Lừa đảo SIM Swap: Nhật Bản đã đạt được 0 vụ như thế nào và bạn cần làm gì

Năm 2022, Nhật Bản chứng kiến sự bùng nổ của lừa đảo SIM swap. Tội phạm dùng thẻ My Number giả đến cửa hàng nhà mạng xin cấp lại SIM, chiếm số điện thoại nạn nhân, chặn mã OTP qua SMS rồi rút sạch tài khoản ngân hàng và ví tiền mã hóa.

Nhưng Nhật Bản đã giải quyết triệt để: Từ tháng 5/2023, không có vụ SIM swap nào được báo cáo.

SIM Swap là gì?

SIM swap là thủ đoạn tội phạm thuyết phục nhà mạng chuyển số điện thoại của bạn sang SIM mới do chúng kiểm soát.

Quy trình tấn công

1. Thu thập thông tin — Phishing, mạng xã hội, web đen
2. Giả mạo giấy tờ — Làm giấy tờ tùy thân giả
3. Đến cửa hàng nhà mạng — Mạo danh để xin cấp lại SIM
4. Chặn SMS — Nhận tất cả tin nhắn gửi đến nạn nhân
5. Chiếm tài khoản — Truy cập ngân hàng, email, sàn giao dịch

Nhật Bản đã làm gì?

1. Xác minh chip IC điện tử

Cửa hàng nhà mạng phải đọc chip IC trong thẻ căn cước bằng thiết bị điện tử. Thẻ giả không thể qua được bước này.

2. Quy trình nhà mạng nghiêm ngặt hơn

Ba nhà mạng lớn đều yêu cầu xác minh danh tính trực tiếp cho mọi thay đổi SIM.

3. Phối hợp chính phủ — cảnh sát

Bộ Nội vụ cập nhật hướng dẫn, cảnh sát triệt phá các cơ sở làm giấy tờ giả.

Tại sao bạn vẫn cần cảnh giác tại Việt Nam

Ở Việt Nam, SIM rác từng là vấn đề lớn và nhà mạng đã siết chặt đăng ký SIM. Tuy nhiên, xác thực SMS vẫn phổ biến cho ngân hàng và các ứng dụng như Zalo.

Yếu tố rủi ro	Chi tiết
SMS không an toàn	Giao thức SS7 có lỗ hổng đã biết
Yếu tố con người	Nhân viên có thể bị lừa
Đi nước ngoài	SIM có thể bị tấn công ở nước khác
Zalo gắn số điện thoại	Mất số = mất Zalo

Cách tự bảo vệ

Dùng ứng dụng xác thực

• Google Authenticator — Miễn phí, đơn giản
• Microsoft Authenticator — Có sao lưu đám mây
• Authy — Hỗ trợ nhiều thiết bị

Chuyển xác thực SMS sang ứng dụng xác thực cho tất cả dịch vụ quan trọng.

Dùng Passkey

Passkey (FIDO2) không phụ thuộc số điện thoại và chống được phishing.

Bảo quản mã dự phòng an toàn

Đừng lưu như thế này:

• Gửi cho chính mình trên Zalo
• Ghi trong ứng dụng Ghi chú không có mật khẩu
• Để trong thư nháp email

Hãy lưu như thế này:

• Ghi ra giấy, cất trong két sắt
• Dùng trình quản lý mật khẩu
• Dùng ghi chú mã hóa trên LOCK.PUB

LOCK.PUB cho phép bạn tạo ghi chú được bảo vệ bằng mật khẩu. Ngay cả máy chủ LOCK.PUB cũng không đọc được nội dung.

Danh sách kiểm tra bảo mật

Hành động	Đã làm?
Chuyển xác thực SMS ngân hàng sang ứng dụng	☐
Bảo mật sàn crypto bằng 2FA ứng dụng	☐
Mã dự phòng đã lưu an toàn	☐
Passkey đã bật cho tài khoản chính	☐
2FA trên mạng xã hội đã kiểm tra	☐
Mật khẩu mạnh với nhà mạng	☐
Thông tin cá nhân không cần thiết đã xóa khỏi MXH	☐

Bài học từ Nhật Bản

1. Bỏ phụ thuộc SMS — Dùng ứng dụng xác thực và passkey
2. Bảo vệ mã phục hồi — Lưu trữ mã hóa như LOCK.PUB
3. Quản lý thông tin cá nhân — Hạn chế chia sẻ trên MXH
4. Cập nhật kiến thức — Mối đe dọa luôn thay đổi

---

Cần nơi an toàn để lưu mã xác thực dự phòng? Thử ghi chú mã hóa có mật khẩu của LOCK.PUB.