Cài một app VPN là trao cho nó rất nhiều niềm tin. App nằm giữa điện thoại và Internet, trong khi người ta thường cài vội: trước chuyến đi, sau khi đọc một tin thời sự, hay vì bạn bè gửi link trong nhóm chat. Kẻ gian biết rõ điều này, nên "VPN miễn phí" là một trong những lớp vỏ chúng hay dùng để nguỵ trang mã độc.

Bài này phân tích một vụ việc đã được ghi nhận, giải thích vì sao app cài từ ngoài cửa hàng chính thức chiếm phần lớn rủi ro, và đưa ra danh sách dấu hiệu cảnh báo để bạn xem trước khi bấm Cài đặt.

Một vụ có thật: app xem TV kèm VPN rút sạch tài khoản ngân hàng

Cuối tháng 9/2025, công ty bảo mật Cleafy công bố nghiên cứu về một trojan ngân hàng mới trên Android mà họ đặt tên là Klopatra. Mã độc phát tán qua một app giả làm dịch vụ IPTV miễn phí có VPN tích hợp. Ngày 9/10/2025, khi viết về nghiên cứu này, Malwarebytes mô tả đây là một app độc hại cài ngoài cửa hàng chứ không phải VPN thật. App này cho phép kẻ tấn công điều khiển từ xa toàn bộ điện thoại bị nhiễm để đánh cắp thông tin đăng nhập và thực hiện giao dịch gian lận.

Phát hiện của Cleafy cho thấy chiêu này vận hành thế nào:

  • Mồi nhử là TV miễn phí. Ai vốn quen tải app xem phim không chính thức từ website (thay vì từ cửa hàng app) thì sẵn lòng cài nó từ ngoài Google Play.
  • Trình cài đặt trông vô hại. App đầu tiên chỉ có một màn hình đơn giản với nút "tiếp tục cài đặt". Nó đưa người dùng vào cài đặt Android để cho phép cài app không rõ nguồn gốc, rồi lặng lẽ cài mã độc thật.
  • Trợ năng là chìa khoá. Sau đó mã độc xin quyền Dịch vụ trợ năng (Accessibility Services), quyền mà Cleafy gọi là then chốt giúp nó thành công. Có quyền này, nó tự bấm "Cho phép" hay "OK" trên các hộp thoại cấp quyền khác.
  • Nó hoạt động khi bạn ngủ. Kẻ vận hành thích ra tay ban đêm, lúc điện thoại đang sạc và màn hình tắt, và có thể phủ một lớp màn đen để điện thoại trông như đã tắt trong khi chúng điều khiển từ xa.

Cleafy cho biết vào thời điểm phân tích, chiến dịch đã xâm nhập hơn 3.000 thiết bị (báo cáo cũng nêu hơn 1.000 nạn nhân đã được xác nhận), chủ yếu ở Tây Ban Nha và Ý. Cleafy cũng đã theo dõi hơn 40 bản dựng của mã độc kể từ tháng 3/2025.

Vì sao app cài ngoài cửa hàng chiếm phần lớn rủi ro

"Sideload" (cài ngoài cửa hàng) là cài một tệp app (APK trên Android) từ website, tin nhắn, link chia sẻ tệp hay quảng cáo, thay vì từ cửa hàng chính thức. Việc này không phải lúc nào cũng nguy hiểm, và một số nhà phát triển đàng hoàng vẫn cho tải trực tiếp. Nhưng làm vậy, bạn mất đi nhiều lớp bảo vệ:

  • Không có khâu duyệt của cửa hàng. Cửa hàng chính thức duyệt app trước khi đăng và có thể gỡ app khi phát hiện vấn đề.
  • Không rõ ai phát hành. Một tệp gửi qua chat có thể tự nhận là bất cứ thứ gì. Bạn khó biết ai làm ra nó.
  • Không có cập nhật đáng tin. App giả có thể tải thêm mã về sau, hoặc bảo bạn cài "bản cập nhật" từ chính nguồn đó.

App giả còn lan qua các website nhái có tên gần giống thương hiệu thật, qua quảng cáo trong kết quả tìm kiếm, và qua tin nhắn hứa hẹn "bản premium miễn phí".

Danh sách dấu hiệu cảnh báo

Hãy dừng lại suy nghĩ nếu bạn thấy bất kỳ dấu hiệu nào sau đây:

  • App không có trên cửa hàng chính thức, và link đến từ một nhóm chat, diễn đàn, cửa sổ bật lên hay quảng cáo.
  • App bảo bạn bật "Install unknown apps" (cho phép cài ứng dụng không rõ nguồn gốc) trong lúc thiết lập. Một app VPN cài từ Google Play không cần cài app nào khác. Nếu bạn cài app Android của chúng tôi bằng tệp APK trực tiếp, chỉ tải từ vpnrice.com; khi đó trình duyệt, chứ không phải app VPN, là bên xin quyền cài đặt.
  • App xin quyền Dịch vụ trợ năng. Malwarebytes khuyên bạn tự hỏi vì sao một app muốn điều khiển thiết bị, cài đặt hay quyền trợ năng của bạn, hoặc muốn cài app khác. VPN không cần đọc màn hình của bạn.
  • App hứa quá nhiều: xem miễn phí kênh TV trả phí, tính năng trả phí "đã bẻ khoá", hay VPN đi kèm thứ chẳng liên quan.
  • Tên nhà phát hành không khớp với thương hiệu, hoặc nhà phát triển không có website, chính sách quyền riêng tư hay địa chỉ liên hệ.
  • Đánh giá trông giả: nhiều đánh giá năm sao ngắn ngủn đăng cùng lúc, hoặc đánh giá gần đây nhắc tới quảng cáo, hao pin hay khoản phí lạ.
  • Website gần như sao chép một trang thật, với tên miền chỉ khác đôi chút.

Thói quen tải app an toàn hơn

Dùng cửa hàng chính thức hoặc website của chính nhà phát triển

Hãy cài app VPN từ Google Play, App Store hoặc website chính thức của nhà cung cấp; Malwarebytes cũng khuyên như vậy. Nếu bạn tự gõ địa chỉ thay vì bấm vào quảng cáo, bạn tránh được phần lớn website nhái.

Kiểm tra nhà phát hành và các thông tin chi tiết

Trên trang của app trong cửa hàng, hãy xem tên nhà phát triển, link website chính thức, chính sách quyền riêng tư và lịch sử cập nhật. Theo Android Developers Blog, từ tháng 1/2025, Google Play hiển thị huy hiệu "Verified" (đã xác minh) cho các app VPN đã qua bài kiểm tra bảo mật độc lập gọi là MASA cấp 2. Huy hiệu này không biến app thành hoàn hảo, nhưng là một tín hiệu hữu ích.

Đọc quyền trước khi đồng ý

App VPN sẽ xin thiết lập kết nối VPN; Android hiện một hộp thoại hệ thống cho việc này. App có thể xin quyền hiện thông báo. Còn yêu cầu quyền trợ năng, SMS, danh bạ hay cài app khác thì phải có lý do thật xác đáng.

Luôn cập nhật

Cập nhật Android, các app và phần mềm bảo mật để vá các lỗ hổng đã biết.

Nếu bạn nghĩ mình đã cài phải app giả

  1. Ngắt kết nối điện thoại khỏi Internet (bật chế độ máy bay).
  2. Gỡ app. Nếu không gỡ được, hãy vào Cài đặt, tìm mục Accessibility (trợ năng) và mục quản trị thiết bị (device admin), tắt quyền của app ở đó trước.
  3. Quét máy bằng một app bảo mật đáng tin.
  4. Từ một thiết bị khác, sạch, đổi mật khẩu ngân hàng và email, liên hệ ngân hàng nếu thấy điều gì bất thường.
  5. Bật xác minh 2 bước cho các tài khoản quan trọng.

Tải VPNRice ở đâu

Nếu bạn dùng VPNRice, chỉ tải từ trang chính thức trên cửa hàng hoặc từ website của chúng tôi: Android, Android TV và iPhone, iPad. Các trang tải của chúng tôi dẫn tới nguồn chính thức, nên bạn không cần tin vào những tệp được chuyền tay trong các nhóm chat. App VPNRice cho Android không xin quyền trợ năng hay quyền cài app khác.

Điểm chính

  • VPN miễn phí và TV miễn phí là những lớp vỏ phổ biến của mã độc, nhất là ngoài cửa hàng chính thức.
  • App VPN hay app TV xin quyền "Install unknown apps" (cài ứng dụng không rõ nguồn gốc) và "Accessibility" (trợ năng) là dấu hiệu đáng báo động.
  • Hãy kiểm tra nhà phát hành, website, chính sách quyền riêng tư, đánh giá và, trên Google Play, huy hiệu Verified.
  • Nếu thấy có gì không ổn, hãy gỡ app, quét máy và đổi mật khẩu từ thiết bị khác.