Theo Thanh Niên, cảnh sát Việt Nam đang cảnh báo người dùng về kỹ thuật Caller ID Spoofing — giả mạo số điện thoại hiển thị — sau khi một nhóm tội phạm dùng thủ đoạn này chiếm đoạt gần 700 triệu đồng của một phụ nữ 54 tuổi ở Nghệ An bằng cách giả số điện thoại chính thức của công ty điện lực.1
Kỹ thuật này không phải lỗ hổng mới. Giao thức viễn thông SS7 ra đời năm 1975 không có cơ chế xác thực số người gọi, cho phép bất kỳ ai dùng VoIP (gọi điện qua internet) cũng có thể tự điền số bất kỳ vào trường "From" trước khi gửi tín hiệu đi.1 Kết quả: màn hình người nhận hiển thị đúng tên ngân hàng, người thân, hay cơ quan nhà nước đã lưu trong danh bạ — dù cuộc gọi đến từ kẻ lạ hoàn toàn.1
Ngoài Caller ID Spoofing, tội phạm còn lợi dụng dịch vụ Voice Brandname — vốn được ngân hàng và doanh nghiệp dùng hợp pháp — để hiển thị tên tổ chức uy tín lên màn hình nạn nhân.1
Màn hình hiện đúng tên người thân không còn là bằng chứng cuộc gọi đó là thật.
Phân Tích
Caller ID Spoofing không phải chiêu mới — nhưng sự kết hợp với VoIP rẻ tiền và dịch vụ Voice Brandname đã nâng mức độ nguy hiểm lên một tầng hoàn toàn khác.1 Trước đây, lời khuyên "đừng nghe số lạ" còn có giá trị thực tế. Nay thì không còn nữa: kẻ gian có thể khiến màn hình hiện đúng tên cha, tên mẹ, hay số hotline ngân hàng mà nạn nhân đã lưu từ nhiều năm trước.1
Vấn đề cốt lõi nằm ở kiến trúc hạ tầng viễn thông toàn cầu: SS7 được thiết kế từ thập niên 1970, thời điểm không ai hình dung internet hay VoIP sẽ tồn tại.1 Việc vá lỗ hổng này đòi hỏi các nhà mạng trên toàn thế giới phải phối hợp thay thế giao thức lõi — một bài toán kỹ thuật và chính trị cực kỳ phức tạp, chưa có lộ trình rõ ràng.
Trong khoảng trống đó, người dùng — kể cả người am hiểu công nghệ — không có công cụ kỹ thuật nào để tự bảo vệ ở lớp hiển thị số. Biện pháp thực tế duy nhất hiện nay vẫn là hành vi: nhận cuộc gọi yêu cầu chuyển tiền hoặc cung cấp mã OTP, dù hiện tên quen thuộc, phải cúp máy và gọi lại trực tiếp theo số chính thức từ website.
Tác Động Cộng Đồng
Cộng đồng người Việt tại Mỹ — đặc biệt những người thường xuyên gửi kiều hối hoặc liên lạc với gia đình ở Việt Nam — nằm trong nhóm dễ bị tổn thương nhất bởi chiêu Caller ID Spoofing này.1
Cơ chế cụ thể: một người thân ở Sài Gòn hay Hà Nội nhận cuộc gọi hiển thị đúng số điện thoại Mỹ của con cái đang sống ở hải ngoại — do kẻ gian đã dùng kỹ thuật VoIP để giả số đó.1 Người thân tưởng con đang gặp khẩn cấp, chuyển tiền ngay mà không kịp xác minh. Chiều ngược lại cũng xảy ra: người Việt ở Mỹ nhận cuộc gọi hiển thị số của cha mẹ ở quê, hoặc tên ngân hàng Việt Nam họ dùng để nhận kiều hối, rồi bị dụ cung cấp thông tin tài khoản hay mã OTP.1
Đây không phải kịch bản giả định. Vụ phụ nữ 54 tuổi ở Nghệ An mất gần 700 triệu đồng vì tin vào số điện thoại hiển thị tên công ty điện lực cho thấy mức độ thiệt hại thực tế khi nạn nhân không kịp xác minh.1 Với kiều hối từ Mỹ về Việt Nam — một trong những luồng kiều hối lớn nhất thế giới — rủi ro này nhân lên khi kẻ gian có thể nhắm vào cả hai đầu của giao dịch.
Biện pháp thực tế cho cộng đồng hải ngoại: thiết lập một "mã xác nhận gia đình" riêng — một từ hoặc câu hỏi chỉ người thật mới biết — để dùng khi nhận bất kỳ cuộc gọi nào liên quan đến tiền bạc, dù màn hình hiện đúng tên người thân. Không nên cung cấp mã OTP, thông tin tài khoản ngân hàng, hay chuyển tiền chỉ vì cuộc gọi hiển thị tên quen thuộc.1