Mã QR bị dán đè ở quầy thanh toán: kiểm tra trước khi chuyển tiền

Trước khi bấm xác nhận chuyển tiền sau khi quét mã QR ở quầy, hãy đọc kỹ dòng tên người nhận mà ứng dụng ngân hàng hiển thị và hỏi lại thu ngân xem đó có đúng tên cửa hàng hay chủ quán không. Kẻ gian có thể dán một mã QR khác đè lên mã thật, khiến tiền của bạn chảy vào tài khoản của chúng trong khi cửa hàng vẫn chờ. Vài giây đối chiếu tên là cách chặn hiệu quả nhất.

Mùa mua sắm cuối năm và Tết, quầy hàng đông, khách vội, nhân viên không kịp để ý tờ mã dán trên quầy. Đây là lúc chiêu dán đè và mã QR độc hại (thường gọi là quishing) dễ trót lọt nhất.

Thanh toán QR phổ biến đến mức nào

Theo số liệu Ngân hàng Nhà nước được dẫn trong bài KTSG Online đăng ngày 22/11/2025, trong 9 tháng đầu năm 2025, giao dịch qua mã QR tăng 61,63% so với cùng kỳ, còn giá trị thanh toán qua mã tăng 150,67%. Cũng theo bài báo, giá trị giao dịch VietQR ghi nhận tại Napas tăng 85%, đạt 9,2 triệu tỷ đồng. Khi gần như quán nào cũng có một tờ mã QR, kẻ gian không thiếu chỗ để dán.

Bài báo dẫn số liệu của KeepNet Labs cho biết 26% liên kết độc hại được phát tán qua mã QR, và mô tả việc dán đè mã giả lên mã thật giống như cách gắn thiết bị đánh cắp dữ liệu vào cây ATM.

Hai kiểu mã QR giả bạn có thể gặp

Tổng hợp từ bài KTSG Online và hướng dẫn của Techcombank.

Bốn bước kiểm tra trước khi xác nhận

1. Quét bằng ứng dụng ngân hàng hoặc ví chính thức, không dùng ứng dụng quét QR không rõ nguồn. Ứng dụng ngân hàng sẽ hiện thẳng tên chủ tài khoản thay vì mở trình duyệt.
2. Đọc tên người nhận. Tên cửa hàng hoặc tên chủ quán phải khớp. Nếu hiện tên cá nhân lạ, hỏi thu ngân trước khi chuyển.
3. Kiểm tra số tiền. Mã QR động có thể điền sẵn số tiền; đảm bảo nó đúng hóa đơn.
4. Chờ cửa hàng xác nhận đã nhận tiền trước khi rời quầy. Nếu cửa hàng báo chưa nhận trong khi bạn đã bị trừ tiền, hãy giữ ảnh chụp màn hình giao dịch và báo ngay.

Lời khuyên "chỉ quét bằng ứng dụng chính thức, xác nhận chủ tài khoản, đơn vị thụ hưởng và số tiền, kể cả tại cửa hàng hay quán cà phê" cũng là khuyến nghị được nêu trong bài KTSG Online.

Mã QR ngoài quầy thanh toán: cẩn thận hơn nữa

Mã dán ở cột đỗ xe "thanh toán phí gửi xe", tờ rơi "nhận voucher Tết", email "xác nhận đơn hàng" đều có thể là mã dẫn tới trang giả. Theo bài viết của Techcombank, quét mã giả thường dẫn tới website giả mạo ngân hàng để lấy tên đăng nhập, mật khẩu, OTP hoặc số căn cước, hoặc tới trang chứa mã độc. Quy tắc an toàn: mã QR mở ra một trang web đòi đăng nhập ngân hàng là dấu hiệu đỏ. Ngân hàng không bao giờ yêu cầu bạn đăng nhập qua một trang mở từ mã QR dán ngoài đường.

Nếu trang mở ra yêu cầu cài ứng dụng, hãy dừng lại. Ứng dụng cài ngoài kho chính thức là đường vào phổ biến của mã độc đọc trộm OTP, như phân tích trong bài phòng ngừa mã độc đọc trộm OTP.

Những tình huống khiến bạn dễ bỏ qua bước đối chiếu

Hầu hết người bị chuyển nhầm vào mã dán đè không phải vì thiếu hiểu biết, mà vì hoàn cảnh. Quán ăn sáng đông, hàng người phía sau đang chờ, bạn quét rồi bấm xác nhận theo phản xạ. Đi chợ Tết, tay xách nách mang, chỉ kịp giơ điện thoại lên. Ở quán quen, bạn tin tờ mã đã thấy hàng trăm lần mà không biết tối qua có người dán lớp mới lên. Cách đối phó là biến việc đọc tên người nhận thành phản xạ thay cho việc bấm ngay. Một số ứng dụng ngân hàng cho phép lưu tên người nhận quen; khi tên hiện ra khác với tên đã lưu, bạn sẽ nhận ra ngay sự bất thường. Với các khoản lớn như đặt cọc tiệc cưới, mua hàng Tết số lượng nhiều, hãy hỏi số tài khoản trực tiếp từ chủ cửa hàng thay vì quét tờ mã trên bàn.

Lỡ chuyển nhầm vào mã dán đè thì làm gì

• Chụp màn hình giao dịch, ghi lại tên và số tài khoản người nhận.
• Báo ngay cho chủ cửa hàng để họ kiểm tra camera và gỡ mã giả.
• Gọi tổng đài ngân hàng của bạn đề nghị tra soát, cung cấp thông tin tài khoản nhận.
• Trình báo công an phường, xã nơi xảy ra sự việc.

Với các bước nộp đơn và giấy tờ cần có, xem thêm bài yêu cầu hoàn tiền khi bị lừa giao dịch.

Chủ cửa hàng nên làm gì để khách không bị lừa

Techcombank khuyên chủ cửa hàng đặt mã QR tại quầy thu ngân, tránh dán ở nhiều nơi, ưu tiên ấn phẩm QR thiết kế riêng thay vì giấy in thường, thường xuyên tự quét mã để kiểm tra và chủ động mời khách kiểm tra tên người nhận. Thêm vài thói quen thực tế:

• Đầu mỗi ca, quét thử mã ở quầy một lần.
• Dùng loa thông báo hoặc ứng dụng báo biến động số dư để biết ngay tiền đã về, thay vì nhìn ảnh chụp màn hình của khách.
• Khi phát hiện mã bị thay, quét mã giả để lấy thông tin tài khoản, kiểm tra camera, báo công an và ngân hàng, theo hướng dẫn của Techcombank.

Mã QR thuận tiện vì bỏ qua bước gõ số tài khoản. Cái giá của sự thuận tiện đó là bạn phải tự làm thêm một việc: đọc tên người nhận trước khi bấm.