Một người bán trái cây tại thành phố Đại Liên trưng mã QR để khách hàng thanh toán. Ảnh: Nikkei

Những kẻ lừa đảo đang nhằm vào số người dùng smartphone để thanh toán di động tại Trung Quốc. Mã QR thông dụng tới mức nó được dùng để chi trả cho mọi thứ, thậm chí cả vé phạt.

Một tài xế tại Thượng Hải đỗ xe tại khu vực cấm. Anh nhìn thấy vé phạt gắn vào xe sau khi làm xong việc. Vé phạt yêu cầu anh quét mã QR để thanh toán số tiền phạt 200 tệ. Anh đã dùng WeChat để nộp phạt theo hướng dẫn. Tuy nhiên, vài ngày sau đó, người này nhận được thông báo từ cảnh sát nói rằng anh vẫn chưa trả tiền phạt.

Té ra, tấm vé hôm trước là giả mạo và số tiền được chuyển sang tài khoản WeChat cá nhân. Do ảnh đại diện của tài khoản là một nhân viên cảnh sát, nạn nhân không thấy có gì khả nghi. Như vậy, tài xế phải trả hai lần. Để chống lại nạn lừa đảo tinh vi như kể trên, cảnh sát thông báo cho người dân rằng bất kỳ vé phạt nào dùng mã QR đều sẽ được phát trực tiếp, còn vé phạt không có mã QR được để lại trên xe.

Kẻ lừa đảo còn nhằm vào người bán hàng bằng cách thay đổi mã thanh toán QR bằng mã riêng của chúng. Những người bán rau, thức ăn và kinh doanh nhỏ khác theo đó bị giảm doanh thu. Theo Giáo sư Masakatsu, Khoa Kỹ thuật điện và điện tử của Đại học Kobe, chúng thực hiện hành vi lừa đảo thường xuyên vì rất khó để nhìn ra mã QR là thật hay giả nếu chỉ nhìn qua.

Mắt thường không thể giải mã các mẫu (pattern) điểm đen và ô vuông trên mã QR. Trong khi đó, smartphone có thể đọc mã ngay cả khi chúng bị bẩn hay có khiếm khuyết khác, miễn là nó tự động hiệu chỉnh mẫu. Khả năng này mang lại nguy cơ mới đối với các mã QR hợp pháp. Chẳng hạn, làm mờ một số khu vực nhất định hay làm lệch các ô vuông của mã có thể lừa thiết bị, dẫn đến website giả mạo.

Đây không phải vấn nạn của riêng Trung Quốc. TriForce Consulting, công ty có trụ sở tại Tokyo (Nhật Bản), đang phát triển hệ thống xác thực mới sử dụng chữ ký số cùng với mã QR. Nếu một người mua hàng qua mạng, hệ thống sản xuất mã QR dùng một lần để đọc bằng ứng dụng smartphone. Điều đó đồng nghĩa người dùng không phải nhập tên và mật khẩu để hoàn thành thanh toán. Hệ thống dự kiến có mặt vào nửa sau năm 2019.

Mediaseek, cũng có trụ sở tại Tokyo, đã phát triển hệ thống cảnh báo mã QR giả mạo. Nếu mã thanh toán dẫn đến địa chỉ URL đáng ngờ, người dùng có thể báo cáo website đến Mediaseek bằng một nút bấm. Những người sau đó khi truy cập vào URL sẽ nhận được cảnh báo.