Mỗi năm có hàng nghìn người Việt mất tiền vì lừa đảo OTP và SIM swap — nhiều trường hợp mất trắng tài khoản chỉ trong 5 phút. Hiểu đúng cơ chế tấn công là cách phòng thủ hiệu quả nhất.

⚠️ Cảnh báo bảo mật

Scam OTP là gì?
Cách nhận biết và tránh bị lừa đảo
qua SIM Swap tại Việt Nam

Hiểu đúng cơ chế tấn công — bảo vệ tài sản trước khi quá muộn

⚠️  Cảnh báo: Nhiều nạn nhân mất toàn bộ tiền trong tài khoản chỉ sau 5–15 phút bị SIM swap mà không hay biết

>10.000

Vụ lừa đảo qua OTP/SIM swap tại VN năm 2025

500tr+

Mức thiệt hại trung bình mỗi vụ lớn (VNĐ)

3 phút

Thời gian trung bình để kẹ tấn công rút sạch tiền

 Nội dung bài viết

1. OTP là gì? Tại sao lại bị lừa đảo?
2. Scam OTP hoạt động như thế nào?
3. SIM Swap là gì? Cơ chế chiếm đoạt số điện thoại
4. Kịch bản tấn công thực tế tại VN
5. Dấu hiệu nhận biết bị tấn công
6. Cách phòng thủ toàn diện
7. Cần làm gì ngay khi bị tấn công?

1. OTP là gì? Tại sao lại bị lừa đảo?

OTP (One-Time Password) là mã xác thực dùng một lần, thường gồm 6 chữ số, có hiệu lực trong 60–120 giây. Ngân hàng và các dịch vụ tài chính gửi OTP về số điện thoại đăng ký để xác nhận giao dịch.

 Tại sao OTP trở thành mục tiêu?

OTP là lớp bảo vệ cuối cùng trước khi chuyển tiền thành công. Kẻ tấn công có thể biết mật khẩu của bạn — nhưng nếu không có OTP, chúng vẫn không chuyển được tiền. Vì vậy, OTP là mục tiêu số một trong mọi cuộc tấn công tài chính.

2. Scam OTP hoạt động như thế nào?

Có 3 phương pháp chính kẻ lừa đảo dùng để đánh cắp OTP của bạn:

Phương pháp 1: Kỹ thuật xã hội (Social Engineering)

1

Kẻ tấn công

Thu thập thông tin nạn nhân

Dùng Facebook, Zalo, data rò rỉ để biết tên, số điện thoại, ngân hàng sử dụng của bạn

2

Kẻ tấn công

Đăng nhập vào tài khoản của bạn

Dùng mật khẩu đã biết (từ data leak hoặc phishing trước đó) — hệ thống ngân hàng gửi OTP về số của bạn

3

Kẻ tấn công gọi điện

Giả mạo nhân viên ngân hàng / công an

Nói tài khoản bị khóa, có giao dịch ngờ vực, yêu cầu bạn đọc mã OTP để “xác minh danh tính”

4

Nạn nhân

Đọc OTP cho kẻ tấn công

Bị tąng thưởng, hoảng loạn, tin tưởng — đọc mã OTP “để giải quyết vấn đề”

5

Kết quả

Tiền bị chuyển đi trong vài giây

Toàn bộ số dư bị rút sạch — giao dịch hợp lệ nên ngân hàng không thể hoàn tiền

Phương pháp 2: Phishing đánh cắp thông tin

⚠️ Cơ chế Phishing OTP

Kẻ tấn công tạo website giả ngân hàng y hệt thật, gửi link qua SMS/Zalo. Khi bạn nhập tên đăng nhập + mật khẩu, website giả tự động đăng nhập vào tài khoản thật của bạn trong vòng vài giây — ngân hàng gửi OTP về điện thoại. Website giả yêu cầu bạn nhập tiếp OTP “để xác nhận” — và giao dịch chuyển tiền hoàn tất.

Toàn bộ quá trình xảy ra trong dưới 2 phút.

Phương pháp 3: Malware đọc lén trên điện thoại

App giả mạo, file APK kèm mã độc hại được cài vào điện thoại. Khi ngân hàng gửi SMS OTP, malware tự động chặn tin nhắn và chuyển đến kẻ tấn công trước khi bạn kịp đọc — tài khoản bị chiếm mà bạn hoàn toàn không hay biết.

3. SIM Swap là gì? Cơ chế chiếm đoạt số điện thoại

SIM Swap (hoặc SIM Hijacking) là hình thức tấn công nguy hiểm hơn nhiều — kẻ tấn công chiếm toàn bộ số điện thoại của bạn mà không cần chạm vào điện thoại.

1

Kẻ tấn công chuẩn bị

Thu thập thông tin cá nhân của bạn

Họ tên, ngày sinh, CCCD, số điện thoại — lấy từ data leak, mạng xã hội, hoặc mua từ thị trường đen

2

Kẻ tấn công tiếp cận nhà mạng

Liên hệ cửa hàng Viettel/Mobi/Vina giả mạo là chủ số

Dùng thông tin cá nhân để yêu cầu cấp lại SIM với lý do mất điện thoại hoặc hỏng SIM — hoặc hối lộ nhân viên cửa hàng

3

Nhà mạng xử lý

SIM củ bị vô hiệu hóa — SIM mới kích hoạt

SIM trong điện thoại của bạn mất sóng đột ngột — SIM mới trong tay kẻ tấn công bắt đầu nhận được tất cả SMS và cuộc gọi của bạn

4

Tấn công thực hiện

Đăng nhập + nhận OTP + chuyển tiền

Có số điện thoại + OTP, kẻ tấn công đăng nhập internet banking, đổi mật khẩu, rút sạch tài khoản — tất cả trong khi bạn đang cố gắng gọi nhà mạng

5

Hậu quả

Thiệt hại không thể phục hồi

Tiền được chuyển qua nhiều tài khoản trung gian rồi rút tiền mặt hoặc chuyển crypto — vô cùng khó truy vét

4. Kịch bản tấn công thực tế tại Việt Nam

 Kịch bản 1: Giả Vietcombank gọi điện

• Bạn nhận cuộc gọi từ số 1800 1200 (giả hotline Vietcombank bằng VOIP spoofing)
• Giọng nữ chuyên nghiệp: “Tài khoản anh/chị đang có giao dịch đựng ngờ, cần xác minh để không bị khóa”
• Yêu cầu bạn cung cấp CCCD + OTP “để bảo vệ tài khoản”
• Bạn nhận SMS OTP thật từ ngân hàng — vì chúng đang cố đăng nhập vào tài khoản của bạn lúc đó
• Bạn đọc mã OTP — giao dịch 500 triệu đồng bị chuyển đi ngược

 Kịch bản 2: SIM Swap đêm khuya

• Kẻ tấn công mua data có CCCD của bạn từ thị trường đen (giá chỉ 200.000–500.000 VNĐ)
• 22h đêm: đến đại lý nhà mạng nhỏ, yêu cầu cấp lại SIM vì “mất điện thoại”
• Điện thoại của bạn mất sóng — bạn tưởng bị nhiễu hoặc sóng yếu
• Kẻ tấn công dùng SIM mới đăng nhập internet banking, nhận OTP, chuyển tiền
• Sáng hôm sau bạn thực dậy thấy số dư về 0 và điện thoại vẫn không có sóng

5. Dấu hiệu nhận biết bị tấn công

 Điện thoại mất sóng đột ngột

Không gọi được, không SMS được dù đang ở vùng có sóng tốt — dấu hiệu SIM đang bị swap

 Nhận OTP mà không thực hiện giao dịch

Nhận SMS OTP ngân hàng bất ngờ — ai đó đang cố đăng nhập vào tài khoản của bạn

 Email thay đổi thông tin tài khoản

Email xác nhận thay đổi mật khẩu hoặc số điện thoại đăng ký mà không phải bạn làm

 Không đăng nhập được Internet Banking

Mật khẩu đột nhiên sai — kẻ tấn công có thể đã chiếm tài khoản và đổi mật khẩu

⚠️ Cuộc gọi tạo áp lực thời gian

“Xác minh ngay trong 5 phút kông tài khoản sẽ bị khóa” — chiêu tạo hoảng loạn phổ biến

⚠️ Link ngân hàng gửi qua SMS

Ngân hàng thật hiếm khi gửi link qua SMS. Nếu có link, kiểm tra kỹ URL trước khi bấm

✓ Ngân hàng THẬT gọi

• Không bao giờ hỏi OTP
• Không yêu cầu CCCD qua điện thoại
• Không tạo áp lực thời gian
• Gọi từ hotline in trên thẻ
• Hướng dẫn ra căn cứ trực tiếp nếu cần

✗ Lừa đảo giả mạo

• Yêu cầu OTP / PIN ngay
• Hỏi CCCD để “xác minh”
• Êp giải quyết trong vài phút
• Số gọi lạ hoặc VOIP giả mạo
• Yêu cầu cài app, click link lạ

6. Cách phòng thủ toàn diện

1

Bắt buộc

Đăng ký khóa SIM với nhà mạng

Gọi *101# (Viettel) hoặc liên hệ hotline Mobifone/Vinaphone để yêu cầu khóa tính năng cấp lại SIM từ xa. Từ đó chỉ có thể cấp lại SIM khi bạn trực tiếp đến quầy với CCCD gốc.

2

Bắt buộc

Bật Smart OTP hoặc xác thực sinh trắc (Face ID)

Chuyển từ SMS OTP sang Smart OTP trong app ngân hàng ngay hôm nay. Smart OTP tạo mã trực tiếp trên điện thoại — kẻ tấn công chiếm SIM cũng không lấy được mã OTP của bạn.

3

Bắt buộc

Không bao giờ chia sẻ OTP — với bất kì ai

Là quy tắc số 1. Không có ngoại lệ. Ngân hàng thật, công an thật, người thân — không ai có lý do chính đáng để hỏi mã OTP của bạn.

4

Bắt buộc

Kiểm tra kỹ URL trước khi nhập thông tin

URL chính thức phải có https:// và đúng tên miền (vd: vcb.com.vn). Bookmark link ngân hàng ngay hôm nay — luôn vào bằng bookmark thay vì search Google hay click link trong SMS.

5

Nên làm

Dùng email riêng cho ngân hàng — không kém link vào mạng xã hội

Tạo một email mới chỉ dùng để đăng ký ngân hàng. Email này không dùng đăng nhập Facebook, Zalo hay bất kì dịch vụ nào khác — giảm khả năng bị tấn công chuỗi.

6

Nên làm

Giới hạn thông tin cá nhân trên mạng xã hội

Kẻ thực hiện SIM swap cần biết họ tên, ngày sinh, số CCCD của bạn. Đặt Facebook/Zalo chế độ riêng tư, không đăng ảnh CCCD/hộ chiếu, không đăng ngày sinh công khai.

7

Nên làm

Chỉ cài app ngân hàng từ CH Play / App Store chính thức

Không cài bất kì app nào từ link Zalo/Telegram/SMS. Kiểm tra tên nhà phát triển phải trùng chính xác tên ngân hàng. App giả thường có logo giống hệt nhưng tên tác giả sai.

8

Tốt hơn nữa

Dùng thẻ ảo (Virtual Card) cho mua sắm online

Nhiều ngân hàng VN có tính năng tạo thẻ ảo với số thẻ khác, hạn mức riêng. Dùng thẻ ảo khi thanh toán online — dù bị lộ số thẻ, kẻ tấn công cũng không thể chạm vào tài khoản chính.

7. Cần làm gì ngay khi bị tấn công?

 Hành động trong 60 giây đầu tiên

1. Gọi ngay hotline ngân hàng — yêu cầu khóa tất cả giao dịch và thẻ
2. Gọi nhà mạng — báo SIM bị chiếm và yêu cầu khóa số
3. Đổi mật khẩu email liên kết với ngân hàng ngay lập tức
4. Chụp ảnh/ghi lại bằng chứng: lịch sử SMS, giao dịch, tên tài khoản nhận
5. Đến công an trình báo — có đơn tố cáo để phối hợp với ngân hàng điều tra

 Số khẩn cấp cần gọi ngay

1800 1200

Vietcombank (24/7)

1800 9247

BIDV (24/7)

1800 588 822

Techcombank

*198

Viettel khóa SIM

1800 1090

Mobifone khóa SIM

113

Công an (tố cáo)

⚠️ Khả năng lấy lại tiền?

Rất thấp nếu tiền đã được chuyển sang tài khoản trung gian và rút tiền mặt. Một số trường hợp ngân hàng có thể hoàn tiền nếu: (1) báo trong vòng 24h, (2) tiền chưa được rút ra, (3) có bằng chứng rõ ràng giao dịch trái phép. Tốc độ phản ứng là yếu tố quyết định.

 Tóm lại — 3 điều quan trọng nhất

1. Không bao giờ chia sẻ OTP — dù với lý do gì — không ai có lý do hợp lệ để hỏi. 2. Chuyển sang Smart OTP ngay hôm nay — nếu SIM bị swap, kẻ tấn công vẫn không có mã OTP. 3. Đăng ký khóa SIM với nhà mạng — ch᲍ mất vài phút nhưng bảo vệ bạn khỏi kiểu tấn công nguy hiểm nhất.

 Khám phá thêm về bảo mật mạng

Các bài viết chuyên sâu về công nghệ, thiết bị mạng VNPT và bảo mật số tại Việt Nam

 blogvnpt.blogspot.com