Maybank, CIMB at Public Bank Phishing: Paano Makita ang Pekeng Banking SMS sa Malaysia

Kung may Malaysian bank account ka, halos siguradong nakatanggap ka na ng kahina-hinalang SMS na nagpapanggap na galing sa iyong bangko. Ang mga phishing attack na nagta-target sa mga Malaysian bank customer ay umabot na sa antas ng epidemya. Ang Maybank, CIMB, at Public Bank — ang tatlong pinakamalaking bangko sa bilang ng customer — ang pinakamadalas na ginagaya.

Iniulat ng Royal Malaysia Police (PDRM) Commercial Crime Investigation Department (CCID) na ang mga Malaysian ay nawalan ng mahigit RM600 milyon sa online banking fraud noong 2025. At ang mga atake ay lalong nagiging sopistikado bawat buwan.

Ang Anatomiya ng Banking Phishing SMS

Ganito ang hitsura ng karaniwang phishing SMS:

[Maybank] Your account has been temporarily locked due to suspicious activity. Verify immediately: maybank-secure.com/verify

O kaya:

CIMB: Unauthorized RM3,500 transfer detected. If not you, cancel here: cimb-alert.my/cancel

Sinasamantala ng mga mensaheng ito ang dalawang sikolohikal na trigger: takot (nanganganib ang iyong pera) at pagmamadali (kumilos agad o mawawala ang lahat). Ang mga link ay patungo sa mga kapani-paniwalang kopya ng login page ng iyong bangko.

Bakit Napakakapani-paniwala ng mga Peke na Ito

Elemento	Totoo	Peke
Pangalan ng nagpadala	Maaaring lumabas bilang "Maybank"	Lumabas din bilang "Maybank" (maaaring i-spoof ang sender ID)
Tono ng mensahe	Propesyonal, walang pagmamadali	Gumagawa ng panic gamit ang mga salitang tulad ng "immediately" at "locked"
URL	maybank2u.com.my	maybank2u-secure.com, maybank-verify.my
Kahilingan	Hindi kailanman hihilingin ang password o TAC sa pamamagitan ng link	Hinihingi ang buong credentials kasama ang TAC

Ang pinaka-mapanganib na aspekto ay ang sender ID spoofing. Maaaring gawin ng mga scammer na lumabas ang kanilang SMS sa ilalim ng parehong thread ng mga lehitimong bank message sa iyong telepono. Ibig sabihin nito, ang pekeng mensahe ay nasa mismong ibaba ng mga tunay na Maybank notification, na nagpapahitsura na totoo ito.

TAC (Transaction Authorization Code) Theft

Ang mga TAC code ang huling linya ng depensa para sa iyong mga online banking transaction. Ang mga scammer ay nakabuo ng maraming paraan para nakawin ang mga ito:

Paraan 1: Ang Phishing Page Relay

1. Nag-click ka ng phishing link at inilagay ang iyong username at password.
2. Ang sistema ng scammer ay sabay na nagla-log in sa iyong tunay na bank account gamit ang iyong credentials.
3. Nagpapadala ang bangko ng TAC sa iyong telepono para sa transaksyon ng scammer.
4. Hinihiling sa iyo ng phishing page na ilagay ang TAC "para sa verification."
5. Inilagay mo ang TAC, at ginagamit ito ng scammer para makumpleto ang kanilang transaksyon.

Nangyayari ito sa real time. Ang buong proseso ay tumatagal ng wala pang dalawang minuto.

Paraan 2: Ang Tawag sa Telepono

Matapos makuha ang iyong login credentials sa pamamagitan ng phishing, tatawagan ka ng scammer na nagpapanggap na bank officer:

• "May na-detect kaming kahina-hinalang login sa iyong account."
• "Para sa seguridad, kailangan kong i-verify ang code na kakapadala lang namin sa iyong telepono."
• "Pakibasa sa akin ang 6-digit na numero."

Ang TAC na hinihiling nila ay para sa transaksyon na sinusubukan nilang gawin sa iyong account.

Paraan 3: SIM Swap

Sa mas target na mga atake, pumupunta ang mga scammer sa telco outlet na may pekeng identification document at humihiling ng SIM card replacement para sa iyong numero. Kapag nasa SIM nila ang iyong numero, lahat ng TAC code ay direktang napupunta sa kanila. (Tingnan ang aming artikulo tungkol sa SIM swap fraud para sa higit pang detalye.)

Ang Macau Scam: Ang Pinaka-magastos na Phone Fraud ng Malaysia

Ang "Macau scam" — na pinangalanan mula sa pinaghihinalaang pinagmulan nito — ay isang sopistikadong phone scam na nagdulot ng bilyun-bilyong pagkalugi sa mga Malaysian sa mga nakaraang taon. Karaniwang kasangkot ang maraming tumatawag na gumaganap ng iba't ibang papel:

1. Ang unang tumatawag ay nagsasabing galing siya sa isang delivery company, na may hindi mo kinuhang parcel.
2. Ang pangalawang tumatawag ay nagpapanggap na pulis, na nagsasabing ang iyong pagkakakilanlan ay naka-link sa money laundering o drug trafficking.
3. Ang pangatlong tumatawag ay nagpapanggap na Bank Negara official o court officer, na humihiling na ilipat mo ang iyong pera sa isang "safe account" para sa imbestigasyon.

Ang mga tumatawag ay lubos na sinanay. Gumagamit sila ng tunay na police rank, binibanggit ang totoong batas, at nagbibigay pa ng pekeng badge number. Ang mga biktima — kabilang ang mga well-educated na propesyonal — ay nawalan ng daan-daang libong ringgit.

Paano Makilala ang Macau Scam Call

• Walang ahensya ng gobyerno ang hihiling sa iyo na mag-transfer ng pera sa telepono. Wala talaga.
• Hindi tumatawag ang pulis para ipaalam sa iyo ang isang ongoing na imbestigasyon. Makakatanggap ka ng opisyal na liham o bisita.
• Walang tinatawag na "safe account" na pinapamahalaan ng pulis o Bank Negara.
• Ang tunay na opisyal ay hindi kailanman magbabanta sa iyo ng agarang pag-aresto sa telepono.

Kung makatanggap ka ng ganitong tawag, ibaba ang telepono. Tawagan ang CCID Scam Response Center sa 03-2610 1559 para mag-verify.

Pagprotekta sa Iyong mga Malaysian Bank Account

Mga Agarang Aksyon

Aksyon	Paano
I-enable ang Secure2u o katumbas	Pinapalitan ang SMS TAC ng app-based na approval
Mag-set ng transaction limit	Bawasan ang daily transfer cap sa iyong banking app
Mag-register para sa transaction alert	Ma-notify sa bawat transaksyon
Gumamit ng biometric login	I-enable ang fingerprint o face ID sa banking app
I-lock ang international transfer	I-disable maliban kung aktibong kailangan

Secure2u at App-Based Authentication

Lahat ng pangunahing Malaysian bank ay nag-aalok na ng app-based transaction approval:

• Maybank: Secure2u
• CIMB: SecureTAC
• Public Bank: PB SecureSign
• RHB: RHB Mobile Banking approval
• Hong Leong: HLB Connect SecureSign

Ang mga sistemang ito ay lubos na mas ligtas kaysa sa SMS TAC dahil ang pag-approve ay nangyayari sa loob ng authenticated banking app, hindi sa pamamagitan ng SMS na maaaring ma-intercept.

Kung hindi ka pa lumipat mula sa SMS TAC patungo sa app-based authentication, gawin mo ito ngayon. Ang isang hakbang na ito ang nag-aalis ng pinakakaraniwang attack vector.

Ligtas na Pagbabahagi ng Banking Information

May mga lehitimong sitwasyon kung saan kailangan mong ibahagi ang bank account number, transaction reference, o pinansyal na detalye sa iba — paghahati-hati ng renta sa mga kasambahay, pagpapadala ng payment instruction sa mga kliyente, o pagbibigay ng bank details para sa salary deposit.

Ang pagpapadala ng mga detalyeng ito sa plain text sa pamamagitan ng Messenger o SMS ay mapanganib. Kung ma-compromise ang alinmang account, nalantad ang iyong pinansyal na impormasyon. Pinapayagan ka ng LOCK.PUB na magbahagi ng banking details sa pamamagitan ng password-protected at nag-e-expire na mga link. Isang beses lang ina-access ng tatanggap ang impormasyon, at maaaring i-set ang link na mag-self-destruct pagkatapos.

Ano ang Gagawin Kung Ikaw ay Biktima

Kumilos sa loob ng unang oras — ito ang pinakamagandang pagkakataon mo na ma-recover:

1. Agad na tawagan ang fraud hotline ng iyong bangko:
   • Maybank: 03-5891 4744
   • CIMB: 03-6204 7788
   • Public Bank: 03-2170 8000
2. Humiling ng agarang account freeze.
3. Mag-lodge ng police report sa pinakamalapit na istasyon.
4. Tawagan ang National Scam Response Center (NSRC) sa 997 — ang hotline na ito ay nakikipag-coordinate sa mga bangko para sa emergency fund freezing.
5. Palitan ang lahat ng iyong banking password mula sa ligtas na device.

Manatiling Isang Hakbang sa Unahan

Ang mga banking scam sa Malaysia ay umuusad nang mas mabilis kaysa dati, na may AI-powered phishing at deepfake voice call sa hinaharap. Ang iyong pinakamahusay na depensa ay nananatiling simple: huwag kailanman mag-click ng mga link sa SMS message, huwag kailanman magbahagi ng TAC code, at lumipat sa app-based authentication ngayon.

---

Protektahan ang iyong pinansyal na impormasyon. Ligtas na magbahagi ng bank details at sensitibong data sa LOCK.PUB.