Người bị nhắm tới bởi một vụ lừa đảo brushing thường phát hiện ra khi một gói hàng nhỏ đến với tên và địa chỉ của họ trên tem, nhưng họ không có ghi nhận đặt hàng nào trong tài khoản mua sắm trực tuyến của mình.
Không giống những kẻ lừa đảo gửi tin nhắn giao hàng giả để dụ người dùng bấm vào liên kết, kẻ làm brushing gửi một món hàng thật, mặc dù một số kẻ đã bắt đầu dán mã QR lên gói hàng dẫn tới các trang lừa đảo mạng (phishing).
Brushing là gì?
Brushing (lừa đảo “brushing”) là một chiêu trò trong đó người bán trực tuyến gửi cho bạn một sản phẩm mà bạn không đặt, rồi tận dụng việc giao hàng đó để đăng đánh giá giả hoặc làm tăng số liệu bán hàng. Người bán thường muốn cải thiện thứ hạng danh sách sản phẩm chứ không phải lấy tiền của bạn.
Thuật ngữ này bắt nguồn từ tiếng lóng thương mại điện tử Trung Quốc, dùng để chỉ việc làm giả đơn hàng nhằm nâng cao hồ sơ doanh số của cửa hàng. Người bán lợi dụng niềm tin của khách hàng vào xếp hạng sao và số đơn hàng; người nhận gói hàng thường hoàn toàn không liên quan tới hành vi lừa đảo.
Một trường hợp điển hình có thể là một chiếc giá đỡ điện thoại đến trong bao thư trơn từ một người bán mà bạn chưa từng nghe tên.
- Lừa đảo brushing dùng các gói hàng gửi tới không yêu cầu để đăng đánh giá giả hoặc thổi phồng doanh số, thường không thu tiền người nhận.
- Kẻ lừa đảo thường lấy tên và địa chỉ từ hồ sơ công khai, nhà môi giới dữ liệu, hoặc dữ liệu khách hàng bị lộ trong một vụ vi phạm công ty.
- Nhận một gói hàng brushing không có nghĩa là tài khoản mua sắm hoặc thông tin thanh toán của bạn đã bị xâm phạm.
- Không quét mã QR trên các gói bất ngờ, vì một số mã dẫn đến trang lừa đảo lấy thông tin đăng nhập hoặc chi tiết thanh toán.
- Tại US, luật liên bang thường cho phép bạn giữ lại hàng hóa gửi tới không yêu cầu mà không phải trả tiền.
- Báo cáo gói hàng cho sàn thương mại điện tử để họ có thể điều tra người bán, mặc dù có thể vẫn còn nhiều bưu kiện khác đến sau.
Lừa đảo brushing hoạt động như thế nào?
Trong một vụ brushing, người bán có thể tạo một tài khoản sàn TMĐT giả bằng tên và địa chỉ của bạn, mua chính sản phẩm của họ và gửi cho bạn. Người bán sau đó dùng giao dịch giả này để thao túng đánh giá hoặc thứ hạng doanh số.
Kẻ lừa đảo thường thanh toán bằng thẻ của chính họ và dùng email của chính họ, nên đơn hàng và khoản phí sẽ không xuất hiện trong tài khoản của bạn. Mọi đánh giá đều đến từ tài khoản họ kiểm soát, đôi khi dưới tên trông giống tên bạn.
Nhiều người tiêu dùng so sánh sản phẩm dựa trên xếp hạng sao và thứ hạng bán hàng, nên một mục có hàng trăm đánh giá tích cực có thể được xếp hạng cao hơn và thu hút nhiều người mua hơn, khiến việc gửi những lô hàng rẻ tiền này có giá trị đối với kẻ lừa đảo.
Gửi gói hàng không tự động tạo ra một đánh giá đã được xác minh, vì mỗi sàn TMĐT có quy tắc riêng để xác nhận mua hàng và gỡ bỏ đánh giá giả. Ví dụ, Amazon gắn nhãn đánh giá là “Đã mua hàng (Verified Purchase)” khi có thể xác nhận người đánh giá đã mua trên Amazon, và brushing là một trong những cách người bán cố gắng để có được nhãn đó.
Kẻ lừa đảo lấy tên và địa chỉ của bạn từ đâu?
Kẻ lừa đảo thường lấy tên và địa chỉ từ hồ sơ công khai, nhà môi giới dữ liệu hoặc dữ liệu khách hàng bị lộ trong các vụ vi phạm. Có địa chỉ của bạn không có nghĩa là họ truy cập được tài khoản mua sắm hay thông tin thanh toán của bạn.
Những người lo lắng rằng brushing đến từ việc tài khoản Amazon bị hack thường quên rằng tên và địa chỉ là thông tin nhận dạng cá nhân mà nhiều công ty và thư mục đã lưu từ trước. Nhãn vận chuyển sẽ không cho biết người bán tìm địa chỉ của bạn từ vụ rò rỉ nào — có thể là vi phạm dữ liệu, thư mục công khai, hoặc danh sách mua bán.
Được kiểm nghiệm độc lập và trao giải bởi các phòng thí nghiệm hàng đầu trong ngành.
Làm sao để nhận biết một vụ lừa đảo brushing?
Bạn thường dễ nhận ra brushing khi một gói hàng đến từ người bán lạ và không trùng khớp với bất kỳ đơn hàng nào trong nhà. Món hàng thường có giá trị thấp và thường không kèm theo ghi chú hay hoá đơn.
Người bán hay chọn hàng giá trị thấp như phụ kiện điện thoại, kẹp tóc hoặc đồ gia dụng nhỏ, vì những mặt hàng này rẻ khi mua số lượng lớn và gửi. Nhiều vụ được báo liên quan tới Amazon, nhưng một vụ brushing trên Amazon hoạt động giống như trên bất kỳ sàn TMĐT nào khác xếp hạng sản phẩm theo đánh giá và doanh số.
Trước khi coi một gói là brushing, hãy kiểm tra xem đó có thể là quà tặng, lô hàng đăng ký bạn quên, đơn do người trong nhà đặt, hoặc bưu kiện dành cho hàng xóm.
Lừa đảo brushing có nguy hiểm không?
Lừa đảo brushing có thể gây rủi ro về quyền riêng tư và bảo mật, mặc dù mục đích chính là thao túng đánh giá trực tuyến hơn là đánh cắp tiền. Một số gói đáng ngờ còn chứa mã QR độc hại hoặc sản phẩm có thể không an toàn, tạo thêm nguy cơ cho người nhận.
Người bán có địa chỉ và tên của bạn không đồng nghĩa với mất danh tính đã được xác nhận, tài khoản bị xâm nhập, hay thông tin thanh toán bị đánh cắp. Thông tin của bạn vẫn có thể bị bán lại hoặc tái sử dụng, nên cùng một thông tin có thể xuất hiện trong email lừa đảo, cuộc gọi lừa đảo, hoặc các chiêu thức gian lận khác sau này.
Mức độ nghiêm trọng phụ thuộc vào bằng chứng lạm dụng, như các đơn hàng bạn không đặt hoặc khoản phí lạ, chứ không phụ thuộc vào gói hàng một mình.
Lừa đảo brushing có thể chứa mã QR độc hại không?
Có. Một số vụ brushing kèm theo thẻ hoặc nhãn có mã QR độc hại, thường kèm ghi chú yêu cầu bạn quét. Quét mã đó có thể mở một trang giả mạo nhằm lấy cắp thông tin đăng nhập, chi tiết thẻ, hoặc mã xác thực một lần.
Trong phân tích về các bưu kiện bất ngờ, Kaspersky mô tả các thẻ mã QR hứa tặng phiếu quà $100 để lại đánh giá, tự nhận tiết lộ ai đã gửi “quà”, hoặc yêu cầu bạn xác nhận đã nhận món hàng miễn phí. Một vài trang đằng sau mã còn thúc giục bạn cài một ứng dụng hóa ra là mã độc.
Chiêu này gọi là quishing (mã QR dùng để lừa đảo), và nó là mối đe doạ bổ sung mà một số kẻ lừa đảo ghép vào brushing chứ không phải phần bắt buộc của phương thức brushing. Quét mã không tự động làm nhiễm thiết bị hay xâm phạm tài khoản; vấn đề thường chỉ bắt đầu nếu bạn nhập mật khẩu hoặc thông tin thẻ vào trang, hoặc cài app mà trang yêu cầu.
Nếu nhận được gói brushing nên làm gì?
Phần lớn người chỉ cần loại trừ khả năng đó là đơn hàng trong nhà và báo cáo gói. Thông thường bạn không cần đóng băng tín dụng, thay thẻ, hay đổi mọi mật khẩu trừ khi tìm thấy dấu hiệu tài khoản bị xâm nhập, gian lận thanh toán, hoặc lạm dụng danh tính.
Kiểm tra tài khoản mua sắm và hoạt động thanh toán
Bắt đầu bằng cách hỏi những người cùng sinh sống xem ai đã đặt hàng hoặc gửi quà, và loại trừ khả năng lô hàng đăng ký bạn quên. Nếu không có lời giải thích, rà soát các đơn gần đây trong tài khoản sàn TMĐT, giao dịch thẻ và ngân hàng, và email bảo mật về đăng nhập mới hoặc thay đổi mật khẩu.
Khi phát hiện đơn, phí, hoặc đăng nhập lạ, hãy đổi mật khẩu cho tài khoản đó, bật xác thực hai yếu tố, và liên hệ nền tảng cùng ngân hàng của bạn.
Báo cáo gói cho Amazon hoặc sàn TMĐT liên quan
Để báo cáo vụ brushing trên Amazon, dùng mẫu báo cáo trên trang trợ giúp về gói hàng không yêu cầu của họ. Trên các sàn khác, liên hệ dịch vụ khách hàng của nền tảng mà gói hàng đến. Giữ lại tem vận chuyển, mã theo dõi và ngày giao hàng, chụp ảnh gói và nội dung, vì Amazon yêu cầu số theo dõi và số lượng bưu kiện không mong muốn bạn đã nhận.
Nếu gói đáng ngờ được giao qua USPS, bạn cũng có thể báo với United States Postal Inspection Service (USPIS) thông qua mẫu báo cáo tội phạm trực tuyến. Báo cáo về các lô gửi lặp lại có thể giúp sàn TMĐT tìm người bán và gỡ bỏ đánh giá giả được đăng dưới tên bạn, nhưng không thể đảm bảo các lần giao tiếp theo sau sẽ ngừng hẳn.
Nên xử lý gói gửi tới không yêu cầu thế nào?
Tại US, luật liên bang thường cho phép bạn giữ, sử dụng hoặc vứt bỏ hàng hóa gửi tới không yêu cầu mà không cần trả tiền hay thông báo cho người gửi. Gói gửi nhầm địa chỉ là giao nhầm, nên hãy trả lại qua đơn vị vận chuyển hoặc người gửi.
Nếu một gói chưa mở có địa chỉ trả lại, US Postal Inspection Service nói rằng bạn có thể đánh dấu “đang hoàn trả / return to sender” và nó sẽ được trả lại miễn phí cho bạn. Các quốc gia khác có quy định bảo vệ người tiêu dùng và luật trả lại riêng, vì vậy hãy kiểm tra hướng dẫn của cơ quan bảo vệ người tiêu dùng quốc gia nếu bạn sống ngoài US.
Cẩn trọng hơn với thiết bị điện tử lạ, thực phẩm tiêu dùng, hạt giống, hoặc chất lạ bằng cách không cắm các ổ USB không rõ nguồn gốc vào thiết bị, không gieo trồng hạt lạ, và báo cáo chất lỏng hoặc bột đáng ngờ cho chính quyền địa phương. Nếu báo cáo gói, hãy chụp ảnh trước khi vứt bỏ bất kỳ thứ gì.
Nếu bạn đã quét một mã QR đáng ngờ thì sao?
Đóng trang mà không nhập bất kỳ thông tin nào, điều này thường đủ nếu bạn chỉ mới quét mã. Nếu bạn đã nhập mật khẩu, thông tin thẻ, hoặc mã xác thực một lần, hoặc cài ứng dụng, hãy bảo đảm lại tài khoản hoặc thiết bị bị ảnh hưởng.
Sau khi nhập mật khẩu, đổi mật khẩu trên trang chính thức và trên mọi tài khoản khác dùng cùng mật khẩu đó, sau đó bật xác thực hai yếu tố và kiểm tra các đăng nhập không nhận ra. Liên hệ ngân hàng hoặc tổ chức thẻ nếu bạn đã nhập thông tin thẻ hoặc mã một lần, vì họ có thể khoá thẻ và kiểm tra các khoản phí gian lận.
Bất kỳ ai đã cài app từ liên kết nên gỡ cài và quét thiết bị bằng phần mềm bảo mật uy tín để kiểm tra mã độc.
Làm sao giảm rủi ro từ lừa đảo brushing?
Bạn có thể giảm rủi ro bằng cách chia sẻ ít thông tin cá nhân trực tuyến hơn, bảo mật tài khoản mua sắm bằng mật khẩu riêng biệt và xác thực đa yếu tố, và bỏ qua mã QR trong các gói bất ngờ. Bạn không thể ngăn hoàn toàn các gói được gửi tới, vì người bán đã có địa chỉ của bạn.
Bạn có thể bảo vệ thông tin cá nhân và các tài khoản liên kết bằng các bước sau:
- Giữ địa chỉ khỏi các hồ sơ mạng xã hội công khai, và yêu cầu các trang tìm kiếm người gỡ bỏ danh sách của bạn khi họ có tùy chọn bỏ đăng.
- Sử dụng mật khẩu mạnh, độc nhất cho mỗi tài khoản mua sắm, để mật khẩu bị đánh cắp ở một nơi khó bị tái sử dụng ở nơi khác. Trình quản lý mật khẩu có thể tạo và lưu trữ chúng cho bạn.
- Bật xác thực hai yếu tố và cảnh báo đăng nhập cho tài khoản sàn TMĐT và thanh toán, để bạn dễ phát hiện nỗ lực chiếm đoạt sớm.
- Không quét mã QR trong các gói bất ngờ, và dùng phần mềm bảo mật có tính năng chống phishing, điều này có thể giúp chặn trang giả nếu bạn lỡ quét mã.
Bài viết liên quan:
- Mua sắm trực tuyến an toàn đến mức nào
- Quản lý và phòng ngừa vi phạm dữ liệu cá nhân
- Nên làm gì sau một cuộc tấn công phishing
- Tìm hiểu thêm về Các lừa đảo hàng đầu và cách tránh trở thành nạn nhân
Sản phẩm đề xuất:
FAQs
Lừa đảo brushing có khiến tài khoản mua sắm của tôi bị khóa không?
Nhận gói brushing thường không khiến tài khoản mua sắm của bạn bị khóa. Tuy nhiên, nếu có hoạt động gian lận liên kết với tài khoản của bạn, sàn TMĐT có thể điều tra hoặc hạn chế tài khoản đó. Liên hệ hỗ trợ khách hàng nếu bạn phát hiện hoạt động đáng ngờ.
Lừa đảo brushing có phổ biến hơn vào mùa lễ không?
Brushing có thể khó nhận ra hơn vào mùa lễ vì mọi người nhận nhiều gói và quà hơn. Tuy nhiên, không có bằng chứng đủ chắc chắn rằng các vụ này tăng đều đặn vào mùa lễ. Chúng có thể xảy ra quanh năm.
Làm sao phân biệt đánh giá giả do brushing tạo ra?
Tìm các cụm đánh giá 5 sao xuất hiện trong vài ngày, lời khen mơ hồ không mô tả sản phẩm, và người đánh giá không có hoạt động khác. Nhãn “Đã mua hàng (Verified Purchase)” không chứng minh đánh giá là thật, vì brushing tạo ra các giao hàng thực tế.
Brushing có phạm pháp không?
Có. US Postal Inspection Service coi brushing là hành vi bất hợp pháp. Tại US, quy định của Ủy ban Thương mại Liên bang năm 2024 cũng cấm một số hành vi đánh lừa liên quan tới brushing, bao gồm việc tạo hoặc mua đánh giá khách hàng giả.
