Bắt đầu bằng việc xác định bạn đang ở trạng thái nào trong ba trạng thái
Mã QR trên một bưu kiện bạn không ngờ tới — người gửi lạ, nhãn “trả hàng” hoặc “giao lại”, mẩu giấy yêu cầu xác nhận địa chỉ — là một liên kết bạn không yêu cầu. Câu hỏi hữu ích không phải là “bưu kiện này có thật không?” mà là “mã này đã xâm nhập vào tài khoản của tôi đến đâu?”
Dùng bảng dưới đây để xác định trạng thái của bạn trước khi làm bất cứ điều gì khác.
| Trạng thái | Chuyện gì đã xảy ra | Việc cần làm trước tiên |
|---|---|---|
| A. Chưa mở | Bạn có bưu kiện hoặc nhãn, nhưng chưa quét mã | Không quét để “xem đó là gì”. Giữ lại bao bì và ghi lại nội dung người gửi, ngày và ký hiệu của đơn vị vận chuyển |
| B. Chỉ quét | Mã đã mở một trang hoặc lời nhắc ứng dụng, nhưng bạn chưa nhập mật khẩu, mã hay số thẻ | Đóng trang. Không nhập bất cứ thứ gì. Kiểm tra tài khoản mà trang đó tự nhận đại diện thông qua ứng dụng chính thức hoặc dấu trang bạn đã có sẵn |
| C. Đã nhập thông tin đăng nhập | Bạn đã nhập mật khẩu, mã dùng một lần, số thẻ hoặc thông tin đăng nhập khác sau khi quét | Coi tài khoản đã bị lộ và chuyển sang các bước khắc phục bên dưới |
Không quét mã để thử, kể cả trên thiết bị dự phòng. Quét chính là bước tải trang lên.
Trạng thái A: mã vẫn chưa được quét
Bạn không cần xác định người gửi để bảo vệ bản thân. Bạn cần tránh sử dụng con đường được in trên đó.
- Không quét mã và không mở bất kỳ liên kết rút gọn nào in bên cạnh.
- Giữ lại bao bì và nhãn. Chụp ảnh nhãn, dòng người gửi và mọi số theo dõi. Việc này để bạn tự lưu hồ sơ, không phải bằng chứng người gửi là hợp pháp.
- Kiểm tra xem bạn có thực sự đặt một đơn hàng nào không. Dùng ứng dụng của đơn vị vận chuyển hoặc nhà bán lẻ, hoặc một trang web bạn tự truy cập, không dùng số điện thoại hay liên kết trên nhãn.
- Nếu bưu kiện thực sự không ngờ tới và bạn không thể khớp với đơn hàng nào, hãy coi đó là hàng không được yêu cầu. Bạn được phép làm gì với nó tùy thuộc vào nơi bạn sống; bài viết này không đưa ra lời khuyên pháp lý cho bất kỳ quốc gia nào.
- Báo cáo nếu bạn muốn. Tại Hoa Kỳ, FTC công bố hướng dẫn cho người tiêu dùng về tin nhắn và bưu kiện lừa đảo. Các kênh báo cáo khác nhau tùy quốc gia, nên hãy dùng cơ quan bảo vệ người tiêu dùng tại địa phương thay vì cho rằng quy trình của Hoa Kỳ được áp dụng.
Một bưu kiện đến mà không khớp với đơn hàng nào không tự động là tội phạm, và mã QR không tự động là độc hại. Vấn đề là bạn không thể biết chỉ từ nhãn, nên bạn không cần chấp nhận rủi ro để tìm hiểu.
FTC cảnh báo mã QR trên một bưu kiện không ngờ tới có thể dẫn đến trang web lừa đảo đánh cắp thông tin đăng nhập hoặc thanh toán, hoặc dẫn đến mã độc. Nguồn
Trạng thái B: đã quét nhưng chưa nhập gì
Nếu mã đã mở một trang và bạn dừng lại trước khi nhập bất cứ thứ gì, nhiệm vụ chính của bạn là xác nhận trạng thái tài khoản thật thông qua con đường bạn kiểm soát.
- Đóng trang hoặc lời nhắc ứng dụng. Không “đăng nhập để hủy” hay “xác nhận giao hàng” trên trang mà mã đã mở.
- Mở ứng dụng chính thức của dịch vụ, hoặc tự gõ địa chỉ của dịch vụ vào tab trình duyệt mới. Không dùng lại liên kết từ lần quét.
- Kiểm tra xem sự kiện được nêu có thật không. Nếu trang nói một bưu kiện đang bị giữ, hãy tìm thông báo tương tự trong khu vực tài khoản của chính đơn vị vận chuyển hoặc nhà bán lẻ. Nếu không có gì ở đó, trang đó không phải thông báo thật.
- Không cài đặt bất cứ thứ gì trang đó đề nghị. Lời nhắc cài ứng dụng từ mã QR trên bưu kiện không phải yêu cầu giao hàng mà bạn có thể xác minh.
- Ghi lại những gì trang đã hỏi — mật khẩu, số thẻ, mã dùng một lần, phí giao hàng — để bạn có thể mô tả chính xác nếu báo cáo.
Chỉ quét không chứng minh tài khoản của bạn đã bị truy cập. Rủi ro ở trạng thái này nằm ở việc bạn làm tiếp theo, nên hành động an toàn tiếp theo là ngừng sử dụng con đường được in trên đó.
Trạng thái C: đã nhập thông tin đăng nhập
Đây là trạng thái cần hành động, và thứ tự rất quan trọng.
Nếu thông tin đăng nhập tài khoản đã được nhập sau khi quét mã như vậy, FTC khuyên đổi mật khẩu và bật xác thực hai yếu tố. Nguồn
Thực hiện các bước sau theo thứ tự, dùng ứng dụng của chính tài khoản hoặc một trang bạn tự truy cập:
- Đổi mật khẩu từ ứng dụng hoặc trang web chính thức, không phải từ trang mà mã đã mở.
- Bật xác thực hai yếu tố nếu chưa bật. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi tài khoản hỗ trợ.
- Đổi cùng mật khẩu đó ở bất kỳ nơi nào bạn đã dùng lại. Mật khẩu đã nhập vào trang lừa đảo nên được coi là đã bị người khác biết.
- Nếu bạn đã nhập thông tin thẻ hoặc ngân hàng, hãy liên hệ đơn vị phát hành thẻ hoặc ngân hàng bằng số trên thẻ hoặc ứng dụng chính thức của họ. Không dùng số hay liên kết từ bưu kiện hoặc trang đã quét. Bài viết này không hứa rằng một khoản thanh toán có thể được hoàn lại.
- Giữ quyền truy cập vào phương thức khôi phục cho đến khi bạn hoàn tất. Không xóa email, số điện thoại hoặc mã khôi phục trước khi việc đổi mật khẩu và thiết lập xác thực hai yếu tố được xác nhận hoạt động, nếu không bạn có thể tự khóa mình ra ngoài.
- Xem lại hoạt động tài khoản gần đây trong ứng dụng chính thức: vị trí đăng nhập, ứng dụng đã kết nối, quy tắc chuyển tiếp và phương thức thanh toán. Hoàn tác bất cứ thứ gì bạn không nhận ra.
Gỡ một kết nối đăng nhập hoặc chỉnh sửa hồ sơ không giống với việc xóa dữ liệu đã lưu. Nếu bạn đóng tài khoản hoàn toàn, hãy làm theo quy trình đóng tài khoản của chính nhà cung cấp và giữ phương thức khôi phục hoạt động cho đến khi việc đóng được xác nhận.
Dùng các con đường tài khoản đã biết, không dùng mã in trên bưu kiện
Nhãn bưu kiện có thể in bất kỳ địa chỉ, số điện thoại hoặc mã QR nào. Nó không thể chứng minh ai sở hữu đích đến. Với bất kỳ quyết định tài khoản nào — đặt lại mật khẩu, xác nhận giao hàng, thanh toán, hoàn tiền — hãy bắt đầu từ con đường bạn đã tin tưởng:
| Việc cần làm | Điểm xuất phát đáng tin cậy |
|---|---|
| Xác nhận giao hàng | Ứng dụng của đơn vị vận chuyển hoặc nhà bán lẻ, hoặc địa chỉ bạn tự gõ |
| Đặt lại mật khẩu | Ứng dụng hoặc trang web chính thức của dịch vụ, hoặc quy trình khôi phục tài khoản được họ công bố |
| Kiểm tra thanh toán | Ứng dụng ngân hàng hoặc đơn vị phát hành thẻ, hoặc số trên thẻ của bạn |
| Báo cáo tin nhắn đáng ngờ | Cơ quan bảo vệ người tiêu dùng tại địa phương; tại Hoa Kỳ, hướng dẫn đã công bố của FTC |
Nếu một tin nhắn tự nhận là từ tài khoản hỗ trợ và yêu cầu bạn chuyển cuộc trò chuyện sang ứng dụng chat hoặc “xác minh” bằng cách đăng nhập, quy tắc tương tự vẫn áp dụng: xác nhận qua ứng dụng của chính dịch vụ. Với tình huống riêng đó, xem kiểm tra tài khoản mạng xã hội hỗ trợ khách hàng giả mạo.
Một kết quả trùng tên người dùng công khai là manh mối, không phải bằng chứng sở hữu. Nếu bạn đang cố xác định ai đứng sau một tên người dùng đã liên hệ với bạn, công cụ tra cứu tên người dùng như TraceSeek có thể cho thấy tên người dùng đó xuất hiện ở đâu trên 3.000+ nền tảng, nhưng nó không thay đổi cài đặt tài khoản, không cấp mã khôi phục, không lấy lại tiền và không xác minh danh tính thật.
Những điều không nên kết luận
- Không phải mọi lần quét mã QR đều cài mã độc. FTC mô tả lừa đảo và mã độc là những kết quả có thể xảy ra; họ không nói mọi lần quét đều dẫn đến một trong hai.
- Một trang đã quét trông có vẻ thật không chứng minh đó là thật. Kiểm tra sự kiện được nêu trong ứng dụng của chính dịch vụ.
- Một bưu kiện không khớp đơn hàng không xác định được người gửi. Không coi tên hoặc địa chỉ trả hàng trên nhãn là đã được xác minh.
- Quy định về hàng hóa không được yêu cầu khác nhau tùy quốc gia. Bài viết này không mở rộng bất kỳ quy định quốc gia nào sang thị trường khác.
- Đổi mật khẩu không đảm bảo khôi phục. Nó giảm mức độ lộ; việc tài khoản hoặc khoản thanh toán có được khôi phục hay không phụ thuộc vào nhà cung cấp.
Một bảng ghi ngắn bạn có thể sao chép
Điền vào trước khi hành động, để sau này bạn không phải dựng lại:
- Trạng thái: A / B / C
- Ngày và giờ quét (nếu có):
- Trang hoặc lời nhắc tự nhận là gì (đơn vị vận chuyển, nhà bán lẻ, ngân hàng, khác):
- Những gì được yêu cầu (mật khẩu / mã dùng một lần / số thẻ / phí / cài ứng dụng):
- Những gì bạn đã nhập, nếu có:
- Tài khoản bị ảnh hưởng:
- Đã đổi mật khẩu: có / không — từ ứng dụng hoặc trang chính thức: có / không
- Đã bật xác thực hai yếu tố: có / không
- Phương thức khôi phục vẫn truy cập được: có / không
- Đã liên hệ đơn vị phát hành thẻ (nếu đã nhập thông tin thẻ): có / không
- Đã báo cáo cho (cơ quan địa phương, đơn vị vận chuyển, nhà bán lẻ):
Khi hoàn tất, hành động hữu ích tiếp theo là xác nhận từng tài khoản bị ảnh hưởng từ ứng dụng của chính nó: mật khẩu đã đổi, xác thực hai yếu tố đã bật, phương thức khôi phục hoạt động và không có phiên đăng nhập hoặc ứng dụng kết nối không nhận ra.