Dưới đây BootStup liệt kê 10 kịch bản đang gia tăng ở 2025 – 2026: Cách hoạt động, dấu hiệu nghi ngờ và bước bạn nên làm ngay. Mình ghi nguồn cho các điểm quan trọng (báo cáo/cảnh báo gần đây).
1) Vishing với giọng AI / deepfake (mạo danh người thân, sếp, lãnh đạo)
Cách thức: kẻ gian dùng công cụ AI tạo giọng nói giống người thật (cha/mẹ, sếp, CEO) gọi yêu cầu chuyển tiền/OTP/giao dịch khẩn cấp. Vì “giọng thật”, nạn nhân tin tưởng mà chuyển tiền.
Dấu hiệu: yêu cầu khẩn cấp, dùng lý do cảm xúc, yêu cầu chuyển tiền ngay hoặc dùng kênh chuyển nhanh.
Phòng ngừa: gọi lại số quen (không số gọi đến), xác minh qua video call/nhắn tin độc lập, không chuyển tiền ngay khi cảm thấy bị ép.
2) Caller-ID spoofing (giả số, giả tên tổ chức)
Cách thức: hiển thị số/tên giả trên màn hình (ví dụ: hiển thị “Ngân hàng A”, “Cơ quan Công an”) để tạo lòng tin; sau đó yêu cầu cung cấp mã OTP, mở link, hoặc chuyển tiền.
Dấu hiệu: số lạ nhưng hiển thị tên lớn; yêu cầu mã OTP, thông tin thẻ, hoặc bảo “hãy bấm *##…” để kiểm tra.
Phòng ngừa: gọi lại tổng đài chính thức trên website ngân hàng; không đọc OTP qua điện thoại.
3) Deepfake kết hợp mã QR / parcel scam (gói hàng/QR chứa mã độc)
Cách thức: nhận cuộc gọi báo có gói hàng/shipper, yêu cầu quét QR hoặc nhập mã để mở “thông tin gói” — QR dẫn tới trang lừa lấy thông tin/ cài mã độc. Kẻ gian cũng có thể gửi gói thật kèm QR.
Dấu hiệu: yêu cầu quét QR trên điện thoại, hoặc gọi thúc ép quét ngay; link yêu cầu đăng nhập ngân hàng.
Phòng ngừa: không quét QR từ nguồn lạ; xác nhận mã vận đơn trên website chính thức; cẩn trọng với gói không đặt.
4) Mạo danh cơ quan Nhà nước / Công an / Tòa án
Cách thức: giả danh cán bộ yêu cầu nộp phạt, chuyển tiền bảo lãnh, hoặc “để trốn tội” cần chuyển tiền/gửi mã. Thủ đoạn cũ nhưng vẫn hiệu quả vì gây sợ hãi.
Dấu hiệu: ép buộc, dùng ngôn ngữ đe dọa, đề nghị chuyển tiền vào tài khoản cá nhân thay vì tài khoản cơ quan.
Phòng ngừa: cơ quan pháp luật không bao giờ yêu cầu chuyển tiền qua số lạ; gọi trực tiếp số tổng đài công an để xác minh.
5) Lừa đảo tuyển dụng / “việc nhẹ lương cao” từ nước ngoài
Cách thức: gọi mời làm việc, yêu cầu “đóng phí hồ sơ”, “nộp lệ phí thủ tục” hoặc xác minh qua link/OTP. Kết hợp với mạo danh công ty thật.
Dấu hiệu: trả lương cao bất thường, yêu cầu trả phí trước, link yêu cầu thông tin thẻ/CMND.
Phòng ngừa: tìm review công ty, phỏng vấn video, không chuyển tiền trước.
6) SIM-swap (chiếm quyền số) qua gọi/xa xao xã hội
Cách thức: gọi điện giả danh nhân viên nhà mạng, yêu cầu “xác minh” để chuyển SIM; khi chiếm được SIM, kẻ gian reset mật khẩu, nhận OTP.
Dấu hiệu: yêu cầu thông tin bảo mật, mã PIN, hoặc nói sẽ “kích hoạt SIM mới” và cần mã xác thực.
Phòng ngừa: bật bảo vệ SIM (PIN), liên hệ trực tiếp nhà mạng qua kênh chính thức nếu yêu cầu chuyển SIM, không chia sẻ mã.
7) Kịch bản lừa lấy OTP/2FA qua cuộc gọi “kiểm tra hệ thống”
Cách thức: gọi thông báo “kiểm tra bảo mật” và yêu cầu đọc mã OTP để “xác minh”.
Dấu hiệu: yêu cầu đọc mã bảo mật qua điện thoại; lời lẽ chuyên môn để tạo tin tưởng.
Phòng ngừa: OTP chỉ dùng để xác thực giao dịch do bạn khởi tạo — không đọc cho người gọi.
8) Kịch bản “kỹ thuật/IT support” (giả danh nhân viên kỹ thuật)
Cách thức: gọi báo lỗi máy, yêu cầu cài phần mềm từ xa hoặc truy cập vào link/ứng dụng để “khắc phục” — thực chất là cài mã điều khiển/stealer.
Dấu hiệu: đề nghị cài app từ link lạ, yêu cầu bật quyền quản trị từ xa.
Phòng ngừa: không cho phép truy cập màn hình/ cài app từ nguồn lạ; dùng kênh hỗ trợ chính thức.
9) Scare-and-shame (uy hiếp bằng ảnh/video deepfake)
Cách thức: dùng AI ghép ảnh/video nhạy cảm của nạn nhân, gọi uy hiếp tống tiền (sextortion). Kẻ gian đe dọa phát tán nếu không trả tiền.
Dấu hiệu: đe dọa phát tán, yêu cầu trả tiền bằng tiền ảo hoặc thẻ cào.
Phòng ngừa: không trả, lưu giữ bằng chứng, báo cơ quan công an; đổi mật khẩu, bật 2FA.bọn
10) Kịch bản kết hợp nhiều kênh: SMS → Gọi → Email (multichannel social engineering)
Cách thức: kẻ gian dùng SMS mồi, rồi gọi giả danh hỗ trợ, gửi email/URL để tạo lòng tin và chiếm đoạt tài khoản. Chiến thuật đa kênh tăng tỉ lệ thành công.
Dấu hiệu: nhận cùng lúc nhiều liên hệ liên quan một “vấn đề” giống nhau.
Phòng ngừa: kiểm tra từng kênh độc lập; không nhấp link từ SMS/Email khi có cuộc gọi kèm theo đòi hành động.
Nếu bạn hoặc người thân bị gọi lừa — làm ngay những bước này
- Ngắt liên lạc với số gọi, không làm theo yêu cầu.
- Không đọc/ gửi OTP, không quét QR.
- Gọi lại số chính thức của tổ chức/sếp/người thân qua thông tin bạn có sẵn.
- Nếu có mất tiền: liên hệ ngân hàng báo phong tỏa, cung cấp bằng chứng; yêu cầu truy vết giao dịch.
- Lưu bằng chứng (ghi âm, SMS, email), báo cơ quan Công an/cổng báo cáo lừa đảo quốc gia (ở VN liên hệ VNCERT/VietnamPost hoặc cơ quan công an).
Một số con số & xu hướng quan trọng (2025)
- Vishing và deepfake voice tăng mạnh — nhiều báo cáo ghi nhận vụ thiệt hại triệu đô do audio-deepfake.
- Tổ chức lớn kêu gọi hành động phối hợp chống scam vì AI đang khuếch đại quy mô lừa đảo (báo cáo/khuyến nghị quốc tế 2025).
