Theo các chuyên gia công nghệ Kaspersky, mã độc Trojan ngân hàng chiếm 52,96% tổng số ứng dụng di động độc hại được hãng phát hiện trong quý I/2026, tăng so với tỷ trọng khoảng 31% của cả năm 2025. Số gói cài đặt mới trong quý cũng tương đương khoảng 2/3 tổng số ghi nhận năm 2025.
Theo đó, hãng đã ngăn chặn hơn 2,67 triệu vụ tấn công liên quan đến mã độc, phần mềm quảng cáo và phần mềm di động không mong muốn; đồng thời phát hiện tổng cộng 306.070 gói cài đặt độc hại, trong đó có 439 gói liên quan đến mã độc tống tiền.
Các phát hiện dựa trên dữ liệu ẩn danh từ hệ thống Kaspersky Security Network. Theo hãng, tội phạm mạng đang khai thác sự phụ thuộc ngày càng lớn của người dùng vào điện thoại trong mua sắm, liên lạc và làm việc.
Bên cạnh sự gia tăng về số lượng, các nghiên cứu gần đây cho thấy mã độc di động đang kết hợp nhiều thủ đoạn nhằm chiếm quyền thiết bị và né tránh phát hiện. Trong phân tích công bố tháng 9/2026, Group-IB ghi nhận mã độc ngân hàng Gigabud sử dụng thêm công cụ Vwork để nhân bản ứng dụng ngân hàng vào một “hồ sơ công việc” riêng trên điện thoại Android.
Vwork được chỉnh sửa từ Shelter, công cụ mã nguồn mở vốn phục vụ việc tạo không gian ứng dụng tách biệt. Chuỗi lây nhiễm Gigabud kết hợp Vwork đã được xác nhận trên thiết bị tại Indonesia.
Theo Group-IB, kẻ gian lợi dụng cơ chế cách ly giữa hồ sơ cá nhân và hồ sơ công việc để gây khó khăn cho việc phát hiện. Mã độc nằm trong hồ sơ cá nhân, trong khi giao dịch gian lận được thực hiện từ ứng dụng ngân hàng ở hồ sơ mới. Sự tách biệt này có thể khiến công cụ bảo mật khó liên kết dấu hiệu nhiễm mã độc với giao dịch phát sinh.
Một hướng tấn công khác được Group-IB phân tích trong tháng 8/2026 là kết hợp mã độc điều khiển từ xa SpyNote với WindRelay, công cụ chuyển tiếp dữ liệu giao tiếp tầm ngắn (NFC).
Trong trường hợp được nghiên cứu, kẻ gian mạo danh để dẫn dụ nạn nhân cài phần mềm, sau đó chiếm quyền điện thoại. Khi nạn nhân được hướng dẫn chạm thẻ vào thiết bị và nhập mã PIN, dữ liệu giao tiếp được chuyển tiếp theo thời gian thực đến thiết bị của đối tượng để thực hiện giao dịch gian lận. Kẻ gian còn sử dụng quyền truy cập từ xa để tạo khoản vay qua ứng dụng ngân hàng của nạn nhân.
Nguy cơ cũng mở rộng từ đánh cắp thông tin sang tống tiền. Zimperium phát hiện Mantax Otax, mã độc Android kết hợp khả năng giám sát, điều khiển thiết bị và mã hóa dữ liệu. Các thiết bị sử dụng phiên bản Android cũ là nhóm cần đặc biệt lưu ý trong nghiên cứu này.
Theo ông Choon Hong Chee, Giám đốc Kênh Người tiêu dùng khu vực châu Á - Thái Bình Dương tại Kaspersky, ứng dụng độc hại được phát tán qua nhiều kênh: Kho ứng dụng không chính thức, liên kết lừa đảo, chương trình tặng quà giả mạo, ứng dụng hợp pháp bị chỉnh sửa và quảng cáo độc hại.
Nhiều cuộc tấn công diễn ra qua nhiều giai đoạn, bắt đầu bằng tệp, liên kết hoặc ứng dụng có vẻ vô hại, sau đó từng bước thực hiện hành vi độc hại.
Nghiên cứu riêng của Kaspersky mang tên The Great Messaging Heist ghi nhận, mức thiệt hại trung bình của nạn nhân trong một vụ lừa đảo qua tin nhắn thành công là 733 USD. Có 52% số vụ thành công diễn ra trong chưa đầy 30 phút, từ lần tiếp cận đầu tiên đến khi kẻ gian lấy được tiền hoặc dữ liệu cá nhân.
Kaspersky khuyến nghị chỉ cài ứng dụng từ kho đáng tin cậy, tránh liên kết và chương trình khuyến mãi không rõ nguồn gốc, thường xuyên cập nhật hệ điều hành, đồng thời xác minh yêu cầu cung cấp thông tin qua tin nhắn.
Ngoài ra, các ngân hàng cũng lưu ý người dùng cảnh giác khi ứng dụng đòi quyền truy cập không liên quan đến chức năng. Nếu nghi thiết bị nhiễm mã độc, khách hàng cần ngắt Wi-Fi, dữ liệu di động và liên hệ ngay ngân hàng qua kênh chính thức để khóa dịch vụ; trình báo công an nếu đã bị lừa đảo.
