xác vào những người có thể đóng cửa một trang web,” KELA nói. "Nạn nhân thường truy cập vào một liên kết một lần. Máy quét, nhóm bảo mật hoặc nhà cung cấp dịch vụ gỡ bỏ sẽ kiểm tra một trang web được báo cáo rồi kiểm tra lại để xác nhận. Lần kiểm tra thứ hai cho thấy những gì trông giống như một quá trình gỡ bỏ đã hoàn tất."

Như được hiển thị trong hình ảnh bên dưới, trong khi máy quét sẽ phát hiện thông báo tạm dừng, nạn nhân vẫn sẽ nhìn thấy trang web nhân bản, hoàn chỉnh với những chiêu dụ nhằm lôi kéo họ nhập thông tin của mình, dẫn đến gian lận tài chính và có khả năng bị đánh cắp danh tính. Rốt cuộc, một lần ghé thăm là đủ.

Chiến dịch lừa đảo này lan rộng đến mức nào?

Tính đến thời điểm viết bài này, có 248 miền trực tiếp, cộng với những miền bị ngoại tuyến sau khi các nhà nghiên cứu tiết lộ phát hiện của họ cho cơ quan thực thi pháp luật; hơn 300 tên miền lừa đảo đã được lưu trữ trên cùng một cơ sở hạ tầng kể từ tháng 5 năm nay. Thật không may, chiến dịch lừa đảo này vẫn hoạt động và các tên miền mới xuất hiện mỗi ngày.

Một đầu mối có thể tiết lộ kẻ điều hành: một kết nối máy tính để bàn từ xa tới cơ sở hạ tầng độc hại thông qua kết nối băng rộng gia đình tiêu chuẩn của Vương quốc Anh, nhưng nó vẫn chưa được xác minh.

Làm thế nào để bạn phát hiện các trang web ngân hàng giả mạo?

Sử dụng trình kiểm tra liên kết lừa đảo để xác minh xem URL có đáng tin cậy hay không và hãy nhớ rằng bất kỳ email hoặc tin nhắn nào tự nhận là từ ngân hàng của bạn đều có thể là lừa đảo.

Các dấu hiệu điển hình của email lừa đảo ngân hàng bao gồm:

• Địa chỉ email bất thường: Đây là dấu hiệu rõ ràng cho thấy thư đến từ một miền lừa đảo. Hãy chú ý đến các lỗi đánh máy nhỏ và các miền mà bạn không nhận ra.
• Định dạng kém: Lỗi chính tả, nội dung viết kém, nội dung mơ hồ và chung chung thiếu thông tin cụ thể — tất cả những điều này có thể dẫn đến email lừa đảo. Logo có thể được sao chép và dán vào nội dung thư để khiến chúng thuyết phục hơn, nhưng đừng tin vào điều đó.
• Nội dung mang tính cảm xúc: Email lừa đảo thường thành công nhất khi chúng tạo ra phản ứng cảm xúc, bao gồm cả sự hoảng sợ. Nếu một email gửi đến hộp thư đến của bạn yêu cầu thanh toán, phí trả chậm hoặc đe dọa hành động pháp lý đối với những vấn đề mà bạn không biết, hãy dành một chút thời gian để thở trước khi trả lời. Nếu bạn cần xác minh rằng tin nhắn là hợp pháp, hãy gọi trực tiếp đến ngân hàng của bạn — và không sử dụng bất kỳ số điện thoại nào có trong email vì họ có thể đưa bạn đến một trung tâm cuộc gọi lừa đảo.
• Các liên kết và tệp đính kèm đáng ngờ: Các liên kết và tệp đính kèm độc hại thường được tìm thấy trong vở kịch tội phạm mạng. Các liên kết có thể đưa bạn đến các miền lừa đảo, trong khi các tệp đính kèm có thể chứa phần mềm độc hại lây nhiễm vào PC của bạn. Hãy cảnh giác với cả hai.

Khi nói đến các tổ chức, KELA đã phát hành một công cụ Kiểm tra lừa đảo ngân hàng miễn phí để so sánh các miền và tổ chức chính thức với các trang web được phát hiện trong quá trình nghiên cứu của công ty.