Kỳ nghỉ lễ và chiếc bẫy sau mã QR: Vé giả, phòng ảo chờ du khách

Vé giá rẻ, phòng đẹp và những cú lừa trước giờ khởi hành

Trước kỳ nghỉ lễ, các hội nhóm du lịch trên mạng xã hội càng sôi động. Vé máy bay giá tốt, phòng khách sạn sát biển, villa cho nhóm đông người hay combo “giá chỉ còn hôm nay” liên tục xuất hiện.

Đây cũng là thời điểm kẻ gian tận dụng tâm lý muốn mua nhanh, giữ chỗ sớm và tiết kiệm chi phí của người đi du lịch.

Ngày 22/8, Cục Hàng không Việt Nam phát cảnh báo về tình trạng giả mạo thương hiệu, chào bán vé máy bay trên mạng xã hội trong cao điểm Quốc khánh 2/9. Theo số liệu cơ quan này dẫn từ Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an), 6 tháng đầu năm 2026, cả nước phát hiện 959 vụ lừa đảo trên không gian mạng, tổng thiệt hại khoảng 1.500 tỉ đồng.

Trong lĩnh vực hàng không, thủ đoạn thường gặp là lập website, fanpage hoặc tài khoản mạng xã hội giả mạo, sau đó quảng cáo vé máy bay giá rẻ hoặc các chương trình ưu đãi để thu hút người mua. Vietnam Airlines cũng cảnh báo hành khách cần thận trọng khi tìm vé giá rẻ và tránh giao dịch qua các kênh chưa được xác thực. Vé hợp lệ do hãng phát hành có thể được kiểm tra trên hệ thống chính thức bằng mã đặt chỗ hoặc số vé điện tử.

Không chỉ vé máy bay, “phòng ảo” đang trở thành chiếc bẫy đáng ngại khi nhu cầu lưu trú tăng cao.

Công an tỉnh Tuyên Quang cảnh báo trước dịp 2/9, kẻ gian có thể giả danh công ty du lịch, khách sạn, khu nghỉ dưỡng; lấy hình ảnh thật của cơ sở lưu trú rồi đăng trên Facebook, Zalo, TikTok hoặc các hội nhóm. Những cụm từ như “giảm giá sốc”, “chỉ còn vài phòng”, “ưu đãi đặc biệt dịp 2/9” được sử dụng để tạo cảm giác khan hiếm và thúc khách chuyển tiền nhanh.

Sau khi khách liên hệ, người bán gửi hình ảnh, video, bảng giá khá chuyên nghiệp rồi yêu cầu đặt cọc. Thậm chí, giấy xác nhận đặt phòng, hợp đồng, hóa đơn hoặc vé cũng có thể bị làm giả. Khi nạn nhân đã chuyển tiền, một kịch bản khác xuất hiện: “sai nội dung chuyển khoản”, “thiếu phí xác nhận”, “cần đóng thêm tiền để hoàn tất thủ tục”.

Thực tế cho thấy một fanpage có hàng chục nghìn lượt theo dõi chưa chắc là trang thật. Thông tin được Công an tỉnh Bình Thuận cung cấp cho thấy có trường hợp hơn 80 khách hàng bị lừa tiền đặt cọc qua fanpage mang tên một resort, tổng số tiền hơn 300 triệu đồng. Trang giả sử dụng hình ảnh, thông tin lấy từ cơ sở du lịch thật, trong khi tài khoản nhận tiền thuộc về đối tượng lừa đảo. Giá dịch vụ được đưa ra thấp hơn khoảng 20-50% giá thực tế để thu hút khách.

Một vụ việc khác cho thấy cái bẫy không dừng ở khoản tiền cọc ban đầu. Theo thông tin được cơ quan chức năng Ninh Bình tiếp nhận, một du khách đặt phòng cho hai người lớn và hai trẻ em qua fanpage giả mạo một khu nghỉ dưỡng. Sau khi chuyển 6,5 triệu đồng tiền cọc, người này liên tục được thông báo đã ghi sai nội dung chuyển khoản và được hướng dẫn chuyển tiếp. Tổng số tiền được chuyển sau nhiều lần lên tới hơn 1 tỉ đồng trước khi nạn nhân nhận ra mình bị lừa.

Trước đó, chị Nguyễn Thị L., một du khách được báo chí ghi nhận, cũng từng mất tiền sau khi liên hệ một fanpage đặt phòng resort tại Nha Trang. Gia đình chị chuyển 9 triệu đồng, tương đương 50% tiền phòng, vào tài khoản do trang này cung cấp. Một trường hợp khác là chị Nguyễn Thị Vi H., đặt biệt thự tại Đà Lạt qua một trang Facebook có khoảng 40.000 lượt thích. Dù đã yêu cầu bên bán cung cấp giấy tờ để kiểm chứng, chị vẫn mất 4,5 triệu đồng vì giấy tờ được gửi cho chị là giả.

Điểm chung của những chiếc bẫy này là chúng không còn quá sơ sài. Kẻ gian có thể sao chép logo, hình ảnh, bài viết, bảng giá của doanh nghiệp thật; tạo lượng người theo dõi lớn, bình luận tích cực hoặc giao diện gần giống trang chính thức. Với người đang vội chốt chuyến đi dịp lễ, vài chi tiết tạo cảm giác “uy tín” có thể đủ để hạ thấp cảnh giác.

Mã QR không tự lấy tiền, nguy hiểm nằm ở thứ phía sau nó

Một mắt xích khác đang được sử dụng trong lừa đảo trực tuyến là mã QR. Tuy nhiên, cần phân biệt, không phải cứ quét một mã QR là điện thoại lập tức bị chiếm quyền hoặc tiền trong tài khoản tự động biến mất.

Mã QR về bản chất chỉ là phương thức mã hóa dữ liệu. Bên trong nó có thể chứa số tài khoản, nội dung thanh toán hoặc một đường dẫn. Nguy hiểm xuất hiện khi kẻ gian đưa vào QR một tài khoản nhận tiền giả, website giả mạo hoặc đường link dẫn người dùng tới nơi yêu cầu nhập thông tin nhạy cảm.

Thủ đoạn này thường được gọi là “quishing”, kết hợp giữa QR và phishing - hình thức giả mạo nhằm đánh cắp thông tin. Cơ quan công an đã cảnh báo mã QR giả có thể dẫn người dùng tới website có tên miền bất thường, yêu cầu cung cấp thông tin thẻ, mật khẩu, OTP hoặc thực hiện các thao tác tài chính.

Đặt trong bối cảnh du lịch, chiếc QR có thể xuất hiện dưới nhiều vỏ bọc: mã thanh toán tiền phòng, mã nhận ưu đãi, mã xác nhận vé, mã hoàn tiền hoặc mã được gửi kèm tin nhắn yêu cầu khách “xác thực booking”.

Nếu QR chỉ chứa số tài khoản, rủi ro có thể là du khách chuyển tiền nhầm cho kẻ gian. Nếu QR chứa đường link giả, nạn nhân có thể bị dẫn tới một giao diện được thiết kế giống website của hãng hàng không, khách sạn hoặc đơn vị thanh toán. Từ đây, việc nhập tên đăng nhập, mật khẩu, thông tin thẻ hay OTP mới có thể mở đường cho hành vi chiếm đoạt.

Chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC), Giám đốc Mạng lưới Chống lừa đảo, từng cảnh báo các nhóm lừa đảo du lịch ngày càng đầu tư bài bản. Chúng có thể dựng website, fanpage có tên gần giống thương hiệu thật, sao chép logo, hình ảnh, địa chỉ và nội dung quảng bá; đồng thời chạy quảng cáo, tạo bình luận và đánh giá ảo để tăng độ tin cậy.

Theo ông Hiếu, người dùng nên xác minh thông tin qua website chính thức và số điện thoại được công khai của khách sạn, hãng hàng không hoặc công ty du lịch; ưu tiên các nền tảng đặt phòng uy tín và không cung cấp căn cước, hộ chiếu, OTP hay mật khẩu ngân hàng qua các cuộc trò chuyện trực tuyến.

Điều đáng lưu ý là dấu tích xác minh, lượng người theo dõi lớn hay một giao diện đẹp không nên được coi là bằng chứng duy nhất để quyết định chuyển tiền. Với công nghệ hiện nay, việc sao chép hình ảnh, dựng fanpage và làm một website có giao diện gần giống trang thật không còn khó.

Cục Hàng không Việt Nam khuyến cáo hành khách mua vé qua website, ứng dụng, phòng vé hoặc đại lý chính thức; chủ động kiểm tra tình trạng đặt chỗ và lịch trình trên nền tảng chính thức của hãng. Người mua cũng không chia sẻ OTP, mật khẩu, thông tin tài khoản ngân hàng hoặc giao dịch theo yêu cầu từ những tài khoản và đường dẫn chưa xác thực.

Với khách đặt phòng, một cuộc gọi trực tiếp tới số điện thoại công bố trên website chính thức của khách sạn có thể giúp kiểm tra booking trước khi chuyển khoản. Khi nhận QR thanh toán, cần nhìn lại tên người nhận và số tiền trên ứng dụng ngân hàng. Nếu QR mở ra website, cần kiểm tra kỹ tên miền trước khi nhập bất kỳ thông tin nào.

Đặc biệt, những lời thúc giục như “chỉ còn một phòng”, “chuyển ngay để giữ giá”, “phải thanh toán trong 5 phút” hay yêu cầu chuyển thêm tiền để lấy lại khoản vừa chuyển là dấu hiệu cần dừng giao dịch và kiểm chứng.

Công an khuyến cáo nếu phát hiện dấu hiệu lừa đảo hoặc đã chuyển tiền, người dân cần ngừng giao dịch, liên hệ ngay ngân hàng để được hỗ trợ; đồng thời lưu lại tin nhắn, đường link, số điện thoại, tài khoản nhận tiền, quảng cáo, giấy xác nhận và chứng từ chuyển khoản để trình báo cơ quan công an.

Kỳ nghỉ lễ thường bắt đầu từ những thao tác rất nhỏ trên điện thoại: tìm một chuyến bay, nhắn tin hỏi phòng, quét một mã QR. Sự tiện lợi ấy cũng tạo ra khoảng trống cho kẻ gian nếu người dùng bỏ qua bước xác minh.

Vé rẻ hơn vài trăm nghìn đồng hay căn phòng đẹp với mức giá thấp bất thường có thể rất hấp dẫn. Nhưng trước nút “chuyển tiền”, thêm một cuộc gọi tới khách sạn, một lần kiểm tra mã đặt chỗ hoặc vài giây nhìn kỹ tên miền có thể quyết định chuyến đi bắt đầu bằng niềm vui hay bằng một đơn trình báo.