QR giả đổi đích thanh toán ra sao và cách đọc màn hình xác nhận?

Mã QR không tự lấy tiền — rủi ro nằm ở đích đến được mã hoá và bước xác nhận trước khi bấm chuyển. Bộ Công an đã cảnh báo một thủ đoạn phổ biến lợi dụng chính sự tiện lợi của thanh toán QR để chiếm đoạt tiền. Hiểu đúng cơ chế giúp bạn dừng lại đúng lúc.

1. Thủ đoạn phổ biến: giả nhân viên ngân hàng, mượn cớ “xác minh”

Theo cảnh báo của Bộ Công an, một thủ đoạn phổ biến nhắm vào người đăng bài “chuyển nhầm tiền” trên mạng xã hội: kẻ gian giả danh nhân viên ngân hàng, chủ động liên hệ đề nghị hỗ trợ xử lý, rồi yêu cầu nạn nhân quét mã QR hoặc bấm vào link để “xác minh thông tin”. Thực chất, mã QR hoặc link đó dẫn tới một lệnh chuyển toàn bộ số dư sang tài khoản của kẻ gian.

Một biến thể khác: kẻ gian chủ động chuyển một khoản tiền nhỏ vào tài khoản nạn nhân, sau đó giả làm người chuyển nhầm hoặc nhân viên thu hồi nợ, gây áp lực buộc nạn nhân chuyển tiền sang tài khoản chỉ định.

2. Mã QR mã hoá điều gì, và vì sao không “tự lấy” được tiền

Mã QR trong thanh toán chỉ là một cách mã hoá thông tin — thường là số tài khoản/số tiền — để điền sẵn vào lệnh chuyển, giúp người dùng không phải gõ tay. Bản thân việc quét QR không hoàn tất giao dịch. Giao dịch chỉ thực sự xảy ra sau khi:

1. Ứng dụng hiển thị màn hình xác nhận với tên và số tài khoản người nhận.
2. Người dùng tự đọc và bấm xác nhận chuyển.

Đây chính là lý do thủ đoạn QR giả vẫn cần “kịch bản” thuyết phục nạn nhân tự bấm xác nhận — kẻ gian không thể bỏ qua bước này.

3. Nguyên tắc 3 Không

Bộ Công an khuyến cáo nguyên tắc 3 Không để phòng tránh nhóm thủ đoạn này:

• Không cung cấp mã OTP cho bất kỳ ai qua điện thoại, tin nhắn hay mạng xã hội.
• Không quét mã QR hoặc bấm vào link lạ, đặc biệt từ người tự xưng nhân viên ngân hàng liên hệ chủ động.
• Không giao dịch qua điện thoại với người tự xưng cán bộ khi chưa có giấy triệu tập chính thức.

Nếu thực sự nhận được tiền chuyển nhầm, tuyệt đối không tự ý rút hoặc chuyển sang tài khoản khác — hãy liên hệ trực tiếp ngân hàng qua hotline chính thức để được hướng dẫn xử lý đúng quy trình.

4. Case study: dừng lại đúng ở màn hình xác nhận

Tú nhận được tin nhắn từ một số lạ tự xưng nhân viên ngân hàng, báo có khoản tiền chuyển nhầm vào tài khoản Tú và đề nghị quét mã QR để “xác minh và hoàn trả”. Tú quét mã theo hướng dẫn, nhưng khi ứng dụng hiện màn hình xác nhận, tên người nhận không phải tên ngân hàng mà là một cá nhân lạ, số tiền lại đúng bằng toàn bộ số dư trong tài khoản.

Tú dừng lại, không bấm xác nhận, và gọi hotline chính thức của ngân hàng để xác minh — ngân hàng xác nhận không có nghiệp vụ nào yêu cầu khách hàng quét QR để “xác minh tiền chuyển nhầm”. Điểm dừng của Tú chính là đọc kỹ màn hình xác nhận thay vì tin vào lời kịch bản qua điện thoại.

5. Checklist trước khi quét bất kỳ mã QR nào

• Chỉ quét QR từ nguồn bạn chủ động tin tưởng (cửa hàng, hoá đơn chính thức), không quét QR ai đó gửi qua tin nhắn/mạng xã hội.
• Luôn đọc tên và số tài khoản trên màn hình xác nhận trước khi bấm chuyển, dù đang vội.
• Không cung cấp OTP cho bất kỳ ai, kể cả người tự xưng nhân viên ngân hàng.
• Nếu nhận tiền chuyển nhầm, không tự xử lý — liên hệ hotline chính thức của ngân hàng.
• Nghi ngờ bị lừa, ngắt kết nối ngay và báo công an địa phương hoặc tổng đài của ngân hàng.

Bước tiếp theo

Muốn hiểu rõ hơn ranh giới trách nhiệm giữa ví điện tử và tài khoản ngân hàng? Đọc Ví điện tử có phải tài khoản ngân hàng không? 5 khác biệt cần biết.