Phishing là hình thức lừa đảo dùng email, tin nhắn hoặc trang web giả mạo một bên đáng tin cậy để khiến nạn nhân nộp mật khẩu, thông tin thẻ, chuyển tiền hoặc mở tệp chứa mã độc. Tên gọi chơi chữ từ "fishing": thả mồi hàng loạt và chờ người cắn câu. Đây vẫn là cửa ngõ phổ biến nhất của các vụ xâm nhập tài khoản cá nhân lẫn hệ thống doanh nghiệp.
Cách nhận biết đáng tin nhất không phải logo hay giọng văn, vì những thứ đó sao chép được hoàn hảo. Hãy kiểm tra hai thứ khó giả: tên miền thật của địa chỉ người gửi và của đường dẫn, và tính hợp lý của yêu cầu so với cách tổ chức đó vẫn làm việc với bạn.
Bài này giải thích các biến thể phishing, cách đọc đúng một tên miền, các tín hiệu kỹ thuật trong email, và một quy trình kiểm tra nhanh dùng được cho cả cá nhân lẫn nhân viên văn phòng.
Các biến thể phishing bạn sẽ gặp
Phishing hàng loạt. Cùng một thư gửi cho hàng triệu địa chỉ: "Tài khoản của bạn bị tạm khoá", "Bạn có một kiện hàng chờ phí hải quan". Tỷ lệ người cắn câu thấp, nhưng số lượng bù lại. Thư thường chung chung, không gọi tên bạn.
Spear phishing. Thư nhắm vào một người hoặc một nhóm cụ thể, dùng thông tin thu thập trước: tên sếp, dự án đang làm, đối tác vừa gặp. Một kế toán nhận thư từ "đối tác" nhắc đúng số hợp đồng là ví dụ điển hình. Khó nhận ra hơn nhiều vì nội dung khớp với bối cảnh thật.
Thư giả lãnh đạo hoặc đối tác (BEC). Không cần đường dẫn hay tệp độc. Thư chỉ yêu cầu chuyển tiền, đổi tài khoản nhận thanh toán hoặc mua thẻ quà tặng gấp, từ địa chỉ giả hoặc từ hộp thư thật đã bị chiếm. Các cơ quan điều tra quốc tế liên tục xếp kiểu này vào nhóm gây thiệt hại tài chính lớn nhất cho doanh nghiệp.
Smishing và quishing. Phishing qua tin nhắn SMS hoặc ứng dụng nhắn tin, và qua mã QR dán ở nơi công cộng hay in trong thư. Mã QR che giấu đường dẫn thật, nên người dùng không thấy tên miền trước khi mở.
Trang đăng nhập giả. Đích đến của phần lớn các biến thể trên: một trang sao chép giao diện ngân hàng, hộp thư, mạng xã hội. Các bộ công cụ hiện đại còn chuyển tiếp thời gian thực sang trang thật để vượt qua mã OTP.
Đọc tên miền cho đúng: kỹ năng quan trọng nhất
Tên miền được đọc từ phải sang trái, bắt đầu từ phần mở rộng như .com, .vn, .com.vn. Phần đứng ngay trước phần mở rộng là tên miền thật, quyết định ai sở hữu trang. Mọi thứ đứng trước nữa, ngăn bằng dấu chấm, là tên miền con do chủ sở hữu tự đặt tuỳ ý.
Ví dụ giả định: trong địa chỉ nganhangabc.vn.xacthuc-taikhoan.com, tên miền thật là xacthuc-taikhoan.com. Phần "nganhangabc.vn" chỉ là tên miền con mà kẻ gian đặt cho giống. Đây là thủ thuật phổ biến nhất và lừa được rất nhiều người vì mắt đọc từ trái sang phải, thấy tên quen là dừng.
Các thủ thuật khác: thay ký tự trông giống nhau (chữ l và số 1, chữ o và số 0, "rn" trông như "m"); thêm từ như "-support", "-vn", "secure"; dùng phần mở rộng khác (.co thay .com); và dùng ký tự Unicode từ bảng chữ cái khác trông giống hệt chữ Latin, gọi là tấn công đồng hình IDN. Trình duyệt hiện đại thường hiển thị các tên miền đáng ngờ loại này dưới dạng mã bắt đầu bằng "xn--", một tín hiệu cảnh báo rõ ràng.
Biểu tượng ổ khoá trên thanh địa chỉ không có nghĩa trang an toàn hay đáng tin. Nó chỉ nghĩa là kết nối giữa bạn và trang đó được mã hoá. Chứng chỉ mã hoá miễn phí và tự động, nên phần lớn trang lừa đảo hiện nay đều có ổ khoá. Một kết nối mã hoá tới kẻ gian vẫn là kết nối tới kẻ gian.
Các tín hiệu trong một email: tín hiệu nào đáng tin
Không phải tín hiệu nào cũng có giá trị như nhau. Bảng dưới xếp theo độ tin cậy khi dùng để phát hiện thư giả.
| Tín hiệu | Độ tin cậy | Ghi chú |
|---|---|---|
| Tên hiển thị của người gửi | Rất thấp | Ai cũng đặt được tên hiển thị tuỳ ý. Luôn mở để xem địa chỉ thật phía sau. |
| Logo, chữ ký, định dạng chuyên nghiệp | Rất thấp | Sao chép nguyên văn từ thư thật trong vài phút. |
| Lỗi chính tả, văn phong vụng | Thấp | Có thì đáng ngờ, nhưng không có cũng không chứng minh gì; công cụ AI viết văn trơn tru. |
| Tên miền trong địa chỉ người gửi | Trung bình | Hữu ích để phát hiện tên miền lạ, nhưng không phát hiện được hộp thư thật đã bị chiếm. |
| Tên miền thật của đường dẫn (rê chuột hoặc nhấn giữ để xem) | Cao | Đường dẫn hiển thị và đường dẫn thật có thể khác nhau hoàn toàn. |
| Cảnh báo của dịch vụ thư (không xác thực được người gửi) | Cao | Dựa trên các cơ chế xác thực SPF, DKIM, DMARC phía máy chủ. |
| Yêu cầu có khớp với quy trình bình thường không | Rất cao | Tổ chức thật hiếm khi đòi mật khẩu, mã OTP hay đổi tài khoản nhận tiền qua email. |
SPF, DKIM và DMARC là các cơ chế để tên miền khai báo máy chủ nào được gửi thư nhân danh nó và ký số lên thư. Người dùng không cần hiểu chi tiết, nhưng khi dịch vụ thư hiện cảnh báo "người gửi chưa được xác minh", hãy coi đó là tín hiệu nghiêm túc. Doanh nghiệp nên cấu hình đủ cả ba cho tên miền của mình để kẻ gian khó mạo danh.
Quy trình kiểm tra 30 giây trước khi bấm
Áp dụng cho mọi thư yêu cầu bạn hành động: bấm đường dẫn, mở tệp, đăng nhập, thanh toán.
- Hỏi: mình có đang chờ thư này không? Thư bất ngờ về tài khoản, kiện hàng, hoá đơn, giải thưởng cần được nghi ngờ trước.
- Xem địa chỉ người gửi đầy đủ, không chỉ tên hiển thị. Đọc tên miền từ phải sang trái.
- Rê chuột hoặc nhấn giữ trên đường dẫn để xem địa chỉ thật. Nếu tên miền không phải của tổ chức đó, dừng.
- Thay vì bấm, tự mở ứng dụng hoặc gõ địa chỉ trang chính thức mà bạn đã biết để kiểm tra thông báo.
- Với tệp đính kèm: cảnh giác cao với tệp nén có mật khẩu, tệp văn phòng yêu cầu bật macro hoặc "bật nội dung", tệp có đuôi kép, tệp lối tắt và tệp ảnh đĩa. Không bật macro trên tệp nhận qua email.
- Với yêu cầu chuyển tiền hoặc đổi thông tin thanh toán: xác nhận bằng cuộc gọi tới số đã lưu từ trước, không trả lời thư, không dùng số in trong thư.
- Nếu đã lỡ nhập mật khẩu vào trang giả: đổi mật khẩu ngay từ trang thật, đăng xuất các phiên khác, kiểm tra quy tắc chuyển tiếp thư, và báo bộ phận công nghệ thông tin nếu là tài khoản công việc.
Vì sao phishing trên điện thoại khó phát hiện hơn
Phần lớn thư và tin nhắn hiện được đọc trên điện thoại, và màn hình nhỏ lấy đi gần như mọi tín hiệu kiểm tra. Ứng dụng thư di động thường chỉ hiện tên hiển thị của người gửi, phải bấm thêm mới thấy địa chỉ thật. Thanh địa chỉ trên trình duyệt di động bị rút gọn, đôi khi chỉ hiện phần đầu của tên miền, đúng là phần kẻ gian đặt cho giống tên thương hiệu.
Không thể rê chuột để xem đích đến của đường dẫn. Thao tác tương đương là nhấn giữ đường dẫn để hiện bản xem trước, nhưng ít người làm. Nhiều ứng dụng nhắn tin và mạng xã hội còn mở đường dẫn trong trình duyệt nhúng riêng, không có thanh địa chỉ đầy đủ, không có trình quản lý mật khẩu và đôi khi không hiện cảnh báo trang lừa đảo như trình duyệt chính.
Bối cảnh sử dụng cũng bất lợi: người dùng đọc điện thoại khi đang di chuyển, xếp hàng, giữa hai việc, tức là đúng trạng thái chú ý phân tán mà kẻ gian muốn. Nghiên cứu về sự chú ý cho thấy khả năng phát hiện chi tiết bất thường giảm rõ khi con người đang làm nhiều việc cùng lúc.
Cách bù lại: đặt cho mình quy tắc không đăng nhập hay thanh toán từ đường dẫn trên điện thoại. Mọi thao tác liên quan tài khoản đều đi qua ứng dụng chính thức đã cài, hoặc trang đã lưu dấu trang. Khi buộc phải mở đường dẫn, chọn mở trong trình duyệt chính thay vì trình duyệt nhúng, để trình quản lý mật khẩu và cảnh báo trang lừa đảo còn hoạt động.
Phishing trong doanh nghiệp: con người không phải mắt xích yếu nhất
Cụm từ "con người là mắt xích yếu nhất" phổ biến nhưng dễ dẫn tới cách làm sai: dồn trách nhiệm cho nhân viên và kỳ vọng đào tạo sẽ đưa tỷ lệ bấm nhầm về không. Thực tế, dù đào tạo tốt đến đâu, trong một tổ chức đủ lớn luôn có người bấm vào một thư đủ khéo. Các chuyên gia bảo mật ngày càng nhấn mạnh thiết kế hệ thống sao cho một cú bấm nhầm không dẫn tới thảm hoạ.
Cụ thể, điều đó gồm: xác thực kháng lừa đảo như passkey hoặc khoá bảo mật để mật khẩu bị nhập vào trang giả cũng không dùng được; bộ lọc thư và cấu hình DMARC chặt; quyền truy cập tối thiểu để một tài khoản bị chiếm không mở được mọi thứ; quy trình xác nhận hai người cho chuyển tiền và đổi tài khoản nhận thanh toán.
Đào tạo vẫn cần, nhưng nên tập trung vào hành vi đúng sau khi lỡ bấm: báo ngay, không giấu. Một tổ chức trừng phạt người báo cáo sẽ chỉ biết về sự cố khi đã quá muộn. Các bài thử phishing nội bộ có ích khi dùng để học, có hại khi dùng để bêu tên. Nút "báo cáo thư đáng ngờ" một chạm trong phần mềm thư giúp đội kỹ thuật phát hiện chiến dịch sớm, khi người đầu tiên báo thì những người còn lại chưa kịp bấm.
Những hiểu lầm khiến người dùng chủ quan
"Thư lọt vào hộp thư chính nên là thư thật." Bộ lọc thư rác bắt được phần lớn thư lừa đảo hàng loạt, nhưng thư nhắm đích hoặc gửi từ hộp thư thật đã bị chiếm thường đi thẳng vào hộp thư chính. Bộ lọc là một lớp, không phải sự bảo đảm.
"Chỉ mở thư thì không sao." Với phần mềm thư được cập nhật, việc mở và đọc thư thông thường hiếm khi gây hại. Tuy nhiên, việc tải ảnh từ xa trong thư có thể báo cho người gửi biết bạn đã mở và địa chỉ của bạn đang hoạt động. Nhiều dịch vụ thư đã chặn hoặc chuyển tiếp ảnh qua máy chủ trung gian để hạn chế điều này.
"Thư gửi từ đúng địa chỉ của đồng nghiệp thì tin được." Hộp thư thật bị chiếm là nguồn phishing nguy hiểm nhất, vì mọi tín hiệu kỹ thuật đều sạch. Lớp kiểm tra cuối cùng luôn là tính hợp lý của yêu cầu và xác nhận qua kênh khác.
"Mình không có gì đáng để bị lừa." Hộp thư cá nhân là chìa khoá đặt lại mật khẩu của mọi tài khoản, danh bạ là danh sách mục tiêu cho đợt lừa tiếp theo, và tài khoản bị chiếm có thể bị dùng để lừa chính người quen của bạn.
Câu hỏi thường gặp
Lỡ bấm vào đường dẫn nhưng chưa nhập gì thì có sao không?
Phần lớn trường hợp, chỉ mở trang chưa gây thiệt hại nếu trình duyệt và hệ điều hành được cập nhật, vì các lỗ hổng cho phép nhiễm mã độc chỉ bằng việc mở trang hiếm và đắt. Hãy đóng trang, không tải tệp nào, cập nhật trình duyệt. Nếu trang đã tự tải xuống tệp, đừng mở và hãy xoá nó.
Làm sao kiểm tra một đường dẫn rút gọn?
Nhiều dịch vụ rút gọn cho phép xem trước đích đến bằng cách thêm ký tự đặc biệt vào cuối, và có các công cụ mở rộng đường dẫn uy tín. Cách an toàn hơn là không mở đường dẫn rút gọn trong thư hoặc tin nhắn bất ngờ, mà tự truy cập trang của tổ chức để kiểm tra.
Có nên trả lời thư lừa đảo để thử không?
Không nên. Trả lời xác nhận địa chỉ của bạn đang hoạt động và có người đọc, khiến bạn nhận thêm thư lừa đảo. Đôi khi kẻ gian chuyển sang tấn công nhắm đích. Hãy dùng nút báo cáo lừa đảo trong dịch vụ thư rồi xoá thư.
Phishing qua mã QR nguy hiểm hơn thế nào?
Mã QR che giấu đường dẫn, nhiều người quét trên điện thoại vốn hiển thị địa chỉ ngắn gọn, và mã QR in có thể bị dán đè ở bãi gửi xe, quán ăn hay hoá đơn giả. Trước khi mở, đọc kỹ tên miền mà camera hiển thị, và không thanh toán hay đăng nhập từ mã QR không rõ nguồn.
Doanh nghiệp nhỏ có cần cấu hình SPF, DKIM, DMARC không?
Có. Ngoài việc giúp thư của bạn không bị đánh dấu thư rác, cấu hình đúng khiến kẻ gian khó mạo danh tên miền của bạn để lừa khách hàng và đối tác. Các nhà cung cấp thư lớn đã siết yêu cầu xác thực đối với người gửi số lượng lớn. Nhà cung cấp tên miền hoặc dịch vụ thư thường có hướng dẫn chi tiết.
Thư thông báo trúng thưởng từ thương hiệu lớn có bao giờ là thật không?
Rất hiếm khi một chương trình thật yêu cầu bạn trả phí, cung cấp số thẻ hay đăng nhập qua đường dẫn để nhận thưởng. Nếu muốn chắc, tìm thông tin chương trình trên trang chính thức hoặc kênh mạng xã hội đã xác minh của thương hiệu, không dựa vào thư.