Lợi dụng nhu cầu cập nhật thông tin, giải quyết chế độ bảo hiểm xã hội (BHXH), bảo hiểm y tế (BHYT), các đối tượng lừa đảo giả danh cán bộ cơ quan BHXH, công an hoặc chính quyền địa phương để tiếp cận người dân, dụ cài đặt ứng dụng giả mạo VssID nhằm đánh cắp thông tin và chiếm đoạt tài sản.

Theo cảnh báo của Công an TP Cần Thơ, các đối tượng gọi điện, tự xưng là công an phụ trách địa bàn hoặc cán bộ BHXH, thông báo người dân thuộc diện được cấp thẻ BHYT theo diện An toàn khu hoặc được nhận tiền hoàn trả BHYT năm 2026. Để tạo áp lực, chúng viện lý do hồ sơ định danh điện tử bị lỗi, chưa kích hoạt mã đối tượng An toàn khu trên hệ thống VssID hoặc thông tin tài khoản nhận tiền hoàn trả chưa khớp, yêu cầu người dân xử lý ngay trong ngày để tránh mất quyền lợi.

Sau đó, các đối tượng đề nghị kết bạn qua Zalo, lấy lý do hướng dẫn làm thủ tục trực tuyến để người dân không phải đi lại. Khi nạn nhân đồng ý, chúng gửi đường link dẫn đến trang web có giao diện sao chép cổng dịch vụ công hoặc gửi tệp cài đặt ứng dụng có đuôi APK, liên tục thúc giục người dân tải về điện thoại.

Công an tỉnh Hưng Yên cũng cảnh báo thủ đoạn tương tự. Các đối tượng giả danh cán bộ BHXH, công an hoặc cán bộ phường, xã, thông báo việc khám, chữa bệnh, hưởng chế độ BHXH, BHYT sẽ được tích hợp trên ứng dụng VssID, không cần sử dụng thẻ BHYT hoặc sổ BHXH giấy như trước. Chúng yêu cầu người dân cập nhật, đồng bộ dữ liệu và xác thực tài khoản trên điện thoại, đồng thời đe dọa quyền lợi có thể bị gián đoạn nếu không thực hiện.

Tiếp đó, kẻ gian gửi đường link hoặc mã QR để người dân tải tệp có tên “vssid.apk”. Đây không phải ứng dụng VssID chính thức của BHXH Việt Nam mà là phần mềm giả mạo, có thể được thiết kế để đánh cắp dữ liệu và kiểm soát thiết bị.

Điểm chung của những thủ đoạn này là tạo ra tình huống có vẻ cấp bách, đánh vào tâm lý lo mất quyền lợi bảo hiểm, sau đó dẫn dụ người dân thực hiện các thao tác trên điện thoại theo hướng dẫn của người chưa được xác minh danh tính.

Cách chiếm đoạt tài sản: Lợi dụng quyền truy cập để kiểm soát điện thoại

Theo cảnh báo của cơ quan công an, một trong những dấu hiệu nguy hiểm là ứng dụng giả mạo yêu cầu người dùng cấp quyền trợ năng trên điện thoại Android hoặc các quyền truy cập nhạy cảm khác.

Quyền trợ năng được thiết kế để hỗ trợ người dùng thao tác trên thiết bị. Tuy nhiên, nếu bị phần mềm độc hại lợi dụng, quyền này có thể tạo điều kiện cho kẻ gian theo dõi thao tác, tương tác với giao diện ứng dụng hoặc thực hiện một số hành vi điều khiển thiết bị trái phép.

Sau khi được cấp quyền, mã độc có thể chạy ngầm, tìm cách thu thập thông tin đăng nhập tài khoản ngân hàng, theo dõi nội dung hiển thị trên màn hình hoặc đọc tin nhắn chứa mã OTP. Tùy khả năng của mã độc và những quyền đã được cấp, đối tượng có thể tìm cách che giấu thông báo, cản trở nạn nhân phát hiện giao dịch bất thường hoặc lợi dụng thông tin thu thập được để thực hiện hành vi chiếm đoạt tiền.

Đáng chú ý, điện thoại vẫn có thể nằm trong tay người sử dụng trong khi một số thao tác trái phép diễn ra trên thiết bị. Vì vậy, việc không trực tiếp giao điện thoại cho người khác không đồng nghĩa với việc tài khoản và dữ liệu trên máy được bảo đảm an toàn.

Khi có được thông tin đăng nhập và khả năng vượt qua các bước xác thực cần thiết, kẻ gian có thể thực hiện giao dịch chuyển tiền trái phép sang tài khoản khác. Trong trường hợp nạn nhân không kịp phát hiện, số tiền bị chiếm đoạt có thể lớn, gây khó khăn cho quá trình xử lý và thu hồi tài sản.

Tuy nhiên, cần lưu ý không phải mọi ứng dụng giả mạo đều có cùng khả năng kỹ thuật. Nguy cơ thực tế phụ thuộc vào mã độc, quyền truy cập được cấp và cơ chế bảo mật của thiết bị, ứng dụng ngân hàng. Người dân không nên chủ quan, nhưng cũng không nên hiểu rằng chỉ cần tải một tệp APK là tài khoản ngân hàng chắc chắn bị mất tiền.

Khuyến cáo: Chỉ cài VssID từ nguồn chính thức

Để phòng tránh thủ đoạn lừa đảo, người dân cần ghi nhớ: cơ quan chức năng không yêu cầu người dân cài ứng dụng không rõ nguồn gốc hoặc cung cấp mật khẩu ngân hàng, mã OTP cho người tự xưng là cán bộ để xác thực quyền lợi BHXH, BHYT.

Người dân chỉ nên tải VssID từ các kho ứng dụng chính thức như Google Play hoặc App Store; không cài đặt tệp APK được gửi qua Zalo, Facebook, tin nhắn hoặc đường link, mã QR chưa được kiểm chứng. Khi nhận được cuộc gọi thông báo được hoàn trả tiền BHYT, cấp thẻ hoặc yêu cầu cập nhật dữ liệu khẩn cấp, cần chủ động liên hệ cơ quan BHXH qua kênh chính thức để xác minh.

Đặc biệt, không cấp quyền trợ năng, điều khiển màn hình hoặc truy cập tin nhắn cho ứng dụng không rõ nguồn gốc. Không nhập thông tin đăng nhập ngân hàng, không cung cấp mã OTP và không chuyển tiền theo hướng dẫn của người chưa xác minh được danh tính.

Nếu đã cài ứng dụng đáng ngờ, người dùng cần ngừng thao tác theo hướng dẫn của đối tượng. Trường hợp nghi ngờ điện thoại bị kiểm soát, hãy sử dụng một thiết bị an toàn khác để liên hệ ngân hàng, yêu cầu hỗ trợ bảo vệ tài khoản và kiểm tra giao dịch bất thường; đồng thời nhờ đơn vị kỹ thuật đáng tin cậy kiểm tra, xử lý thiết bị.

Khi phát hiện tiền bị chuyển trái phép hoặc có dấu hiệu bị lừa đảo, người dân cần nhanh chóng thông báo cho ngân hàng và trình báo cơ quan công an, đồng thời lưu giữ tin nhắn, số điện thoại, đường link và các bằng chứng liên quan.

Chủ động kiểm chứng thông tin, bảo vệ dữ liệu cá nhân và chỉ sử dụng ứng dụng từ nguồn chính thức là những biện pháp thiết thực giúp người dân phòng ngừa nguy cơ mất tiền từ thủ đoạn giả mạo VssID.