Cách nhận biết ứng dụng độc hại trên Android và iPhone: 3 bước tự kiểm tra

SafePhone · Cập nhật 27/09/2026

Điện thoại là nơi lưu gần như mọi thứ — ảnh, thông tin cá nhân, tài khoản ngân hàng, cả mật khẩu — nên nó trở thành mục tiêu hàng đầu của tin tặc. Cách phổ biến nhất để đánh cắp dữ liệu trên điện thoại là lừa bạn tự cài một ứng dụng độc hại. Bài viết hướng dẫn cách nhận biết ứng dụng độc hại trên Android và iPhone qua 3 bước: kiểm tra nguồn tải, kiểm tra quyền truy cập và theo dõi dấu hiệu bất thường sau khi cài.

Phát hiện website giả mạo phát tán mã độc với SafePhone

Vì sao ứng dụng độc hại là mối nguy lớn nhất trên điện thoại?

Ngày nay hầu như ai cũng có điện thoại thông minh, từ trẻ em đến người già, và nhiều người dành cho điện thoại nhiều thời gian hơn cả cho bạn bè, người thân. Thói quen lưu mọi thứ trong máy khiến điện thoại trở thành mục tiêu ưu tiên của các chiến dịch tấn công nhằm đánh cắp thông tin cá nhân, bí mật kinh doanh hoặc đơn giản là tiền.

Android và iOS có nhiều cơ chế bảo mật, nhưng điểm yếu nhất luôn là con người. Hầu hết sự cố “bị hack” bắt đầu từ social engineering — kỹ thuật thao túng tâm lý để người dùng tự tiết lộ thông tin, quyền truy cập hoặc tiền, thay vì tấn công vào máy móc. Trên điện thoại, trong đại đa số trường hợp, kẻ gian cần lừa bạn tự cài một ứng dụng độc hại; sau khi cài, ứng dụng âm thầm đánh cắp dữ liệu và gửi về cho chúng. Vì vậy, biết nhận biết ứng dụng độc hại là bạn đã chặn được phần lớn nguy cơ.

Phần còn lại là các cuộc tấn công khai thác lỗ hổng zero-day — hiếm gặp hơn và đòi hỏi kỹ năng hack thực thụ, được nhắc ngắn ở Bước 3. Tìm hiểu thêm về các dạng mã độc trong bài các loại mã độc và bức tranh tổng thể ở các mối nguy trên không gian mạng.

Bước 1: Kiểm tra nguồn tải ứng dụng

Nguyên tắc vàng: chỉ tải ứng dụng từ hai cửa hàng chính thức được cài sẵn trên điện thoại — Google Play (Android như Samsung, Pixel, Xiaomi, Oppo…) và App Store (iPhone). Không cài ứng dụng từ nguồn khác, bất kể lý do gì, khẩn cấp đến đâu hay ai yêu cầu.

File APK trên Android: dấu hiệu lừa đảo rõ ràng nhất

Ứng dụng Android được đóng gói thành tệp .apk và ký bằng chữ ký số của nhà phát triển. Ứng dụng trên Google Play còn gắn với tài khoản nhà phát triển đã đăng ký, cho người dùng biết ai đứng sau ứng dụng. Bạn có thể xem thông tin nhà phát triển (tên, email, địa chỉ, website) trong mục Thông tin liên hệ của nhà phát triển (App support) trên trang ứng dụng.

Tệp APK cũng có thể được cài trực tiếp: người dùng bấm vào tệp trong thư mục Tải xuống, Android hiện cảnh báo và hỏi quyền cài ứng dụng từ nguồn không xác định. Cách này vốn dành cho nhà phát triển thử nghiệm ứng dụng. Với người dùng thông thường, bị hướng dẫn tự cài file APK là dấu hiệu rõ ràng của ứng dụng độc hại. Nếu ai đó yêu cầu bạn làm các bước này, đừng tin và hãy báo cho cơ quan công an.

Một kịch bản lừa đảo điển hình qua file APK:

1. Bạn thấy bài đăng trên Facebook: cài ứng dụng để nhận 1.000 USD miễn phí dành cho người dùng đầu tiên.
2. Bạn bấm link tải, điện thoại lưu tệp APK vào thư mục Tải xuống.
3. Bạn làm theo “hướng dẫn cài đặt” bên cạnh: mở Cài đặt, bật “cài ứng dụng từ nguồn không xác định”, rồi bấm vào tệp APK.
4. Android cảnh báo APK đến từ nguồn không xác định, nhưng hướng dẫn bảo bạn cứ bấm Chấp nhận.
5. Ứng dụng độc hại được cài và bắt đầu đánh cắp dữ liệu.

Ứng dụng giả mạo trên iPhone qua TestFlight

Ứng dụng iOS được đóng gói thành tệp .ipa và thường chỉ cài được qua App Store hoặc công cụ dành cho nhà phát triển như Xcode. Tuy nhiên, kẻ gian có thể lạm dụng TestFlight — công cụ chính thức của Apple để phân phối bản thử nghiệm (beta) trước khi phát hành trên App Store. TestFlight hợp pháp, nhưng có thể bị lợi dụng trong các vụ lừa đảo:

1. Kẻ gian giả làm nhân viên ngân hàng hoặc công an, gọi điện, nói đúng tên, địa chỉ của bạn và đe dọa: “Tài khoản của bạn nhận tiền từ băng nhóm tội phạm”, “Cảnh sát đang điều tra bạn rửa tiền”. Chúng gửi link cài “ứng dụng nội bộ” để bạn “chứng minh mình vô tội”.
2. Bạn bấm link, iPhone chuyển sang App Store để cài TestFlight nếu máy chưa có.
3. Bạn được yêu cầu bấm link lần nữa — lần này ứng dụng giả được cài qua TestFlight.
4. Ứng dụng giả trông giống hệt ứng dụng ngân hàng thật nên bạn không nghi ngờ.
5. Ứng dụng đánh cắp dữ liệu hoặc lừa bạn nhập tên đăng nhập, mật khẩu, mã OTP, cả mã CVV của thẻ.

Bước 2: Kiểm tra quyền truy cập ứng dụng yêu cầu

Khi người dùng đã cảnh giác với nguồn tải lạ, kẻ gian chuyển sang chiêu thứ hai: ngụy trang ngay trên cửa hàng chính thức.

1. Chúng tự viết hoặc mua mã nguồn một ứng dụng bình thường rồi phát hành trên Google Play, App Store.
2. Vì ứng dụng bình thường, cửa hàng chấp nhận và cho phép tải.
3. Các bản cập nhật sau thêm “tính năng mới” đòi quyền hệ thống: đọc danh bạ, nhật ký cuộc gọi, thư viện ảnh, vị trí GPS…
4. Chúng quảng cáo ứng dụng với tính năng “tuyệt vời”, đánh đúng nhu cầu của một nhóm người dùng.
5. Người dùng tò mò cài đặt từ cửa hàng chính thức.
6. Ứng dụng xin rất nhiều quyền; người dùng không để ý hoặc không hiểu nên bấm đồng ý hết.
7. Nhờ chính các quyền đó, ứng dụng lấy nhật ký cuộc gọi, ảnh, vị trí… từ điện thoại.

Android và iOS đều bảo vệ dữ liệu nhạy cảm bằng hệ thống quyền: nhà phát triển phải khai báo quyền (ví dụ “truy cập ảnh”), và khi ứng dụng cần dùng, hệ điều hành hiện hộp thoại hỏi bạn. Chỉ khi bạn đồng ý, ứng dụng mới đọc được dữ liệu. Vì vậy, kiểm tra quyền là cách hiệu quả để nhận ra ứng dụng độc hại. Tên các mục dưới đây có thể khác tùy phiên bản và hãng điện thoại.

Cách kiểm tra quyền ứng dụng Android

Trước khi bấm Cài đặt:

1. Mở trang ứng dụng trên Google Play.
2. Mở mục Giới thiệu về ứng dụng này (About this app) → cuộn xuống Quyền của ứng dụng (App permissions) → Xem thêm.
3. Xem ứng dụng có thể truy cập những gì: vị trí, danh bạ, bộ nhớ, micrô, tin nhắn…
4. Đọc thêm mục An toàn dữ liệu (Data safety) để biết ứng dụng thu thập và chia sẻ dữ liệu gì.

Sau khi cài đặt:

1. Vào Cài đặt → Quyền riêng tư → Trình quản lý quyền (Permission manager).
2. Chọn một quyền, ví dụ Vị trí, để xem ứng dụng nào đang dùng.
3. Đặt mức phù hợp: Luôn cho phép, Chỉ cho phép khi dùng ứng dụng, hoặc Không cho phép.

Mẹo: Android hỏi quyền ở lần dùng đầu tiên — đừng lúc nào cũng bấm “Cho phép”, hãy ưu tiên “Chỉ cho phép khi dùng ứng dụng”.

Cách kiểm tra quyền ứng dụng iPhone (iOS)

Trước khi bấm Tải:

1. Mở trang ứng dụng trên App Store.
2. Cuộn đến phần Quyền riêng tư của ứng dụng (App Privacy).
3. Xem dữ liệu ứng dụng có thể thu thập: vị trí, danh bạ, mã định danh, dữ liệu sử dụng…

Sau khi cài đặt:

1. Vào Cài đặt → Quyền riêng tư & Bảo mật.
2. Chọn một danh mục như Dịch vụ định vị, Ảnh, Micrô.
3. Chọn ứng dụng và mức truy cập: Không bao giờ, Hỏi lần sau, Khi dùng ứng dụng, hoặc Luôn luôn.

Quyền nào đáng ngờ?

Hãy tự hỏi: tính năng nào của ứng dụng cần đến quyền này? Nếu quyền quá nhiều so với tính năng, đó là dấu hiệu cảnh báo.

Đặc biệt cảnh giác với quyền trợ năng (Accessibility) và quyền quản trị thiết bị: chúng cho phép ứng dụng đọc màn hình, tự bấm thay bạn và khó bị gỡ — thường bị ứng dụng giả mạo ngân hàng lạm dụng. Muốn hiểu vì sao một ứng dụng bảo mật cần quyền nhất định, xem quyền sàng lọc cuộc gọi trên Android và iOS.

Bước 3: Theo dõi hiệu năng điện thoại sau khi cài ứng dụng

Nhờ quy trình kiểm duyệt của App Store và Google Play, phần lớn ứng dụng độc hại bị loại bỏ — nhưng đừng quá lạc quan. Ở cấp độ cao nhất là khai thác lỗ hổng zero-day: lỗ hổng chưa được công khai, kể cả trong giới chuyên gia, và chưa có bản vá.

Android và iOS cũng là phần mềm, nên có thể có lỗi và lỗ hổng. Các lỗ hổng này được săn tìm ráo riết, có cái được mua bán với giá cao hoặc được một số chính phủ sử dụng như vũ khí; khi rơi vào tay nhóm tấn công, chúng trở thành cửa ngõ xâm nhập điện thoại. Dù hiếm gặp với người dùng thông thường, sau khi cài một ứng dụng mới bạn vẫn nên để ý:

• Thiết bị có chậm hơn không?
• Thiết bị có tự dưng nóng hơn, hao pin nhanh hơn không?
• Có bị giật, lag bất thường không?
• Có hành vi lạ nào khác: tự mở ứng dụng, dữ liệu di động tăng vọt, quảng cáo bật lên ngoài trình duyệt?

Nhiều dạng khai thác tạo tải lớn lên thiết bị trong quá trình chạy, nên có thể khiến điện thoại chậm, nóng hoặc lag. Những dấu hiệu này không khẳng định chắc chắn máy bị tấn công, nhưng là lý do để gỡ ứng dụng vừa cài và kiểm tra kỹ. Cách phòng vệ tốt nhất trước zero-day là cập nhật hệ điều hành ngay khi có bản vá.

Checklist trước khi bấm “Cài đặt”

• Ứng dụng có trên Google Play hoặc App Store không? Không phải file APK, không phải link TestFlight từ người lạ.
• Tên nhà phát triển có khớp với thương hiệu (ngân hàng, cơ quan nhà nước) không?
• Số lượt tải, ngày phát hành và đánh giá có hợp lý? Cẩn thận với ứng dụng mới toanh nhưng đầy đánh giá 5 sao na ná nhau.
• Quyền yêu cầu có tương xứng với tính năng?
• Ai giới thiệu ứng dụng cho bạn? Người gọi điện, tin nhắn lạ, quảng cáo “nhận quà” đều là tín hiệu đỏ — xem quảng cáo lừa đảo nhắm đến bạn như thế nào.
• Link tải có dẫn về đúng trang chủ chính thức? Nếu không chắc, dán vào SafePhone để kiểm tra trang web lừa đảo.

Lỡ cài ứng dụng độc hại thì làm gì?

1. Bật chế độ máy bay để cắt kết nối của ứng dụng.
2. Nếu đã nhập thông tin ngân hàng, gọi ngay tổng đài chính thức của ngân hàng để khóa tài khoản, thẻ.
3. Thu hồi quyền trợ năng, quyền quản trị thiết bị của ứng dụng (nếu có), rồi gỡ cài đặt. Trên iPhone, xóa ứng dụng và kiểm tra mục Cài đặt → Cài đặt chung → VPN & Quản lý thiết bị xem có hồ sơ lạ không.
4. Quét lại bằng Google Play Protect (Android).
5. Đổi mật khẩu email, mạng xã hội, ngân hàng từ một thiết bị khác và bật xác thực hai lớp.
6. Báo cho người thân để họ cảnh giác với tin nhắn mạo danh bạn, và trình báo công an nếu đã mất tiền.

Kết luận

Phần lớn vụ đánh cắp dữ liệu trên điện thoại cần bạn tự tay cài ứng dụng. Chỉ cần ba thói quen — chỉ tải từ cửa hàng chính thức, soi kỹ quyền truy cập, và để ý hiệu năng sau khi cài — bạn đã có thể nhận biết ứng dụng độc hại trước khi nó gây hại. Hãy chia sẻ những bước này với bố mẹ và con nhỏ, những người dễ bị dụ cài app nhất.

Chặn link tải app giả mạo với SafePhone

Câu hỏi thường gặp