Phân tích chiến dịch giả mạo cảnh sát Nhật Bản tại Timor-Leste

• Đối tượng tấn công: Nhóm tội phạm xuyên quốc gia bao gồm 16 nghi phạm (7 người Nhật, 6 người Trung Quốc và 3 đối tượng khác).
• Phương thức hoạt động: Giả danh cảnh sát Nhật Bản thông qua các cuộc gọi thoại, sử dụng đạo cụ chuyên nghiệp và kịch bản lừa đảo được chuẩn hóa.
• Địa bàn hoạt động: Dili, Timor-Leste, tận dụng các khu vực pháp lý có sự kiểm soát lỏng lẻo để thiết lập trung tâm lừa đảo (scam center).
• Mục tiêu: Công dân Nhật Bản thông qua các kịch bản về bưu kiện giả mạo và vi phạm pháp luật.

1. Bối cảnh & Tổng quan chiến dịch

Vào ngày 5 tháng 10 năm 2026, các nhà điều tra tại Timor-Leste đã thực hiện một cuộc đột kích quy mô lớn vào một cơ sở tại thủ đô Dili, nơi được cho là trung tâm điều hành các hoạt động lừa đảo qua điện thoại nhắm vào công dân Nhật Bản. Chiến dịch này là một phần trong xu hướng gia tăng của các mạng lưới tội phạm xuyên quốc gia đang dịch chuyển địa bàn hoạt động sang các quốc gia có sự kiểm soát an ninh mạng và thực thi pháp luật còn hạn chế.

Nhóm tội phạm này đã xây dựng một quy trình vận hành chuyên nghiệp, bao gồm việc sử dụng đạo cụ như quân phục cảnh sát giả, phông nền có biểu tượng của sở cảnh sát tỉnh tại Nhật Bản và các tài liệu hướng dẫn kịch bản (script) chi tiết. Việc này nhằm mục đích tạo dựng niềm tin tuyệt đối cho nạn nhân, khiến họ tin rằng mình đang làm việc với cơ quan thực thi pháp luật chính thống.

2. Phân tích Kỹ thuật & Chuỗi Tấn công (TTPs)

Dựa trên các bằng chứng thu giữ được, nhóm tội phạm áp dụng mô hình Social Engineering (Kỹ thuật xã hội) kết hợp với quy trình sàng lọc nạn nhân (Targeting Process) rất chặt chẽ. Theo khung MITRE ATT&CK, các kỹ thuật này có thể được ánh xạ như sau:

• T1566.002 (Phishing: Spearphishing Link/Voice): Sử dụng các cuộc gọi thoại (Vishing) để tiếp cận nạn nhân.
• T1036 (Masquerading): Giả mạo danh tính cảnh sát Nhật Bản thông qua đạo cụ và kịch bản thoại.
• T1585 (Establish Accounts): Thiết lập các đường dây liên lạc giả mạo để thực hiện hành vi lừa đảo.

Quy trình vận hành của nhóm được ghi chép trong các tài liệu thu giữ tại hiện trường:

• Bước 1: Sàng lọc đối tượng: Kẻ tấn công thực hiện các cuộc gọi ngẫu nhiên và yêu cầu nạn nhân xác nhận xem số điện thoại thuộc về hộ gia đình hay doanh nghiệp.
• Bước 2: Phân loại mục tiêu: Nếu là số doanh nghiệp, kẻ tấn công sẽ lịch sự kết thúc cuộc gọi để tránh bị phát hiện. Nếu là số hộ gia đình, chúng sẽ tiếp tục kịch bản.
• Bước 3: Tạo dựng tình huống giả định: Nạn nhân được thông báo rằng có một bưu kiện giả mạo được gửi dưới tên của họ, từ đó dẫn dắt nạn nhân vào một cuộc đối thoại về "vi phạm pháp luật" thay vì một cuộc gọi giao hàng thông thường.

3. Dấu hiệu Nhận biết & Bảng Chỉ số IOCs

Mặc dù báo cáo không công bố các chỉ số kỹ thuật như IP C2 hay mã băm (Hash) của phần mềm độc hại, các dấu hiệu nhận biết (IOCs) dựa trên hành vi là rất quan trọng để các tổ chức phòng thủ có thể cảnh báo người dùng.

4. Hướng dẫn Phát hiện & Săn tìm mối đe dọa

Để phát hiện các hoạt động tương tự, các tổ chức cần tập trung vào việc giám sát lưu lượng thoại quốc tế và các hành vi bất thường trong giao tiếp. Việc áp dụng các quy tắc phát hiện dựa trên hành vi (Behavioral Analytics) là chìa khóa.

Các tổ chức có thể thiết lập các quy tắc cảnh báo trên hệ thống tổng đài (PBX/VoIP) để phát hiện các cuộc gọi có dấu hiệu bất thường:

# Ví dụ quy tắc phát hiện cuộc gọi bất thường (Pseudo-code) 

Cần lưu ý rằng việc phát hiện các chiến dịch này đòi hỏi sự phối hợp giữa các nhà cung cấp dịch vụ viễn thông và các đơn vị an ninh mạng để chặn đứng các dải IP hoặc số điện thoại được sử dụng cho mục đích lừa đảo.

5. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

Để phòng ngừa rủi ro từ các chiến dịch giả mạo, người dùng và tổ chức cần tuân thủ các nguyên tắc bảo mật nghiêm ngặt:

• Xác thực danh tính: Tuyệt đối không cung cấp thông tin cá nhân hoặc tài chính qua điện thoại cho bất kỳ ai tự xưng là cảnh sát hoặc cơ quan chính phủ.
• Kiểm chứng thông tin: Nếu nhận được cuộc gọi nghi vấn, hãy chủ động ngắt kết nối và gọi lại cho cơ quan chức năng thông qua số điện thoại chính thức được niêm yết trên website của họ.
• Nâng cao nhận thức: Tổ chức các buổi đào tạo về an ninh mạng, tập trung vào các kỹ thuật Social Engineering và cách nhận biết các kịch bản lừa đảo phổ biến.

⚠️ Cảnh báo quan trọng: Các trung tâm lừa đảo đang có xu hướng dịch chuyển sang các quốc gia có hạ tầng pháp lý yếu. Các tổ chức cần tăng cường giám sát các kết nối quốc tế và cảnh báo người dùng về các kịch bản giả mạo cơ quan công quyền đang ngày càng tinh vi. Tham khảo thêm thông tin về các mối đe dọa xuyên quốc gia tại UNODC.