Mùa sale 11.11 là lúc mọi người quét mã nhanh nhất, và kẻ gian biết điều đó. Ba chiêu hay gặp nhất là: mã QR giả dán đè lên mã của quán, tin nhắn “chuyển nhầm, quét mã trả lại giúp mình”, và shipper giả đòi thêm phí qua mã QR. Cả ba đều nằm trong cảnh báo của công an và ngân hàng. Cách tự vệ gói trong một quy tắc: quét xong, đọc lại tên người nhận trên app ngân hàng trước khi bấm chuyển.
Vì sao mùa sale là mùa của mã QR giả?
Ngày 11.11, bạn quét nhiều hơn bình thường: trả tiền ship, trả cọc, trả ly cà phê trên đường đi lấy hàng. Bạn cũng vội hơn, vì flash sale chỉ có vài phút. Đúng hai thứ kẻ gian cần: nhiều giao dịch, và ít thời gian để nhìn kỹ.
Công an gọi chung kiểu lừa này là Quishing, ghép từ “QR code” và “phishing”. Công an TP Hà Nội đã cảnh báo rằng hình thức này đang bùng phát. Trong 25 kịch bản lừa đảo năm 2026 mà Công an Hà Nội công bố, mã QR độc hại và biên lai chuyển khoản giả đều có tên.
Kiểu 1: mã QR giả dán đè lên mã của quán
Kẻ gian in một mã QR mới, trỏ về tài khoản của họ, rồi dán chồng lên mã thanh toán ở quán ăn, quán cà phê, bến xe. Bạn quét, tiền về tài khoản lạ. Quán không nhận được đồng nào, và bạn chỉ biết khi chủ quán hỏi “bạn chuyển chưa?”.
Công an TP Hà Nội nêu đúng thủ đoạn này: dán đè hoặc thay mã thanh toán ở nhà hàng, bến xe để chiếm đoạt tiền khi người dùng trả. Hiệp hội Ngân hàng Việt Nam cũng tổng hợp cảnh báo của Vietcombank, ABBank, KienlongBank và VRB, trong đó có “dán đè mã QR giả ở nơi công cộng như nhà hàng, trạm xe, điểm thanh toán”.
Dấu hiệu: mã bị dán chồng lên mã khác, mép bong, giấy mới tinh trên một quầy đã cũ, hoặc có hai mã cạnh nhau.
Cách xử lý: hỏi người bán “mã này đúng của quán không?” trước khi quét. Quét xong, tên người nhận trên app ngân hàng phải khớp với tên quán hoặc chủ quán.
Kiểu 2: “Mình chuyển nhầm, bạn quét mã này trả lại giúp nha”
Một khoản tiền lạ vào tài khoản. Vài phút sau có tin nhắn hoặc cuộc gọi: “lỡ chuyển nhầm, bạn trả lại giúp”, kèm một mã QR hoặc số tài khoản khác. Có khi người gọi còn xưng là nhân viên ngân hàng, “hỗ trợ lấy lại tiền”.
Công an tỉnh Phú Thọ cảnh báo hai biến thể của chiêu này. Một là “chuyển tiền mồi”: đối tượng chủ động chuyển một khoản nhỏ, rồi giả làm người chuyển nhầm hoặc nhân viên đòi nợ để ép bạn chuyển tiền tới tài khoản họ chỉ định. Hai là giả nhân viên ngân hàng “hỗ trợ lấy lại tiền”, yêu cầu dùng app ngân hàng quét một mã QR “để xác minh”. Theo cảnh báo, sau khi nạn nhân quét, mã đó thực hiện lệnh chuyển toàn bộ số dư.
Cách xử lý đúng, theo khuyến cáo của Công an tỉnh Phú Thọ:
- Nhận được tiền lạ: không rút, không chuyển đi. Báo cho ngân hàng của bạn, và chỉ hoàn trả qua kênh chính thức của ngân hàng hoặc khi có cơ quan chức năng làm chứng.
- Chính bạn chuyển nhầm: giữ ảnh giao dịch, báo ngân hàng để tra soát. Không trả “phí” cho người lạ trên mạng hứa lấy lại tiền.
- Không quét mã QR, không bấm đường link mà người lạ gửi.
Kiểu 3: shipper giả, “đơn của bạn còn thiếu phí”
Mùa sale là mùa nhiều đơn nhất, nên cũng là mùa shipper giả hoạt động nhiều. Kịch bản quen thuộc: một cuộc gọi báo giao hàng đúng giờ bạn không ở nhà, rồi tin nhắn đề nghị chuyển khoản trước, hoặc “đơn còn thiếu phí, quét mã này nha”.
Bộ Công an cảnh báo các đối tượng giả danh shipper thường gọi vào khung giờ bạn vắng nhà, gửi thông tin chuyển khoản, giao hàng giả hoặc hàng kém chất lượng và không cho kiểm tra. Khuyến cáo có một dòng rất ngắn: “Không quét mã QR từ nguồn không rõ ràng.”
Biến thể mới hơn: tháng 8/2026, Công an tỉnh Hưng Yên cảnh báo đối tượng gọi điện tự xưng shipper, nói đã gửi nhầm số tài khoản thanh toán đơn hàng, rồi dẫn nạn nhân tới một trang Facebook giả mạo đơn vị chuyển phát để “khiếu nại hoàn tiền”. Một người khác xưng chăm sóc khách hàng gửi “mã xác nhận hoàn tiền”. Khi nạn nhân nhập mã vào app ngân hàng, đó thực ra là một lệnh chuyển hơn 28 triệu đồng.
Cách xử lý:
- Mở app mua sắm, xem đơn đã thanh toán hay chưa, phí ship là bao nhiêu. Shipper thật không cần bạn chuyển thêm khoản nào ngoài số tiền ghi trên đơn.
- Chỉ trả cho đơn mình đặt, ưu tiên trả qua sàn hoặc trực tiếp cho người bán.
- Nghi ngờ thì gọi tổng đài chính thức của đơn vị vận chuyển, không gọi số mà người lạ đưa.
Quy tắc 3 giây: quét xong, đọc tên người nhận
Cả ba chiêu trên đều có chung một điểm yếu: tiền phải đi tới một tài khoản không phải của người bạn định trả. Và trước khi bạn xác nhận, app ngân hàng hiện tên người nhận ngay trên màn hình chuyển tiền.
Nên trước khi bấm chuyển, dành 3 giây:
- Đọc tên người nhận. Tên không khớp với quán, với người bán, với người bạn quen? Dừng lại. Không chuyển.
- Không quét mã người lạ gửi qua tin nhắn, Zalo, Messenger, dù câu chuyện đi kèm nghe gấp tới đâu.
- Không đọc mã OTP cho bất kỳ ai, kể cả người xưng là ngân hàng hay công an. Công an Hà Nội nhắc lại điều này trong cảnh báo năm 2026: không cung cấp mật khẩu, mã OTP, và không chuyển tiền khi chưa xác minh danh tính người nhận.
Gửi bài này cho bố mẹ. Người lớn tuổi thường quét mã ít hơn, nhưng cũng ít nghi ngờ hơn một tin nhắn “chuyển nhầm”.
6pm làm gì, và không làm gì
6pm là app ghi chi tiêu. Khi bạn quét mã VietQR bằng 6pm, nó đọc số tài khoản, số tiền và lời nhắn trong mã, ghi khoản chi, rồi mở app ngân hàng bạn chọn. Việc trả tiền vẫn diễn ra trong app ngân hàng của bạn, nơi bạn thấy tên người nhận và tự xác nhận như mọi khi.
- 6pm không bao giờ chuyển tiền. Nó chỉ đếm.
- 6pm không bao giờ hỏi OTP, mật khẩu hay thông tin đăng nhập ngân hàng.
- Tụi mình không bao giờ lưu giao dịch của bạn.
- 6pm không phát hiện được mã giả, và tụi mình không hứa điều đó. Quy tắc 3 giây ở trên vẫn là việc của bạn, ở bất kỳ app nào.
Điều 6pm giúp được: mỗi khoản quét đều nằm trong sổ, và 18:00 bạn xem lại từng khoản khi chốt ngày. Một khoản lạ, hai lần trả cho cùng một đơn, hay một “phí ship” bất thường sẽ dễ thấy hơn khi chúng nằm cạnh nhau trên một tờ biên lai.
Câu hỏi thường gặp
Lừa đảo mã QR (Quishing) là gì?
Là kiểu lừa dùng mã QR giả hoặc độc hại: dán đè lên mã thanh toán thật, gửi qua tin nhắn, email, hoặc in trên hàng giả. Quét xong, tiền đi tới tài khoản của kẻ gian, hoặc bạn bị dẫn tới trang web giả để lấy thông tin đăng nhập.
Có người chuyển nhầm tiền vào tài khoản tôi, tôi nên làm gì?
Đừng rút hay chuyển số tiền đó đi, và đừng quét mã người ta gửi. Báo cho ngân hàng của bạn và chỉ hoàn trả qua kênh chính thức của ngân hàng hoặc khi có cơ quan chức năng làm chứng, như khuyến cáo của Công an tỉnh Phú Thọ.
Shipper bảo đơn còn thiếu phí, có nên quét mã không?
Không quét ngay. Mở app mua sắm xem đơn đã thanh toán chưa và phí là bao nhiêu. Nếu vẫn nghi ngờ, gọi tổng đài chính thức của đơn vị vận chuyển hoặc liên hệ người bán.
Quét mã bằng 6pm có an toàn hơn không?
6pm không chuyển tiền và không nhận ra mã giả. Nó ghi khoản chi rồi mở app ngân hàng của bạn, nơi bạn vẫn phải đọc tên người nhận và tự xác nhận. Quy tắc 3 giây áp dụng y như khi quét bằng app ngân hàng.
Bị lừa rồi thì làm gì?
Gọi ngay tổng đài ngân hàng để yêu cầu tra soát, giữ lại ảnh tin nhắn, ghi âm cuộc gọi, sao kê giao dịch, và trình báo cơ quan công an gần nhất.
Thử 6pm
6pm lên App Store lúc 18:00 thứ Sáu, 6/11/2026, kịp trước 11.11. Muốn dùng trước? Tham gia bản beta công khai trên TestFlight: testflight.apple.com/join/a8UrvT5P. Xem thêm tại at6pm.app/vi.
Tiêu tới đâu, tự ghi tới đó.