Máy thu ngân an toàn khi chỉ dùng cho việc bán hàng, được cập nhật hệ điều hành và phần mềm đều đặn, không cài ứng dụng ngoài kho chính thức, không mở tệp hay đường dẫn lạ, và không bao giờ cho người gọi điện tự xưng là hỗ trợ kỹ thuật điều khiển từ xa nếu quán không chủ động liên hệ trước. Phần lớn sự cố bảo mật ở quán nhỏ không đến từ tấn công phức tạp mà từ một thao tác do chính người trong quán làm theo lời dẫn dụ của kẻ gian.
Bài này tập trung vào thiết bị: máy bán hàng, máy tính bảng, điện thoại của quán. Các chiêu lừa chuyển khoản như bill giả, đặt tiệc ảo, mã QR bị dán đè có bài riêng ở danh mục thanh toán. Ở đây là cách giữ cho chiếc máy ở quầy không trở thành cửa vào tài khoản ngân hàng, gian hàng ứng dụng và dữ liệu khách của quán.
Vì sao máy ở quầy là mục tiêu
Máy thu ngân có ba thứ kẻ gian muốn: phiên đăng nhập đang mở vào phần mềm bán hàng và có khi cả gian hàng giao đồ ăn, thông báo tiền về hoặc ứng dụng ngân hàng nếu quán lỡ cài, và danh sách khách. Thêm vào đó, máy thường được nhiều người dùng chung, ít ai chịu trách nhiệm riêng, và người đứng quầy bận rộn dễ bấm "đồng ý" cho nhanh.
Đã có nhiều cảnh báo từ cơ quan chức năng và ngân hàng về các chiêu giả danh cơ quan nhà nước, ngân hàng, nhà cung cấp dịch vụ, gọi điện hướng dẫn người dân hay hộ kinh doanh cài một ứng dụng lạ, rồi qua đó chiếm quyền điện thoại và lấy tiền trong tài khoản. Quán ăn là đối tượng thuận lợi vì số điện thoại quán công khai trên mạng và trên bản đồ số, và vì quán thật sự làm việc với nhiều bên như nhà cung cấp phần mềm, ứng dụng giao đồ ăn, cơ quan thuế.
Một điểm yếu nữa là máy quầy thường đăng nhập sẵn mọi thứ suốt nhiều tháng không ai đăng xuất. Kẻ gian không cần mật khẩu nếu chiếm được máy đang mở. Vì thế bảo vệ chiếc máy cũng quan trọng ngang bảo vệ mật khẩu, và mọi lớp phòng vệ dưới đây đều xoay quanh việc giữ chiếc máy ở quầy sạch, gọn và chỉ làm đúng một việc.
Không cần biết kỹ thuật cao để tự bảo vệ. Một số nguyên tắc đơn giản, được cả quán làm theo, chặn được hầu hết các chiêu phổ biến.
Năm lớp phòng vệ cho thiết bị của quán
Một máy, một việc. Máy bán hàng chỉ dùng để bán hàng. Không lướt mạng, không xem phim, không chơi trò chơi, không đăng nhập mạng xã hội cá nhân của nhân viên trên máy này. Càng ít ứng dụng, càng ít cửa vào.
Cập nhật đều đặn. Bật cập nhật tự động cho hệ điều hành và ứng dụng, chọn giờ ngoài ca bán. Bản cập nhật thường vá các lỗ hổng đã biết; máy cũ không còn được cập nhật là máy nên tính chuyện thay khi có điều kiện.
Chỉ cài từ kho chính thức. Ứng dụng chỉ cài từ kho ứng dụng chính thức của hệ điều hành hoặc theo hướng dẫn trên trang chính thức của nhà cung cấp phần mềm. Tắt tuỳ chọn cho phép cài ứng dụng từ nguồn không xác định. Không cài phần mềm bẻ khoá trên máy tính quầy.
Tài khoản người dùng thường. Trên máy tính, nhân viên dùng tài khoản không có quyền quản trị, để không tự cài được phần mềm. Quyền quản trị chỉ chủ quán hoặc người phụ trách kỹ thuật giữ.
Khoá màn hình và tự khoá. Máy tự khoá sau vài phút không dùng; mở bằng mã. Ngăn người lạ cầm máy khi thu ngân quay đi.
Những chiêu thường gặp nhắm vào thiết bị quán
Các kịch bản dưới đây là dạng chung đã được cảnh báo nhiều; chi tiết có thể thay đổi nhưng điểm mấu chốt thường giống nhau.
| Kịch bản | Dấu hiệu | Cách phản ứng |
|---|---|---|
| Gọi điện xưng hỗ trợ của phần mềm bán hàng, báo máy lỗi, nhờ cài ứng dụng điều khiển từ xa | Quán không hề báo lỗi; người gọi giục làm ngay | Cúp máy, tự gọi lại số hỗ trợ ghi trong hợp đồng hoặc trên trang chính thức |
| Xưng cán bộ cơ quan nhà nước, hướng dẫn cài ứng dụng để cập nhật thông tin, hoàn thuế | Gửi đường dẫn tải ứng dụng qua tin nhắn, ứng dụng không có trong kho chính thức | Không cài; liên hệ trực tiếp cơ quan qua kênh chính thức |
| Tin nhắn báo gian hàng trên ứng dụng giao đồ ăn bị khoá, bấm đường dẫn để mở | Đường dẫn lạ, giao diện đăng nhập giống thật | Không bấm; mở thẳng ứng dụng chính thức để kiểm |
| Email gửi tệp đính kèm xưng hoá đơn, đơn đặt tiệc, báo giá | Tệp nén, tệp đuôi lạ, yêu cầu bật macro | Không mở trên máy quầy; xác minh người gửi |
| Người lạ xin cắm USB, sạc nhờ vào máy quầy | Viện cớ in tài liệu, sạc điện thoại | Từ chối nhã nhặn; máy quầy không dùng cho việc ngoài bán hàng |
| Ứng dụng lạ tự xuất hiện, máy chậm, pin tụt bất thường | Có ứng dụng không ai nhớ đã cài, có quyền trợ năng | Ngắt mạng, báo người phụ trách kỹ thuật, kiểm và gỡ |
Mẫu số chung của hầu hết các chiêu: tạo cảm giác gấp, dẫn dắt cài thêm một thứ gì đó hoặc bấm một đường dẫn, và đề nghị cấp quyền. Dạy nhân viên một phản xạ duy nhất là dừng lại khi gặp ba dấu hiệu này đã chặn được phần lớn rủi ro.
Phần mềm điều khiển từ xa: con dao hai lưỡi
Phần mềm điều khiển từ xa là công cụ hợp pháp, nhà cung cấp phần mềm bán hàng thật cũng có thể dùng để hỗ trợ cài đặt. Vấn đề là với nó, người ở đầu kia nhìn thấy và thao tác được mọi thứ trên máy của quán như đang ngồi tại quầy, kể cả mở ứng dụng ngân hàng, đọc tin nhắn chứa mã xác thực.
Quy tắc an toàn: chỉ dùng điều khiển từ xa khi chính quán chủ động gọi tới số hỗ trợ chính thức, có người của quán ngồi xem suốt phiên, và gỡ hoặc tắt phần mềm sau khi xong. Không cấp quyền truy cập không cần xác nhận. Không bao giờ để điều khiển từ xa trên máy có ứng dụng ngân hàng hay đang đăng nhập email quan trọng.
Trên điện thoại, chú ý thêm các ứng dụng xin quyền trợ năng (accessibility) hoặc quyền đọc tin nhắn, hiển thị trên ứng dụng khác. Đây là những quyền mà ứng dụng độc hại thường xin để đọc mã xác thực và thao tác thay người dùng. Ứng dụng bán hàng, ứng dụng ghi đơn thường không cần những quyền này; nếu một ứng dụng lạ đòi, đó là dấu hiệu đỏ.
Những cửa vào ít ai để ý: Wi-Fi, cổng cắm và trang quản trị thiết bị
Ngoài phần mềm, thiết bị mạng của quán cũng là cửa vào. Modem và bộ phát Wi-Fi thường được lắp với mật khẩu quản trị mặc định in dưới đáy máy; ai đứng gần lật máy lên là đọc được. Đổi mật khẩu quản trị của modem, bộ phát, đầu ghi camera ngay khi lắp, ghi vào trình quản lý mật khẩu của quán. Tắt tính năng kết nối nhanh bằng nút bấm (thường gọi là WPS) nếu không dùng.
Mạng của quầy phải tách khỏi mạng của khách như đã nói ở bài về mạng. Khi khách và máy thu ngân chung một mạng, một điện thoại nhiễm mã độc của ai đó ngồi trong quán cũng nằm cùng mạng với máy bán hàng và máy in. Tách mạng là lớp phòng vệ không tốn kém mà nhiều quán bỏ qua.
Cổng cắm trên máy quầy cũng cần để ý. USB lạ có thể chứa tệp độc hại tự chạy hoặc giả làm bàn phím để gõ lệnh. Quy tắc đơn giản: máy quầy không cắm USB của người ngoài, không sạc nhờ điện thoại khách. Nếu cần chép tệp, dùng một máy khác không đăng nhập tài khoản quan trọng.
Đầu ghi camera và ứng dụng xem camera từ xa thường bị bỏ quên trong chuyện cập nhật và mật khẩu. Camera hướng vào quầy có thể ghi lại cả màn hình máy bán hàng, mã PIN nhân viên bấm, tiền trong két. Đặt mật khẩu riêng, mạnh cho tài khoản xem camera, chỉ chia cho người cần, và cân nhắc góc đặt camera để không quay rõ màn hình nhập mã.
Khi nghi máy đã bị can thiệp
Phản ứng nhanh và đúng thứ tự giúp giảm thiệt hại. Người đứng quầy chỉ cần làm hai bước đầu, phần còn lại để chủ quán hoặc người phụ trách kỹ thuật:
- Ngắt mạng của máy (tắt Wi-Fi, rút dây mạng) để cắt kết nối với kẻ điều khiển.
- Báo ngay chủ quán hoặc người phụ trách, chuyển sang máy dự phòng để tiếp tục bán.
- Từ một thiết bị khác chắc chắn sạch, đổi mật khẩu các tài khoản từng đăng nhập trên máy nghi ngờ, đăng xuất mọi phiên đăng nhập khác.
- Nếu máy có liên quan tới tài khoản ngân hàng, gọi số chính thức của ngân hàng để yêu cầu khoá hoặc kiểm giao dịch.
- Kiểm danh sách ứng dụng đã cài, gỡ ứng dụng lạ; nếu không chắc, đưa máy về trạng thái gốc và cài lại từ đầu.
- Ghi lại sự việc: giờ, số điện thoại gọi tới, tin nhắn, ứng dụng đã cài; trình báo cơ quan chức năng nếu có thiệt hại.
Đưa máy về trạng thái gốc nghe đáng sợ nhưng với máy chỉ dùng để bán hàng thì không mất gì đáng kể nếu dùng phần mềm đám mây: cài lại, đăng nhập lại là xong. Đó cũng là lý do nên giữ máy quầy thật gọn.
Dạy nhân viên: một quy tắc, nhắc nhiều lần
Nhân viên không cần học bảo mật; họ cần một quy tắc dễ nhớ và được phép từ chối. Ví dụ: "Không cài gì, không bấm đường dẫn, không đọc mã cho ai qua điện thoại. Ai yêu cầu, kể cả xưng là chủ quán gọi từ số lạ, đều nói sẽ gọi lại sau." Quy tắc viết lên tờ hướng dẫn sự cố ở quầy.
Quan trọng không kém là chủ quán phải nói rõ rằng nhân viên sẽ không bị trách khi từ chối một yêu cầu mà sau này hoá ra là thật. Kẻ gian thường lợi dụng tâm lý sợ làm phật lòng cấp trên hay khách. Có sự cho phép từ trước, nhân viên mới dám dừng lại.
Mỗi khi có tin cảnh báo lừa đảo mới từ ngân hàng hay cơ quan chức năng, chủ quán chia sẻ trong nhóm nhắn tin của quán kèm một câu ngắn: "nếu ai gọi kiểu này thì làm gì". Năm phút đầu ca họp nhanh thỉnh thoảng nhắc lại cũng giúp phản xạ được giữ.
Câu hỏi thường gặp
Máy tính bảng chạy phần mềm bán hàng có cần cài phần mềm diệt virus không?
Hệ điều hành hiện nay có sẵn lớp bảo vệ cơ bản; điều quan trọng hơn là chỉ cài ứng dụng từ kho chính thức, cập nhật đều và không dùng máy cho việc khác. Máy tính chạy hệ điều hành phổ thông thì nên bật trình bảo vệ tích hợp và giữ nó cập nhật.
Nhà cung cấp phần mềm thật có bao giờ gọi điện nhờ cài ứng dụng không?
Có thể có khi quán đã yêu cầu hỗ trợ. Cách phân biệt an toàn: chỉ làm khi quán là bên chủ động liên hệ qua số chính thức, hoặc tự gọi lại số chính thức để xác nhận trước khi làm bất cứ điều gì người gọi yêu cầu.
Có nên cài ứng dụng ngân hàng của quán lên máy quầy để tiện xem tiền về?
Không nên. Máy quầy nhiều người dùng chung, rủi ro cao. Dùng tính năng xác nhận tiền về tích hợp trong phần mềm bán hàng, loa báo tiền hoặc thông báo trên điện thoại do chủ quán, quản lý giữ.
Máy cũ không còn cập nhật được thì có dùng tiếp được không?
Dùng được trong ngắn hạn nếu chỉ chạy phần mềm bán hàng và không làm gì khác, nhưng rủi ro tăng dần theo thời gian vì lỗ hổng mới không được vá. Nên lên kế hoạch thay, và trước đó tuyệt đối không đăng nhập tài khoản quan trọng trên máy cũ.
Nhân viên dùng điện thoại riêng để nhận đơn qua mạng xã hội cho quán có rủi ro gì?
Rủi ro là dữ liệu khách và tài khoản của quán nằm trên máy cá nhân, khó kiểm soát và khó thu hồi khi người đó nghỉ. Tốt hơn là dùng điện thoại của quán cho việc nhận đơn, hoặc cấp quyền quản lý có thể gỡ bỏ trên tài khoản của quán.