Cài app tài sản mã hóa bằng tệp APK có an toàn không?

Cài app tài sản mã hóa bằng tệp APK (tệp cài đặt ứng dụng Android) gửi qua tin nhắn, nhóm chat hay trang lạ là không an toàn. Đây là đường phát tán app giả mà công an và ngân hàng đã nhiều lần cảnh báo. Bản APK chỉ chấp nhận được khi chính nhà cung cấp phát hành trên tên miền chính thức của họ, và bạn đã kiểm tên miền đó.

Theo Google, hơn 95% lượt cài của các họ mã độc lớn dùng quyền nhạy cảm gắn với gian lận tài chính đến từ việc sideload (cài ứng dụng từ ngoài kho chính thức) qua trình duyệt, ứng dụng nhắn tin hoặc trình quản lý tệp (Google Security Blog, 1/2025).

APK là gì, sideload là gì?

APK là tệp đóng gói một ứng dụng Android để cài lên máy. Ứng dụng tải từ Google Play cũng được cài theo cách tương tự, nhưng Google Play kiểm tra ứng dụng trước khi bạn tải.

Sideload là tự cài một tệp APK lấy từ nơi khác: trang web, email, Zalo, Telegram, thẻ nhớ. Người dùng tìm “X apk” thường vì app không có trên kho ở Việt Nam, muốn bản cũ, hoặc được ai đó gửi link “bản mới, nhiều tính năng”.

iPhone không cài được tệp APK. Kẻ gian nhắm vào người dùng iPhone theo đường khác, xem mục iPhone bên dưới.

Vì sao cài APK từ ngoài kho chính thức lại rủi ro?

Vì Android bỏ qua lớp kiểm tra của kho ứng dụng, và bạn phải tự mở cửa cho tệp đó. Tài liệu cho nhà phát triển Android ghi rõ hệ điều hành chặn cài ứng dụng từ nguồn khác Google Play cho tới khi người dùng đồng ý.

• Từ Android 8.0 trở lên, người dùng phải vào màn hình cài đặt Install unknown apps (tên trong tài liệu tiếng Anh của Android; trên máy tiếng Việt, tên mục khác nhau tùy hãng, đại ý là cài ứng dụng không rõ nguồn gốc) và cho phép một nguồn cụ thể, ví dụ trình duyệt hoặc Zalo, được cài ứng dụng.
• Trên Android 7.1.1 trở xuống, đó là mục Unknown sources (tạm dịch: nguồn không xác định) trong Cài đặt > Bảo mật.

Bị bảo bật quyền này cho ứng dụng nhắn tin là tín hiệu đáng dừng lại. Bật xong thì nên tắt lại ngay.

Rủi ro chính nằm ở quyền mà app giả xin sau khi cài. Cảnh báo của Bộ Công an năm 2020 và của ngân hàng năm 2023 (dẫn ở mục sau) mô tả cùng một kiểu: app chiếm quyền điều khiển máy, đọc tin nhắn, danh bạ (Bộ Công an 2020), xin quyền xem, điều khiển màn hình rồi tự thao tác mà chủ máy không cần chạm (ngân hàng 2023).

Với người giữ tài sản mã hóa, quyền đọc màn hình đủ để chép cụm từ khôi phục (12 hoặc 24 từ mở được ví, xem cụm từ khôi phục là gì) lúc bạn tạo hoặc nhập ví. Quyền đọc tin nhắn đủ để lấy mã OTP (mật khẩu dùng một lần gửi qua SMS). Các dòng mã độc khác ở bài mã độc đánh cắp ví crypto.

Play Protect chặn được đến đâu?

Play Protect là dịch vụ quét ứng dụng của Google, bật sẵn trên điện thoại Android có Google Play. Theo trang trợ giúp Google Play (đọc 31/10/2026), Play Protect:

• kiểm tra ứng dụng khi cài và định kỳ quét thiết bị, kể cả ứng dụng đến từ nguồn khác;
• cảnh báo, có thể tắt hoặc gỡ ứng dụng có khả năng gây hại;
• có thể ngăn cài ứng dụng chưa được xác minh và chặn các quyền nhạy cảm mà kẻ lừa đảo thường nhắm tới để gian lận tài chính.

Tài liệu Android Developers nói thêm: khi cài từ ngoài Google Play, Play Protect đối chiếu ứng dụng với các mẫu độc hại đã biết. Ứng dụng bị xác định là độc hại hoặc đáng ngờ thì người dùng được cảnh báo, trường hợp nặng thì bị chặn cài.

Tính đến 1/2025, Việt Nam có tên trong 9 khu vực Google chạy thử tính năng chặn gian lận tăng cường (Google Security Blog, 1/2025). Tính năng này tự chặn cài app xin các quyền hay bị lạm dụng để gian lận tài chính khi app được cài từ trình duyệt, ứng dụng nhắn tin hoặc trình quản lý tệp. Google chưa công bố, theo những gì chúng tôi đọc được đến 31/10/2026, việc tính năng này đã áp dụng cho mọi máy ở Việt Nam hay chưa.

Play Protect không phải tấm khiên tuyệt đối:

• Nó nhận ra tốt nhất các mẫu đã biết. App giả mới dựng có thể lọt qua lần quét đầu.
• Người dùng tắt được Play Protect. Google cho biết đã khóa tạm nút tắt quét ứng dụng trong lúc đang gọi điện hoặc gọi video, vì kẻ gian hay dụ người dùng tắt nó trong cuộc gọi.
• Lời cảnh báo chỉ có tác dụng khi bạn không bấm “Vẫn cài”.

Google cũng công bố yêu cầu xác minh nhà phát triển cho cả ứng dụng cài ngoài Google Play. Bảo vệ bắt đầu từ 30/9/2026 với ứng dụng cài từ các kho tham gia ở Brazil, Indonesia, Singapore và Thái Lan, trên thiết bị Android được chứng nhận chạy Android 7 trở lên; Google dự kiến mở rộng ra toàn cầu trong năm 2027 (Android Developers, đọc 31/10/2026). Việt Nam chưa có tên trong đợt đầu.

Công an, ngân hàng đã cảnh báo gì về app giả cài bằng APK?

Các cảnh báo có nguồn đều mô tả cùng một kịch bản: dụ cài app qua link hoặc tệp APK, xin quyền điều khiển máy, rồi rút tiền. Trang này chỉ dẫn lại cảnh báo đã công bố, không nêu tên người.

• Bộ Công an (theo Báo Pháp luật Việt Nam, 06/12/2020): kẻ gian giả danh cơ quan điều tra, yêu cầu nạn nhân chuyển sang điện thoại Android, cài app mang tên “Bộ Công an”. Bài báo dẫn cảnh báo: “Các tin nhắn, cuộc gọi đến máy điện thoại của nạn nhân sẽ được phần mềm gián điệp kiểm soát, ngầm chuyển về máy chủ do đối tượng quản lý”. Hàng chục bị hại ở Đà Nẵng, Huế, Tuyên Quang, Nghệ An, An Giang, Đắk Lắk bị chiếm đoạt hàng trăm tỷ đồng.
• Ngân hàng (Tạp chí Thị trường Tài chính Tiền tệ, 23/8/2023): kẻ gian mạo danh cán bộ thuế, bảo hiểm, đề nghị người dân “tải và cài đặt ứng dụng qua link hoặc các tệp có đuôi *.apk”. App giả xin quyền “xem, điều khiển màn hình, sử dụng danh bạ, hình ảnh, tin nhắn”. Khuyến cáo đầu tiên: “Chỉ nên cài đặt phần mềm được cung cấp bởi các đơn vị phát triển đáng tin cậy từ các cửa hàng ứng dụng chính thức”.
• Vụ ứng dụng FSP (TAND TP.HCM xét xử sơ thẩm, Báo Sài Gòn Giải Phóng đưa tin 12/8/2025): theo cáo trạng, ứng dụng đầu tư tiền ảo này phải cài thủ công qua tệp APK và hứa lãi 4–5% mỗi ngày. Bảng các vụ khác ở bài app đầu tư tiền ảo lừa đảo: cách kiểm tra.

Bộ Công an khuyến cáo “không cài đặt các phần mềm, ứng dụng từ các nguồn không chính thống”. Qua tìm kiếm báo chí đến 31/10/2026, chúng tôi chưa thấy cảnh báo chính thức nào trong năm 2025–2026 nói riêng về app tài sản mã hóa cài bằng APK. Chúng tôi chưa tra được công cụ tìm kiếm trên cổng thông tin Bộ Công an, nên không loại trừ có cảnh báo chưa được báo chí đưa lại. Kịch bản trong các cảnh báo trên áp dụng nguyên cho app giả mạo sàn hay ví.

Kiểm một app là bản chính thức thế nào?

Đi từ trang chính thức của nhà cung cấp sang kho ứng dụng, rồi đối chiếu tên nhà phát triển và tên gói. Làm theo thứ tự:

1. Tìm tên miền chính thức trước, không tìm app trước. Gõ tên miền đã biết hoặc lấy từ nguồn độc lập. Sàn được cấp phép tại Việt Nam phải công bố ngày chính thức cung cấp dịch vụ trên trang của Bộ Tài chính trong 7 ngày làm việc kể từ khi được cấp giấy phép (Nghị quyết 05/2025/NQ-CP Điều 10 khoản 5). Tính đến 31/10/2026, chưa sàn nào được cấp phép. Danh sách cập nhật ở trang sàn được cấp phép.
2. Bấm link tải app từ chính trang đó. Link nên dẫn tới Google Play hoặc App Store, không dẫn tới một tệp .apk trên tên miền khác.
3. Đối chiếu tên nhà phát triển trên kho. Tên phải khớp pháp nhân mà trang chính thức công bố. App trùng logo nhưng khác nhà phát triển là app khác.
4. Đối chiếu tên gói (package name). Mỗi app Android có một mã định danh duy nhất dạng com.tencongty.app, Google gọi là application ID. Trên Google Play bản web, phần sau “id=” trong địa chỉ trang app chính là tên gói. Hai app cùng tên hiển thị nhưng khác tên gói là hai app khác nhau.
5. Hiểu chữ ký số. Android yêu cầu mọi tệp APK được ký bằng chứng chỉ trước khi cài, và chỉ cho cập nhật khi bản mới có cùng chứng chỉ với bản đang cài (Android Developers). Vì vậy bản giả không đè được lên app thật. Ai bảo bạn gỡ app đang dùng để cài “bản mới” từ tệp thì đó là dấu hiệu dừng.
6. Xem quyền app xin. App xem giá, đặt lệnh không cần quyền trợ năng (Accessibility, quyền cho phép đọc và điều khiển màn hình) hay quyền đọc SMS. App xin các quyền này ngay khi mở là dấu hiệu dừng.

Người dùng kỹ thuật có thể so dấu vân tay chứng chỉ của tệp APK với dấu vân tay nhà cung cấp công bố. Phần lớn nhà cung cấp không công bố con số này, nên với đa số người dùng, bước 1 đến bước 4 là đủ thực tế.

Cài app ngoài App Store trên iPhone

Trên iPhone, đường cài ngoài App Store thường gặp là hồ sơ doanh nghiệp và lời mời TestFlight.

• Hồ sơ doanh nghiệp: Apple cho tổ chức dùng Apple Developer Enterprise Program để phát hành app nội bộ cho nhân viên. App cài thủ công kiểu này chỉ mở được sau khi người dùng vào Cài đặt > Cài đặt chung > VPN & Quản lý thiết bị và chọn tin cậy nhà phát triển (Apple Support, 09/6/2026). Bạn không làm việc ở tổ chức đó mà bị bảo bấm “Tin cậy” thì không làm.
• TestFlight: kênh thử nghiệm bản beta của Apple. Bản thử cho người ngoài phải qua khâu duyệt của Apple trước khi phát, có thể mời bằng email hoặc link công khai, tối đa 10.000 người thử (Apple Developer). Link mời công khai ai cũng nhận được, nên TestFlight không chứng minh nhà phát triển đáng tin.

Kaspersky từng ghi nhận app ví giả dụ người dùng iPhone cài hồ sơ nhà phát triển để cài bản ví bị sửa. Chi tiết ở bài mã độc đánh cắp ví crypto.

Lỡ cài app giả thì làm gì?

Làm theo thứ tự: cắt kết nối, gỡ app, rồi đổi mật khẩu và chuyển tài sản từ một thiết bị khác.

1. Tắt mạng điện thoại và Wi-Fi để app ngừng gửi dữ liệu về máy chủ.
2. Gỡ app. Nếu app đã nhận quyền quản trị thiết bị hoặc quyền trợ năng, thu hồi quyền đó trước rồi mới gỡ được. Sau đó chạy quét Play Protect.
3. Đổi mật khẩu email, tài khoản sàn, ngân hàng từ một máy khác chưa từng cài app lạ, bật lại xác thực hai lớp (lớp bảo vệ thứ hai ngoài mật khẩu) bằng ứng dụng xác thực thay SMS nếu dịch vụ cho phép. Cách giữ email và số điện thoại ở bài bảo mật email, số điện thoại cho tài khoản sàn.
4. Ví tự quản (ví do bạn giữ khóa): coi cụm từ khôi phục đã lộ. Tạo ví mới trên một thiết bị sạch, chuyển hết tài sản sang, bỏ ví cũ. Thứ tự chi tiết giống trường hợp mất điện thoại có cài ví và app sàn.
5. Báo ngân hàng qua tổng đài để tạm khóa dịch vụ, như Bộ Công an và các ngân hàng đã khuyến cáo.
6. Giữ bằng chứng và trình báo công an nơi gần nhất: tin nhắn gửi link, tên tệp, ảnh chụp màn hình app, lịch sử giao dịch, địa chỉ ví nhận.

Đã mất tài sản thì các bước tiếp theo ở bài ví bị hack phải làm gì.

Bản APK chính hãng cũng có thể bị chèn mã độc

Tải từ kho chính thức vẫn an toàn hơn tải tệp, kể cả khi tệp do chính nhà phát triển phát hành. Tháng 12/2022, một số lượt tải bản cài APK 7.2.9 của ví BitKeep (nay là Bitget Wallet) bị chiếm và chèn mã độc. Theo Cointelegraph (2/3/2023) dẫn thông báo của BitKeep, 6.731 địa chỉ bị xâm phạm, thiệt hại ước khoảng 8 triệu USD. Diễn biến và bồi hoàn ở bài Bitget Wallet là gì.

Trường hợp này cho thấy: ngay cả khi muốn dùng bản APK của nhà phát triển thật, kho ứng dụng có thêm một lớp kiểm tra mà tệp tải trực tiếp không có.