Quishing – Lừa Đảo Qua Mã QR Giả Mạo: Doanh Nghiệp Bảo Vệ Khách Hàng Quét Tem Sản Phẩm Như Thế Nào

Quishing là gì, và vì sao nó không còn là chuyện của riêng ngành ngân hàng

Có một buổi chiều tôi ngồi với chủ một xưởng sản xuất mật ong ở Đắk Lắk, anh mở điện thoại cho tôi xem một tin nhắn khách hàng gửi: "Anh ơi, em quét mã trên hũ mật mua ở tạp hóa mà nó ra trang web lạ, bắt nhập số điện thoại với OTP, em nghi lắm." Hũ mật đó không phải hàng giả về bao bì – nhãn mác, tem chống giả nhìn vẫn ổn. Nhưng cái mã QR dán trên nắp đã bị ai đó bóc ra, dán đè một mã khác lên trên trước khi hàng tới tay đại lý nhỏ lẻ.

Đó chính là Quishing – từ ghép giữa "QR code" và "phishing". Công an Hà Nội và nhiều báo trong nước đã cảnh báo về hình thức này từ giữa năm nay: kẻ gian dán đè mã QR giả lên mã thật ở nơi công cộng, gửi mã QR trong email/tin nhắn giả danh ngân hàng, hoặc in mã QR độc hại lên hàng giả để dẫn dụ người quét vào các trang web đánh cắp thông tin. Số liệu quốc tế còn đáng lo hơn: các nền tảng an ninh mạng ghi nhận tấn công quishing tăng gấp năm lần trong năm 2025, và chỉ riêng quý 1 năm 2026 đã tăng thêm 146% so với cùng kỳ, với gần 18,7 triệu vụ việc được ghi nhận trên toàn cầu chỉ trong tháng 3. Một chi tiết ít người để ý: doanh nghiệp vừa và nhỏ bị nhắm tới nhiều gấp tới 19 lần so với các tập đoàn lớn – vì hệ thống bảo vệ của họ thường mỏng hơn, còn tem nhãn thì lại dễ tiếp cận vật lý hơn nhiều.

Lý do quishing hiệu quả đến mức lan nhanh như vậy nằm ở chỗ nó lách qua toàn bộ lớp phòng thủ quen thuộc. Một bộ lọc email hay một phần mềm diệt virus thông thường được huấn luyện để đọc chữ, trích xuất đường link trong văn bản rồi so với danh sách đen. Nhưng khi đường link độc hại nằm ẩn trong các ô đen trắng của một tấm ảnh, không công cụ nào trong số đó "đọc" được nó cả – hệ thống chỉ thấy một file ảnh vô hại và cho qua. Với con người cũng vậy: chúng ta được dạy cảnh giác với đường link lạ trong tin nhắn, nhưng gần như chưa ai được dạy cách nhìn một mã QR và nghi ngờ nó.

Những gì các bài cảnh báo hiện tại đã nói – và điều họ đều bỏ sót

Tôi đã đọc qua khá nhiều bài viết về quishing đang đứng top tìm kiếm, cả tiếng Việt lẫn tiếng Anh, để chuẩn bị cho bài này. Điểm chung của gần như tất cả: chúng viết từ góc nhìn của nạn nhân – tức là người tiêu dùng cầm điện thoại lên quét mã. Nội dung xoay quanh vài ý quen thuộc: quishing là gì, kẻ gian dán đè mã QR ở bãi đỗ xe hay bàn ăn nhà hàng ra sao, đừng quét mã từ nguồn không rõ ràng, hãy xem trước đường link hiện lên trước khi bấm vào, và nên cài phần mềm bảo mật trên điện thoại. Ở khía cạnh doanh nghiệp, một số bài quốc tế có nhắc tới việc huấn luyện nhân viên nhận diện email chứa mã QR độc hại, và việc quản lý ai có quyền chỉnh sửa các mã QR động (dynamic QR) trong doanh nghiệp.

Nhưng có một khoảng trống rất lớn mà không bài nào tôi đọc được trả lời trực tiếp: nếu bạn là nhà sản xuất, và chính cái mã QR trên tem sản phẩm của bạn – thứ bạn in ra để chứng minh hàng thật, để khách hàng truy xuất nguồn gốc – bị kẻ gian lợi dụng, thì bạn phải xây dựng hệ thống của mình như thế nào để nó không trở thành công cụ lừa đảo? Không ai nói tới việc một tấm tem chống giả, nếu thiết kế sai ngay từ đầu, có thể vô tình biến thành một Quishing tự nhiên – vì bản chất nó đã là một mã QR dán trên bao bì, gắn với thương hiệu bạn, chỉ chờ ai đó bóc ra dán đè. Đây chính xác là câu hỏi mà truy vấn tìm kiếm này đang hỏi, và là phần tôi muốn đi sâu.

Vì sao tem QR của chính bạn lại là bề mặt tấn công, không chỉ là công cụ marketing

Rất nhiều doanh nghiệp khi làm tem QR chỉ nghĩ tới hai việc: mã đẹp, dễ quét, và trang đích (landing page) có thông tin sản phẩm. Nhưng nếu nhìn dưới góc độ một kẻ muốn làm giả, tấm tem đó có ba điểm yếu chí mạng mà bản thân doanh nghiệp thường không để ý.

Điểm yếu thứ nhất là mã QR tĩnh. Rất nhiều đơn vị dùng công cụ tạo QR miễn phí, xuất ra một mã trỏ thẳng tới một đường link cố định, rồi in hàng loạt lên cả lô sản phẩm. Vấn đề là một khi mã đó lộ ra – ai cũng có thể chụp lại, tạo một mã QR y hệt về hình thức nhưng trỏ tới một trang giả, rồi in tem dán đè lên tem thật. Vì tất cả các tem trong lô đều dùng chung một mã, doanh nghiệp không có cách nào phân biệt được đâu là tem gốc đã bị dán đè, đâu là tem chưa bị động tới.

Điểm yếu thứ hai là domain lạ. Nhiều nền tảng làm tem chống giả cho khách hàng một đường link rút gọn kiểu bit.ly hoặc một subdomain ngẫu nhiên không liên quan gì tới thương hiệu. Với người tiêu dùng, việc quét ra một domain lạ hoắc, không có gì để đối chiếu với tên công ty trên bao bì, chính là mảnh đất màu mỡ để họ không nhận ra sự khác biệt giữa link thật và link giả – vì bản thân link thật cũng đã trông đáng ngờ sẵn rồi.

Điểm yếu thứ ba, và theo tôi là nguy hiểm nhất, là trang đích đòi hỏi thông tin nhạy cảm. Một số doanh nghiệp thiết kế landing page truy xuất nguồn gốc yêu cầu khách để lại số điện thoại, email, thậm chí OTP để "xác thực bảo hành" hoặc "nhận quà tri ân". Việc này vô tình huấn luyện chính khách hàng của bạn quen với thói quen: quét QR trên sản phẩm này của hãng, rồi nhập OTP là bình thường. Đến khi kẻ gian dán một mã giả yêu cầu đúng thao tác đó, khách hàng sẽ làm theo như một phản xạ.

Bộ khung phòng thủ thực tế cho tem sản phẩm có QR

Sau khi làm việc với nhiều nhà máy để xây hệ thống truy xuất nguồn gốc, tôi rút ra năm việc cụ thể mà một doanh nghiệp sản xuất nên làm để mã QR trên tem không trở thành cửa ngõ cho quishing.

Một, mỗi tem một mã định danh duy nhất, không dùng chung một mã QR tĩnh

Thay vì in hàng loạt cùng một mã QR cho cả lô, hệ thống cần cấp cho mỗi đơn vị sản phẩm một mã định danh riêng, gắn theo chuẩn GS1 Digital Link – tức là mã QR chứa cả GTIN của sản phẩm lẫn số serial riêng của từng tem. Khi mỗi tem là duy nhất, hệ thống có thể ghi nhận chính xác tem nào đã được quét, quét bao nhiêu lần, ở đâu. Nếu một mã bị sao chép và in ra hàng loạt để dán đè lên các sản phẩm khác, hệ thống lập tức nhìn thấy cùng một mã serial bị quét lặp lại ở nhiều địa điểm cách xa nhau trong cùng một khung giờ – điều không thể xảy ra với hàng thật.

Hai, khóa domain về thương hiệu, và tuyệt đối không hỏi OTP trên trang quét tem

Đường link đích của mã QR nên nằm trên subdomain gắn thẳng với tên miền chính của doanh nghiệp, có chứng chỉ bảo mật rõ ràng, thay vì một link rút gọn vô danh. Đây là chi tiết nhỏ nhưng quan trọng: khi khách hàng đã quen nhìn thấy đúng một domain quen mắt mỗi lần quét sản phẩm của bạn, một domain lạ dán đè lên sẽ nổi bật lên ngay, kể cả với người không rành công nghệ. Song song đó, doanh nghiệp cần đặt ra một nguyên tắc cứng và truyền thông rõ cho khách hàng: trang quét tem sản phẩm không bao giờ yêu cầu mật khẩu, mã OTP, hay thông tin ngân hàng. Nếu khách hàng đã được dặn trước điều này qua bao bì, website, fanpage, thì bất cứ trang giả nào đòi OTP sẽ tự động bị nghi ngờ ngay từ giây đầu.

Ba, theo dõi dữ liệu quét để phát hiện bất thường sớm

Một hệ thống truy xuất nguồn gốc tốt không dừng lại ở việc hiển thị thông tin, mà còn phải âm thầm phân tích hành vi quét. Hai tín hiệu cần theo dõi sát: tần suất quét bất thường của cùng một mã trong thời gian ngắn, và khoảng cách địa lý phi lý giữa các lượt quét (ví dụ một mã được quét ở Cần Thơ buổi sáng rồi lại được quét ở Hà Giang ngay buổi chiều). Cả hai đều là dấu hiệu tem đã bị nhân bản hoặc bị dán đè bởi mã giả. Khi phát hiện, hệ thống nên tự động gắn cờ cảnh báo cho đội ngũ vận hành, thay vì để tới lúc khách hàng khiếu nại mới biết.

Bốn, đầu tư vào tem vật lý chống bóc dán

Công nghệ số chỉ giải quyết được một nửa vấn đề, nửa còn lại nằm ở chất liệu tem. Tem cần được thiết kế theo dạng tamper-evident – tức là khi ai đó cố bóc ra để dán đè mã khác lên, tem sẽ để lại dấu vết rách, đổi màu hoặc hiện chữ "VOID" không thể phục hồi nguyên trạng. Kết hợp thêm vài lớp nhận diện vật lý như hologram hoặc mực đổi màu theo góc nhìn sẽ khiến việc dán đè trở nên khó khăn và dễ bị phát hiện bằng mắt thường hơn nhiều, ngay cả trước khi khách hàng kịp quét mã.

Năm, giữ nhật ký gốc không thể sửa để làm bằng chứng khi có tranh chấp

Khi một vụ quishing liên quan tới tem sản phẩm của bạn xảy ra, việc đầu tiên cơ quan chức năng hoặc khách hàng bị hại sẽ hỏi là: làm sao chứng minh mã nào là thật, được cấp phát vào thời điểm nào, gắn với lô sản xuất nào. Đây là lúc một hệ thống ghi log dạng chuỗi khối hoặc theo chuẩn EPCIS phát huy giá trị – không phải vì nó "nghe sang", mà vì bản ghi không thể chỉnh sửa ngược sau khi đã tạo ra, giúp doanh nghiệp có bằng chứng rõ ràng để đối chiếu khi cần làm việc với công an hoặc giải trình với khách hàng.

Khi phát hiện tem giả hoặc mã QR bị dán đè, làm gì trước tiên

Có một quy trình phản ứng cần chuẩn bị sẵn từ trước, đừng để tới lúc có sự cố mới loay hoay. Ngay khi hệ thống cảnh báo hoặc khách hàng phản ánh một mã đáng ngờ, việc đầu tiên là vô hiệu hóa mã định danh đó trên hệ thống backend để trang đích thật không còn hiển thị nội dung hợp lệ cho mã đã bị lộ, tránh trường hợp kẻ gian tận dụng độ tin cậy còn sót lại. Tiếp theo, cần rà soát toàn bộ lịch sử quét của mã đó để khoanh vùng khu vực và kênh phân phối nào đang bị ảnh hưởng, từ đó thông báo trực tiếp cho các đại lý trong khu vực kiểm tra lại hàng trên kệ. Cuối cùng, thông báo cho khách hàng qua các kênh chính thức đã được họ biết trước – fanpage, website, tổng đài – tuyệt đối không gửi thông báo qua một link mới nào khác, vì đó chính xác là kịch bản kẻ gian có thể lợi dụng để giả danh doanh nghiệp lần hai.

Đại lý và người tiêu dùng – lớp phòng thủ cuối cùng không thể bỏ qua

Dù hệ thống kỹ thuật có chặt tới đâu, lớp phòng thủ cuối cùng vẫn luôn là con người đứng ở điểm bán và người cầm điện thoại quét mã. Với đại lý, nhân viên bán hàng cần được hướng dẫn cụ thể cách nhận diện tem thật – từ vị trí dán chuẩn, cảm giác khi sờ vào lớp tamper-evident, đến việc phát hiện dấu hiệu tem bị bóc dán lại. Với người tiêu dùng, thông điệp cần lặp lại nhất quán trên mọi bao bì và kênh truyền thông chỉ cần một câu đơn giản: chúng tôi không bao giờ yêu cầu bạn nhập mật khẩu hay mã OTP khi quét tem sản phẩm. Một câu ngắn như vậy, nếu được in đủ rõ và nhắc đủ nhiều, có giá trị phòng thủ ngang với rất nhiều lớp kỹ thuật phức tạp phía sau.

Quishing sẽ không dừng lại ở mức tăng trưởng hiện tại, và tem sản phẩm – vốn là công cụ doanh nghiệp chủ động đưa vào tay khách hàng để xây dựng niềm tin – lại đang trở thành một trong những kênh bị lợi dụng nhiều nhất vì tính vật lý, dễ tiếp cận và ít được giám sát của nó. Ai xây dựng hệ thống tem QR mà chỉ nghĩ tới trải nghiệm quét mã đẹp mắt, mà bỏ qua việc mã đó có thể bị nhân bản, dán đè hay giả mạo domain, thì đang vô tình để lại một cánh cửa mở cho chính khách hàng trung thành nhất của mình bước vào bẫy.