Hãy hình dung một tiệm in nhỏ lúc 6 giờ 40 chiều thứ Sáu. Một email đến từ nhà cung cấp giấy mà tiệm trả tiền hằng tháng, nằm trong cùng chuỗi thư với đơn hàng tháng trước. Nội dung ghi "Đính kèm hóa đơn đã cập nhật, vui lòng xử lý trước cuối tuần", và tệp đính kèm tên là Invoice_4471.zip. Nhà cung cấp là thật và chuỗi thư cũng là thật. Nhưng nhà cung cấp này luôn gửi PDF thuần, không ai ở tiệm đang chờ một bản điều chỉnh, và nhân viên kế toán của công ty đó thường không viết thư vào tối thứ Sáu.
Cách xử lý đúng là để nguyên tệp đó, chưa mở, cho đến khi ai đó ở phía nhà cung cấp xác nhận qua một số điện thoại mà tiệm đã có sẵn. Theo nguyên tắc chung, một tệp đính kèm tương đối an toàn khi bạn đang chờ nó, người gửi đúng như vậy và loại tệp khớp với câu chuyện. Nó đáng nghi thật sự khi bất kỳ điều nào trong số đó không đúng, và nguy hiểm thường bắt đầu khi bạn chạy, giải nén hoặc "bật" một thứ gì đó, chứ không phải khi bạn đọc thư. Phần lớn bài này nói về cách đưa ra ba phán đoán ấy thật nhanh, và cách hạn chế thiệt hại khi bạn không thể.
Xử lý hóa đơn tối thứ Sáu
Ví dụ trên hữu ích vì lời khuyên thông thường thất bại với nó. "Đừng mở tệp từ người lạ" chẳng giúp gì khi người gửi là người bạn trả tiền. Vậy hãy xem điều gì thực sự đã thay đổi. Định dạng đã đổi, từ PDF sang tệp nén. Thời điểm đã đổi. Thư thúc giục hành động trước cuối tuần, lúc không ai dễ dàng kiểm tra. Mỗi điểm này có thể có lời giải thích vô hại, nhưng gộp lại thì đủ để dừng lại và xác minh.
Tiếp theo là khả năng mà chủ tiệm có thể không nghĩ tới: thư có thể thật sự đến từ hộp thư của nhà cung cấp. Tội phạm xâm nhập được một tài khoản thường trả lời ngay trong các cuộc trao đổi sẵn có, vì một chuỗi thư cũ mang sự tin cậy mà thư gửi lạ không có. Cách này gọi là chiếm chuỗi thư (thread hijacking). Nghĩa là địa chỉ người gửi đúng và tiêu đề quen thuộc chưa giải quyết được gì, và đó là lý do bước kiểm tra cuối phải diễn ra ngoài email.
Một trình tự hợp lý cho chủ tiệm sẽ là:
- Đừng trả lời thư để hỏi nó có thật không. Nếu hộp thư bị chiếm quyền, câu trả lời sẽ đến tay kẻ đang thực hiện vụ lừa.
- Tìm số điện thoại của nhà cung cấp từ một hóa đơn giấy cũ, hợp đồng hoặc danh bạ điện thoại. Đừng dùng số trong chữ ký email.
- Hỏi một câu đơn giản: "Tối nay anh/chị có gửi hóa đơn điều chỉnh không?" Nếu văn phòng đã đóng cửa, hóa đơn có thể chờ đến thứ Hai. Nhà cung cấp thật sẽ chấp nhận khoản thanh toán vào thứ Hai dễ dàng hơn tội phạm nhiều.
- Nếu nhà cung cấp có cổng trực tuyến, hãy đăng nhập bằng cách gõ địa chỉ và xem hóa đơn có hiện ở đó không.
- Nếu câu trả lời là không, hãy cảnh báo nhà cung cấp rằng hộp thư của họ có thể đã bị chiếm, rồi báo cáo và xóa thư.
Cũng ví dụ này có một biến thể âm thầm hơn mà công cụ quét nào cũng không bắt được. Tệp đính kèm có thể là một PDF sạch, bình thường của một hóa đơn hoàn toàn thật, chỉ sửa một chi tiết: tài khoản ngân hàng. Không có mã độc nào và tệp vô hại với máy tính của bạn, nhưng tiền vẫn đi sai chỗ. Mọi thay đổi về thông tin thanh toán đều đáng nhận cuộc gọi điện thoại như vậy, bất kể định dạng tệp.
Tệp đính kèm độc hại muốn làm gì
Tệp đính kèm vẫn được kẻ tấn công ưa chuộng vì một lý do đơn giản. Dịch vụ thư không thể từ chối mọi tệp, vì mọi người cần trao đổi hóa đơn, CV, hợp đồng và ảnh, và người nhận tự chọn mở tệp. Một tệp độc hại thường nhắm đến một trong bốn kết quả, và biết một định dạng cho phép kết quả nào là phần lớn kỹ năng.
- Nó chạy mã trực tiếp. Một chương trình hoặc tập lệnh khởi động khi bạn nhấp đúp và có cùng quyền hạn với bạn.
- Nó thuyết phục một ứng dụng khác chạy mã, qua macro, đối tượng nhúng hoặc một lỗ hổng trong phần mềm.
- Nó đưa bạn đi nơi khác. Một PDF hay tài liệu chỉ chứa một nút dẫn đến trang đăng nhập giả, nên tệp có thể sạch trong khi đích đến mới là đòn tấn công.
- Nó thu thập những gì bạn gõ. Một tệp HTML đính kèm mở trong trình duyệt như một trang cục bộ giả màn hình đăng nhập và gửi mật khẩu của bạn cho người khác.
Một ảnh JPEG trong trình xem đã cập nhật không thể tự làm được ba điều đầu tiên. Một tệp lối tắt của Windows có thể chạy một dòng lệnh trong khi hiển thị biểu tượng của một tài liệu. Khoảng cách giữa các định dạng đó giải thích bảng dưới đây.
Các loại tệp, xếp hạng theo khả năng của chúng
Mức đánh giá giả định tệp đến từ người gửi lạ hoặc bất ngờ. Đó là nhận định dựa trên khả năng của từng định dạng, và bối cảnh có thể đẩy một tệp lên hay xuống. Một bảng tính .xlsm từ kế toán của bạn vào mùa thuế là bình thường. Cùng tệp đó từ một địa chỉ lạ về một lần giao hàng bị lỡ thì không.
| Phần mở rộng | Là gì | Rủi ro | Lý do |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Chương trình và trình cài đặt của Windows | Rất cao | Chúng chạy mã với quyền của bạn. Một "trình bảo vệ màn hình" .scr là một chương trình bình thường. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Tập lệnh | Rất cao | Windows có sẵn trình thông dịch cho những loại này. Người lạ hầu như không bao giờ có lý do chính đáng để gửi chúng. |
| .lnk | Lối tắt của Windows | Rất cao | Có thể khởi chạy một lệnh kèm đối số đằng sau biểu tượng trông vô hại. |
| .iso, .img, .vhd, .vhdx | Ảnh đĩa | Cao | Nhấp đúp sẽ gắn chúng như một ổ đĩa, và chúng từng được dùng để đóng gói chương trình và lối tắt. |
| .docm, .xlsm, .pptm, .xlam | Tệp Office có bật macro | Cao | Chữ "m" nghĩa là tệp có thể chứa macro VBA. Có trường hợp dùng hợp pháp nhưng hiếm gặp từ người lạ. |
| .doc, .xls | Định dạng Office cũ | Trung bình đến cao | Có thể chứa macro mà tên không cho dấu hiệu nào, và có lịch sử bị lạm dụng lâu dài. |
| .zip, .rar, .7z, .gz, .tar | Tệp nén | Tùy nội dung | Có thể chứa bất cứ thứ gì trong bảng này. Tệp nén có mã hóa thì không quét được. |
| .html, .htm, .svg | Trang web và ảnh vector | Trung bình đến cao | Mở trong trình duyệt và có thể hiện biểu mẫu đăng nhập giả, chạy tập lệnh hoặc lắp ráp một tệp ngay tại chỗ. |
| .one | Sổ tay OneNote | Trung bình đến cao | Từng được dùng để giấu tập lệnh sau một nút "bấm để xem" giả. |
| Tài liệu di động | Thấp đến trung bình | Phần lớn thụ động, nhưng có thể chứa liên kết, tệp nhúng và tập lệnh. | |
| .docx, .xlsx, .pptx | Tệp Office hiện đại | Thấp đến trung bình | Không lưu được macro VBA, nhưng có thể chứa liên kết, tham chiếu ngoài và đối tượng nhúng. |
| .jpg, .png, .gif, .webp | Ảnh điểm ảnh | Thấp | Dữ liệu thụ động. Rủi ro là một lỗi hiếm gặp của trình xem, mà các bản cập nhật xử lý. |
| .txt, .csv | Văn bản và dữ liệu | Thấp, với một lưu ý | Văn bản không tự chạy được, nhưng CSV mở trong bảng tính có thể chứa công thức, nên hãy từ chối các lời nhắc bật nội dung bên ngoài. |
Nhà cung cấp thư làm giúp một phần việc phân loại này. Chẳng hạn Gmail từ chối một danh sách loại tệp gồm .exe, .js, .lnk và .iso, và cũng nhìn vào bên trong tệp nén khi có thể. Outlook cũng chặn nhiều loại chương trình và tập lệnh. Vì thế tội phạm ưa các định dạng mà bộ lọc buộc phải cho qua, và một vật chứa bất thường thường lộ nhiều hơn một cái tên rõ ràng nguy hiểm.
Loại thật của tệp bị che giấu như thế nào
Windows ẩn các phần mở rộng đã biết theo mặc định, nên chiêu cũ nhất vẫn còn tác dụng. Một tệp tên invoice.pdf.exe hiện ra là invoice.pdf. Hãy tắt việc ẩn này một lần là xong. Trong Windows 11, mở File Explorer và chọn Xem, Hiển thị, Phần mở rộng tên tệp. Trong Windows 10, đó là một ô chọn trên thẻ Xem. Trên máy Mac, vào Finder, Cài đặt, Nâng cao và tích Hiển thị tất cả phần mở rộng tên tệp.
Còn những kiểu ngụy trang khác cần chú ý hơn. Tên dài chèn nhiều dấu cách, như statement.pdf .js, đẩy phần đuôi thật ra khỏi một cột hẹp. Một ký tự điều khiển Unicode, ký tự ghi đè phải sang trái (U+202E), có thể đảo cách hiển thị phần cuối của tên, nên một tệp thật sự kết thúc bằng .exe có thể trông như kết thúc bằng .pdf. Chương trình và lối tắt cũng có thể mang bất kỳ biểu tượng nào chúng muốn, kể cả biểu tượng PDF hay Word, nên biểu tượng không chứng minh được gì.
Bản thân email cũng có thể nói dối. Mỗi tệp đính kèm đi kèm một loại nội dung khai báo như application/pdf, nhưng nhãn đó do người gửi chọn. Điều xảy ra trên thiết bị của bạn phụ thuộc vào định dạng thật và phần mở rộng của tệp. Vì vậy hãy kiểm tra cột Loại hoặc Thuộc tính của tệp trên Windows, Xem thông tin trên Mac, và chế độ xem chi tiết của trình quản lý tệp trên điện thoại.
Tài liệu Office và hai thanh màu
Tệp Office đáng có phần riêng vì chúng có ở khắp nơi và bị lạm dụng hàng chục năm. Macro là một chương trình nhỏ viết bằng Visual Basic for Applications, lưu trong tài liệu, và nó có thể tự động hóa công việc hữu ích hoặc tải xuống rồi khởi chạy thứ khác. Định dạng tệp cho một manh mối một phần: .docx và .xlsx không lưu được macro VBA, còn .docm và .xlsm thì có, và các tệp .doc và .xls cũ cũng có thể mà không nói ra.
Khi bạn mở một tệp từ internet hoặc email trong Office cho Windows, thường sẽ gặp một trong hai thanh. Thanh màu vàng thuộc về Protected View (Chế độ xem được bảo vệ), mở tài liệu chỉ đọc trong chế độ bị hạn chế và đưa ra nút Enable Editing (Bật chỉnh sửa). Khi bạn còn ở trong Protected View, tệp bị hạn chế nhiều về những gì nó làm được. Bạn đọc được nó, và với tài liệu bạn chỉ cần đọc thì không có lý do gì để thoát ra.
Thanh màu đỏ là biểu ngữ bảo mật. Microsoft đã thay đổi Office cho Windows, bắt đầu triển khai từ năm 2022, để macro VBA trong các tệp từ internet bị chặn theo mặc định trong Word, Excel, PowerPoint, Access, Project, Publisher và Visio. Biểu ngữ cho biết macro đã bị chặn vì nguồn của tệp không đáng tin. Theo tài liệu của Microsoft, thay đổi này không áp dụng cho Office trên Mac, trên Android hay iOS, hoặc trên web, nên đừng giả định hành vi giống nhau ở mọi nơi.
Việc chặn phụ thuộc vào Mark of the Web, một thẻ Windows gắn vào các tệp đến từ vị trí không đáng tin như tải từ trình duyệt hoặc tệp đính kèm email. Một người có thể gỡ thẻ đó bằng cách tích Unblock trong Thuộc tính của tệp, và điều đó cho bạn một dấu hiệu cảnh báo rõ ràng. Nếu một tài liệu hoặc một email "tốt bụng" bảo bạn nhấp chuột phải vào tệp, tích Unblock rồi mở lại, bạn đang bị dẫn đi qua lớp bảo vệ. Hãy đóng nó lại.
Kẻ tấn công đáp trả bằng thuyết phục. Một tài liệu bẫy điển hình hiện một trang mờ và một dòng như "Tài liệu này được tạo trong phiên bản mới hơn. Hãy bật chỉnh sửa và nội dung để xem." Không tài liệu thật nào cần macro chỉ để được đọc. Nếu tệp đến từ người bạn không xác minh được, hãy coi thông báo đó là câu trả lời cho câu hỏi nó có an toàn không.
Lịch sử mèo vờn chuột giải thích một vài định dạng lạ trong bảng. Ảnh đĩa trở nên phổ biến một phần vì các tệp bên trong ISO không nhận Mark of the Web, cho đến khi Microsoft sửa điều đó vào tháng 11 năm 2022 (CVE-2022-41091). Sau đó việc lạm dụng tệp OneNote tăng lên, với tập lệnh và lối tắt nhúng sau các nút giả, và năm 2023 Microsoft thông báo rằng OneNote cho Microsoft 365 và Office bán lẻ sẽ chặn các tệp nhúng có phần mở rộng nguy hiểm. Mỗi bản sửa lại đẩy kẻ tấn công sang vật chứa tiếp theo, nên một định dạng lạ từ người lạ là đủ lý do để dừng lại.
PDF, trang web và hình ảnh
Phần lớn PDF là vô hại, và rủi ro thực tế hiếm khi là một lỗ hổng tinh vi. Thường gặp hơn nhiều là một PDF một trang có logo và một nút lớn "Xem tài liệu bảo mật" dẫn đến trang đăng nhập giả. Một PDF cũng có thể mang tệp nhúng riêng, mà trình xem có thể đề nghị mở, và có thể chứa JavaScript. Trình đọc PDF từng có lỗ hổng bảo mật qua nhiều năm, nên hãy cập nhật trình của bạn. Mở một PDF bất ngờ trong trình xem tích hợp của trình duyệt hiện hành là mặc định hợp lý, và nếu bạn dùng Adobe Acrobat Reader và hiếm khi cần tập lệnh, bạn có thể bỏ tích Enable Acrobat JavaScript trong Edit, Preferences, JavaScript. Một PDF chỉ tồn tại để nói "tài liệu của bạn đã sẵn sàng, bấm vào đây" là một cánh cửa, không phải một tài liệu.
Tệp HTML đính kèm tệ hơn vẻ ngoài. Nó mở trong trình duyệt như một trang cục bộ và có thể hiện bản sao hoàn hảo của màn hình đăng nhập với địa chỉ email của bạn đã điền sẵn. Vì trong thư chưa từng có địa chỉ web đáng ngờ nào, công cụ quét liên kết của dịch vụ thư có thể không bao giờ thấy gì. Tệp HTML cũng có thể dựng một tệp ngay trong trình duyệt từ dữ liệu mã hóa và đưa nó ra như bản tải xuống, một kỹ thuật gọi là HTML smuggling, có thể vượt qua các bộ lọc chỉ kiểm tra tệp đính kèm. Không công ty thật nào cần bạn đăng nhập từ một tệp đính kèm email. Hãy coi mọi trang như vậy là lừa đảo, và vào dịch vụ bằng cách gõ địa chỉ.
Tệp SVG trông như hình ảnh và được định nghĩa bằng XML, nghĩa là chúng có thể chứa tập lệnh và liên kết. Trong trình xem ảnh chúng hoạt động như một bức tranh, còn trong trình duyệt chúng có thể hoạt động như một trang web. Một tệp SVG bất ngờ từ người lạ đáng bị nghi ngờ như một tệp HTML.
Các tệp JPEG, PNG, GIF và WebP thông thường là dữ liệu thụ động, và rủi ro lý thuyết về lỗi của trình xem là thứ mà cập nhật hệ thống xử lý. Rủi ro thực tế thì khác: một bức ảnh có thể chỉ là mồi nhử, như một "ảnh chụp màn hình" hóa đơn bảo bạn gọi một số điện thoại. Tệp thì an toàn, còn các hướng dẫn trong đó thì không.
Tệp nén: đánh giá nội dung, không phải lớp vỏ
Một tệp ZIP không an toàn cũng không nguy hiểm. Nó an toàn đúng bằng những gì bên trong. Tệp nén hợp với kẻ tấn công vì thư chỉ hiện "documents.zip" trong khi loại tệp thật vẫn bị giấu, và vì một tệp nén nằm trong tệp nén khác, hoặc một định dạng ít gặp, có thể làm một số công cụ quét bối rối.
Mã hóa thêm một vấn đề nữa. Công cụ bảo mật thư không nhìn vào bên trong tệp nén có mật khẩu được, vì thế một thư chứa tệp nén mã hóa cùng mật khẩu của nó là mô thức kinh điển. Hãy nghĩ xem cách sắp xếp đó đạt được gì: nó không mang lại bí mật nào, vì ai có email cũng có mật khẩu, và điều duy nhất nó làm chắc chắn là làm mù công cụ quét. Người gửi thật mã hóa một tệp thường chia sẻ mật khẩu bằng cách khác, như qua điện thoại hoặc trong một cuộc trò chuyện riêng.
Nếu bạn đã xác minh rằng tệp nén đó đáng lẽ phải tồn tại và vẫn muốn xem bên trong:
- Mở tệp nén để xem danh sách tệp mà không giải nén gì cả. File Explorer trên Windows và các chương trình nén như 7-Zip có thể hiện danh sách. Mac thường giải nén mặc định khi bạn nhấp đúp, nên hãy dùng một công cụ nén ở đó.
- Đọc từng tên và phần mở rộng. Chỉ một
.lnk,.js,.exehay.isotrong thứ được mô tả là giấy tờ là kết thúc câu chuyện, hãy xóa tệp nén. - Kiểm tra nội dung có khớp với câu chuyện không. Một "hướng dẫn PDF" phải là PDF, không phải một thư mục chứa lối tắt.
- Chỉ giải nén đúng tệp bạn cần, rồi áp dụng các kiểm tra tương tự cho tệp đó.
Kiểm tra người gửi, ngắn gọn
Tệp là một nửa của cuộc tấn công, còn câu chuyện đáng tin xung quanh nó là nửa kia. Hướng dẫn nhận biết email lừa đảo của chúng tôi đi vào chi tiết việc này, nên ở đây là những kiểm tra quan trọng nhất cho tệp đính kèm.
Bắt đầu với địa chỉ thật, vì tên hiển thị có thể bị bất kỳ ai đặt thành gì cũng được. "Phòng Kế toán" có thể là billing@example-pay.example. Trên máy tính, rê chuột hoặc bấm vào tên, còn trên điện thoại hãy chạm vào dòng người gửi. Hãy tìm các tên miền có thêm từ, dấu gạch nối hoặc chữ bị đánh tráo ("rn" giả làm "m"), địa chỉ webmail miễn phí tự nhận là bộ phận thanh toán hay pháp lý của một công ty, và tên miền không khớp với website bạn đã biết.
Sau đó nhìn xem thư trả lời sẽ đi đâu. Một thư có thể đến từ một địa chỉ và gửi thư trả lời về địa chỉ khác. Danh sách thư và hệ thống phiếu hỗ trợ, cũng như bản tin bạn đã đăng ký, đôi khi làm vậy vì những lý do bình thường, nhưng một ghi chú trông cá nhân về một khoản thanh toán gấp thì không nên.
Kiểm tra kỹ thuật chỉ mất một phút. Trong Gmail, mở menu ba chấm và chọn Hiển thị thư gốc. Trong Outlook trên web, dùng Xem, Xem nguồn thư. Tìm spf=pass, dkim=pass và dmarc=pass. SPF liệt kê máy chủ nào được gửi thay cho một tên miền, DKIM là chữ ký mã hóa cho thấy tên miền đã cho phép thư và thư không bị thay đổi, còn DMARC gắn các kết quả đó với tên miền From hiển thị và cho bên nhận biết phải làm gì khi không đạt. Chỉ đọc kết quả theo một chiều. Không đạt ở một thư tự nhận từ ngân hàng của bạn là lời cảnh báo mạnh. Đạt thì không làm thư an toàn, vì tội phạm có thể đăng ký một tên miền giả giống thật và xác thực nó đúng cách, và một hộp thư bị chiếm vượt qua mọi kiểm tra.
Còn lại câu hỏi mà không tiêu đề nào trả lời được: việc này có khớp với một cuộc trao đổi thật không? Bạn nên có thể nói rằng mình đã chờ tệp này từ người này về chủ đề này, và nó chứa những chi tiết bạn xác minh được trong tài khoản của mình. Áp lực đi ngược lại điều đó. Sự gấp gáp, bí mật và nỗi sợ ("kiện tụng", "đừng nói với ai", "tài khoản đóng hôm nay") cùng với một tệp là mô thức quen thuộc. Khi nghi ngờ, hãy liên hệ người gửi bằng thông tin bạn đã có trước khi thư này đến. Nếu hóa đơn là thật, nó cũng sẽ có trong tài khoản của bạn.
Khi bạn buộc phải mở tệp từ người mới
Đôi khi tệp chính là toàn bộ vấn đề: CV của ứng viên, báo giá đầu tiên của nhà cung cấp, một lời đáp cho món đồ bạn đăng bán. Mục tiêu khi đó là xem nội dung trong khi cho tệp ít quyền lực nhất có thể. Các lựa chọn này đi từ ít công sức nhất đến nhiều nhất, và đa số mọi người sẽ dừng sau lựa chọn thứ hai hoặc thứ ba.
Hỏi xem bạn có cần mở nó không. Nếu tệp bất ngờ và câu chuyện chung chung, xóa đi tốn rất ít, vì người gửi thật sẽ liên hệ lại.
Dùng chế độ xem trước của dịch vụ thư. Các dịch vụ webmail thường hiển thị PDF, hình ảnh và tài liệu Office trên máy chủ của họ, nên tệp được hiển thị chứ không chạy trên thiết bị của bạn. Hãy xem trước trước, và chỉ tải xuống nếu buộc phải. Đây là thói quen hữu ích nhất cho bất kỳ ai nhận tệp từ người lạ khi làm việc.
Mở tài liệu ở chế độ chỉ đọc. Ở lại trong Protected View, hoặc mở tệp trong bộ ứng dụng văn phòng trên web, hạn chế những gì nó làm được. Đừng đụng đến Enable Editing và Enable Content.
Quét nó. Trên Windows, bạn có thể nhấp chuột phải vào tệp đã lưu và quét bằng Microsoft Defender, và các sản phẩm bảo mật khác cũng có chức năng này. Với một tệp không chứa gì riêng tư, một trình quét trực tuyến nhiều công cụ như VirusTotal cho ý kiến thứ hai. Tệp tải lên các dịch vụ kiểu này có thể được chia sẻ với các công ty bảo mật và nhà nghiên cứu, nên đừng bao giờ tải lên hợp đồng, giấy tờ tùy thân, hóa đơn hay bất cứ thứ gì bí mật. Kết quả sạch cũng không phải bảo đảm, vì một tệp mới hoặc được tùy biến có thể chưa bị công cụ nào phát hiện.
Yêu cầu định dạng khác. Ứng viên thật có thể gửi lại CV dạng PDF chuẩn. Khách hàng có thể dán văn bản vào nội dung email. Hỏi thì miễn phí, và người cố giao một tệp cụ thể thường phản đối.
Dùng môi trường cô lập cho bất cứ thứ gì bất thường. Windows Sandbox có trong các phiên bản Pro, Enterprise và Education của Windows, được bật qua Turn Windows features on or off, và yêu cầu bật ảo hóa. Nó cho bạn một màn hình làm việc dùng một lần, và mọi thứ bên trong bị loại bỏ khi bạn đóng. Mặc định nó vẫn có truy cập mạng trừ khi bạn tắt trong tệp cấu hình, nên một tệp chạy bên trong có thể ra internet, và bạn không nên đăng nhập vào bất cứ thứ gì từ đó. Một máy ảo hoặc một thiết bị dự phòng cũng phục vụ cùng mục đích.
Một phép thử nhanh trước khi nhấp đúp
Hãy chạy qua những câu này khi có gì đó không ổn. Hai câu trả lời đáng lo trở lên là đủ lý do để xóa thư hoặc xác minh nó trước.
- Tôi có biết người gửi này không, và tôi có đang chờ tệp này vào lúc này không?
- Địa chỉ và tên miền thật có khớp với người họ tự nhận không?
- Đây có phải loại tệp tôi mong đợi cho chủ đề này không?
- Tệp có nằm trong một vật chứa, đặc biệt là loại có mật khẩu không?
- Thư có thúc ép bằng sự gấp gáp, bí mật, thanh toán hay đăng nhập không?
- Tài liệu có yêu cầu tôi bật chỉnh sửa, nội dung hoặc macro không?
- Tôi có thể xác nhận việc này qua một kênh riêng trước không?
Điện thoại và Mac khác biệt, không phải miễn nhiễm
Chương trình và tập lệnh Windows đơn giản là không chạy trên iOS hay Android, và hệ thống di động giam ứng dụng chặt hơn các hệ thống máy tính để bàn truyền thống. Điều đó loại bỏ một lớp mối đe dọa lớn. Nhưng điện thoại có điểm yếu riêng, và lừa đảo hiệu quả ít nhất ngang trên màn hình nhỏ, nơi địa chỉ đầy đủ bị ẩn và một nút đăng nhập giả trông như bất kỳ nút nào khác.
Trên Android, rủi ro tệp chính là APK, một gói ứng dụng gửi làm tệp đính kèm. Nó chỉ cài được nếu bạn đã cho phép ứng dụng mở nó cài ứng dụng không rõ nguồn. Hãy kiểm tra trong Cài đặt, Ứng dụng, Quyền truy cập ứng dụng đặc biệt, Cài đặt ứng dụng không rõ, dù đường dẫn chính xác khác nhau giữa các hãng. Hãy giữ tắt cho ứng dụng thư và trình duyệt của bạn, và chỉ cài ứng dụng từ cửa hàng chính thức. Trên iPhone và iPad, hãy để ý các hồ sơ cấu hình, có thể thay đổi những cài đặt như VPN và chứng chỉ tin cậy. Các hồ sơ đã cài hiện trong Cài đặt, Cài đặt chung, VPN & Quản lý thiết bị. Đừng cài một hồ sơ chỉ vì một email yêu cầu.
Ứng dụng thư trên điện thoại cũng thường ẩn địa chỉ đầy đủ của người gửi và phần mở rộng tệp, nên bạn cần chạm để xem. Nếu một tệp trông quan trọng mà bạn không đọc thoải mái được chi tiết của nó, hãy chờ đến khi có màn hình lớn hơn. Rất ít tệp đính kèm trung thực không thể chờ một giờ.
Mac có lớp bảo vệ riêng, Gatekeeper, kiểm tra ứng dụng tải về trước lần chạy đầu và cảnh báo về phần mềm không đến từ nhà phát triển đã xác định. Các hướng dẫn lừa đảo đôi khi bảo bạn vượt qua cảnh báo đó bằng cách mở tệp theo cách khác hoặc dán một lệnh vào Terminal. Hãy coi những hướng dẫn đó như "Enable Content" trong tài liệu Word. Hãy để ý các tệp .dmg, .pkg, .app và .command từ người lạ, tương ứng trên Mac với những hàng đầu tiên của bảng.
Những cài đặt làm thay đổi cơ hội
Không cái nào cần công cụ chuyên dụng. Đi hết danh sách này một lần mất cỡ một giờ nghỉ uống cà phê, và phần lớn không cần làm lại.
| Cài đặt | Ở đâu | Giúp được gì |
|---|---|---|
| Hiện phần mở rộng tên tệp | Menu Xem của File Explorer; Cài đặt, Nâng cao của Finder | Đuôi kép và tệp ngụy trang |
| Cập nhật tự động | Cài đặt hệ thống và cửa hàng ứng dụng | Lỗ hổng đã biết trong trình xem, trình duyệt và Office |
| Bật phần mềm bảo mật | Windows Security, hoặc sản phẩm bạn chọn | Mã độc đã biết khi tệp được lưu hoặc mở |
| Protected View và chặn macro | Office: File, Options, Trust Center, Trust Center Settings (thường đã bật) | Tài liệu chạy mã mà bạn không quyết định |
| Chặn cài ứng dụng không rõ nguồn | Android: Quyền truy cập ứng dụng đặc biệt | Tệp APK nhận qua email |
| Tài khoản tiêu chuẩn, không phải quản trị viên, cho việc hằng ngày | Cài đặt tài khoản hệ thống | Mã độc dễ dàng giành quyền trên toàn hệ thống |
| Đăng nhập nhiều yếu tố trên các tài khoản quan trọng | Trang bảo mật của từng tài khoản | Chiếm tài khoản sau khi mất mật khẩu |
| Địa chỉ riêng cho việc đăng ký | Địa chỉ phụ, bí danh hoặc hộp thư tạm thời | Hộp thư chính của bạn trở thành mục tiêu |
Các tệp đính kèm thường gặp và chúng thường sai ở đâu
Các tình huống dưới đây là ví dụ về những mô thức hay xuất hiện. Điều quan trọng trong mỗi trường hợp là khoảng cách giữa cách thứ thật thường đến và những gì bạn đang nhìn thấy.
| Lời tuyên bố | Thứ thật trông như thế nào | Điều nên khiến bạn dừng lại | Nên làm gì |
|---|---|---|---|
| Hóa đơn từ công ty bạn không dùng | Bạn sẽ có tài khoản hoặc đơn hàng | Không có quan hệ nào, và thường là tệp nén, HTML hoặc tài liệu macro | Xóa |
| Hóa đơn từ công ty bạn có dùng | Hiện trong tài khoản của bạn, đúng định dạng quen | Định dạng mới, thông tin ngân hàng mới, thời điểm lạ | Đăng nhập trực tiếp hoặc gọi số đã biết |
| "Bản xem trước" tài liệu được chia sẻ | Một liên kết từ dịch vụ chia sẻ, mở ở nơi bạn đã đăng nhập sẵn | Một tệp HTML đính kèm có trang đăng nhập | Tự vào dịch vụ và tìm mục được chia sẻ |
| CV hoặc hồ sơ năng lực | Một PDF hoặc tài liệu chuẩn | Tệp nén, tài liệu macro hoặc liên kết đến trang tải lạ | Xem trước, và yêu cầu định dạng chuẩn |
| Thông báo thư thoại hoặc fax | Nhiều hệ thống điện thoại gửi tệp âm thanh như WAV hay MP3 | HTML, tệp nén hoặc chương trình | Kiểm tra cổng của hệ thống điện thoại |
| Tệp gấp từ "quản lý" của bạn | Kênh bình thường và giọng điệu bình thường | Bí mật, vội vã, yêu cầu thanh toán | Xác nhận qua điện thoại hoặc gặp trực tiếp |
| Tệp đính kèm mới trong chuỗi thư cũ | Viết bằng giọng của chính người đó và đúng chủ đề | "Vui lòng xem tệp đính kèm" chung chung, loại tệp họ chưa bao giờ gửi | Liên hệ họ riêng trước khi mở |
Hàng về ứng viên đáng có vài lời cho bất kỳ ai tuyển dụng. Tuyển dụng chính là trường hợp mà người lạ được phép gửi tệp cho bạn, nên kẻ tấn công bắt chước nó. Một quy tắc công khai "chỉ PDF, không tệp nén hay liên kết" không tốn gì của ứng viên thật và loại bỏ phần lớn rủi ro trước khi có gì đến.
Dành cho các nhóm nhỏ
Nếu bạn quản lý email cho một nhóm, vài biện pháp kiểm soát giúp giảm mức độ phụ thuộc vào phán đoán của một người vào một buổi chiều bận rộn. Hãy cấu hình dịch vụ thư để chặn hẳn các loại rủi ro cao như chương trình và tập lệnh, và giữ lại các tệp nén có mật khẩu từ bên ngoài để xem xét. Công bố SPF, DKIM và DMARC cho tên miền của bạn để tên bạn khó bị giả mạo hơn, và đọc các báo cáo DMARC để thấy ai đang gửi với danh nghĩa bạn. Một biểu ngữ dễ thấy trên thư từ bên ngoài tổ chức giúp mọi người nhận ra khi "sếp" đang viết từ nơi khác.
Trong nội bộ, liên kết chia sẻ từ một nền tảng bạn tin cậy tốt hơn tệp đính kèm, vì khi đó mọi tệp đính kèm từ bên ngoài đều nổi bật. Hãy thống nhất một quy tắc bằng văn bản rằng thay đổi thông tin ngân hàng luôn được xác nhận qua điện thoại, theo số đã có trong hồ sơ, bất kể ai yêu cầu hay gấp đến đâu. Và hãy cho nhân viên một cách báo thư đáng ngờ chỉ bằng một cú bấm, rồi cảm ơn những ai dùng nó, kể cả những người đã lỡ bấm. Người bị ngại ngùng đẩy vào im lặng cho kẻ xâm nhập thêm nhiều giờ.
Nếu bạn đã mở nó
Người cẩn thận cũng mắc lỗi này, thường khi mệt hoặc bận. Những phút đầu rất quan trọng, và việc bạn làm phụ thuộc vào điều thực sự đã xảy ra.
Bạn đã mở một hình ảnh hoặc PDF trong trình xem đã cập nhật và không bấm gì. Rủi ro thực tế thấp. Hãy chạy quét rồi tiếp tục, vẫn cảnh giác với các thư tiếp theo.
Bạn đã chạy gì đó, giải nén gì đó hoặc bật macro. Hãy làm theo các bước này theo thứ tự:
- Đóng tệp và ngừng trả lời các lời nhắc của nó. Đừng nhập mật khẩu nào.
- Tắt Wi-Fi hoặc rút cáp mạng. Điều này có thể ngăn mã độc tải thêm thành phần hoặc gửi dữ liệu ra ngoài.
- Trên thiết bị công việc, hãy báo ngay từ một thiết bị khác, và đừng tự cố làm sạch. Báo sớm giúp IT hoặc nhân viên bảo mật khoanh vùng vấn đề trước khi nó lan.
- Chạy quét toàn bộ. Trong Windows Security, vào Virus & threat protection, Scan options, nơi Microsoft Defender Offline scan khởi động lại máy và quét trước khi Windows tải.
- Từ một thiết bị khác, sạch, hãy đổi các mật khẩu quan trọng, bắt đầu với email, vì email đặt lại được mọi thứ khác. Sau đó đến ngân hàng và mọi thứ bạn vừa đăng nhập trên máy bị ảnh hưởng.
- Xem lại các lần đăng nhập gần đây của tài khoản email, quy tắc chuyển tiếp, bộ lọc và ứng dụng đã kết nối. Kẻ tấn công đôi khi thêm một quy tắc ẩn để tiếp tục nhận thư của bạn sau khi bạn đổi mật khẩu.
- Bật đăng nhập nhiều yếu tố, hoặc xác nhận nó vẫn đang bật, cho các tài khoản quan trọng.
Bạn đã gõ mật khẩu vào trang mà tệp đính kèm mở ra. Hãy coi mật khẩu đó đã bị đánh cắp. Đổi nó trên trang thật bằng cách tự gõ địa chỉ, và đổi ở mọi nơi khác bạn dùng nó.
Bạn đã nhập thông tin thẻ. Gọi ngân hàng hoặc nhà phát hành thẻ theo số in trên thẻ của bạn, và yêu cầu họ khóa thẻ.
Thiết bị vẫn hoạt động lạ. Chương trình mới, công cụ bảo mật bị tắt và trình duyệt bị chuyển hướng là dấu hiệu rằng một lần quét chưa đủ. Khôi phục từ bản sao lưu tốt đã biết hoặc cài lại hệ thống là cách sửa đáng tin cậy, và đó là lý do giữ một bản sao lưu ngoại tuyến hoặc có phiên bản là một phần của an toàn tệp đính kèm trong thực tế.
Hộp thư tạm thời phù hợp ở đâu, và không phù hợp ở đâu
Mọi thứ ở trên hành động sau khi một thư rủi ro đã đến với bạn. Quyền riêng tư hộp thư hoạt động sớm hơn, bằng cách hạn chế ai có thể liên lạc đến địa chỉ quan trọng của bạn ngay từ đầu. Mọi trang giữ địa chỉ thật của bạn đều có thể làm lộ, bán hoặc bị xâm nhập. Giảm mức phơi nhiễm đó nghĩa là về sau có ít người gửi lạ hơn, và cũng giúp bạn dễ nhận ra tệp bất ngờ hiếm hoi. Bài sắp xếp email cá nhân của chúng tôi giải thích cách chia địa chỉ theo mức độ tin cậy.
Hộp thư tạm thời là một công cụ cho tầng thấp nhất. Nếu bạn dùng nó cho một lần tải xuống hoặc một câu hỏi diễn đàn đơn lẻ, khi điều khoản của trang cho phép, người gửi đó sẽ không bao giờ biết địa chỉ chính của bạn. Hướng dẫn đăng ký mà không dùng email thật của chúng tôi nói khi nào việc đó phù hợp và khi nào một địa chỉ cố định là lựa chọn đúng. Lập trình viên cũng dùng hộp thư tạm thời để kiểm tra ứng dụng của chính họ gửi tệp đính kèm đúng không, mà không làm đầy hộp thư cá nhân.
Hãy rõ về các giới hạn. Địa chỉ tạm thời bảo vệ địa chỉ của bạn, không phải thiết bị của bạn. Khi bạn đã tải một tệp, mọi kiểm tra trong bài này áp dụng đầy đủ. Hộp thư tạm thời không dành cho hợp đồng, giấy tờ tùy thân, hồ sơ y tế hay tài chính, và không phù hợp cho ngân hàng, dịch vụ công hay bất kỳ tài khoản nào bạn cần khôi phục. Ai biết hoặc đoán được một địa chỉ đều mở được hộp thư đó, nên địa chỉ ngẫu nhiên là lựa chọn an toàn hơn, và không có gì bí mật nên để ở đó.
Trong VookMail, một địa chỉ sẵn sàng khi trang tải xong, không cần đăng ký. Tệp đính kèm hoạt động, trong giới hạn kích thước, và hộp thư hiển thị thư cùng danh sách tệp mà không thực thi gì. Các tệp chương trình phổ biến như .exe, .bat và .apk bị từ chối, còn tệp nén như .zip hiện một cảnh báo thận trọng, là lời nhắc hữu ích để áp dụng các bước về tệp nén ở trên. Các tên miền của chúng tôi nhận thư qua một nhà cung cấp chuyển phát thư, chuyển tiếp thư đến chúng tôi qua HTTPS. Thư và tệp đính kèm bị xóa sau khoảng một ngày, nên hãy tải ngay những gì bạn cần và đừng coi hộp thư là nơi lưu trữ. Chính sách quyền riêng tư và trang phương pháp giải thích chi tiết hơn về cách xử lý.
Nút mã QR cũng có thể giúp ích cho việc thận trọng với tệp đính kèm. Nó hiển thị địa chỉ của bạn dưới dạng mã mà bạn quét trên thiết bị khác, nơi nút Mới cùng địa chỉ và tên miền đó mở hộp thư ấy, nên nếu bạn muốn xem một tệp đáng ngờ trên điện thoại hoặc thiết bị dự phòng thay vì máy tính chính, bạn có thể làm vậy. Một tệp bạn chủ động tải xuống vẫn nên khớp với những gì đã được hứa. Nếu một trang cung cấp hướng dẫn PDF mà bạn nhận được một ZIP chứa lối tắt, hãy xóa nó.
Những sai lầm đáng bỏ
- Chuyển tiếp một tệp đáng ngờ cho đồng nghiệp "để kiểm tra". Điều đó lan truyền rủi ro. Hãy dùng đường báo cáo của tổ chức bạn.
- Giải nén một tệp nén để xem bên trong có gì, trong khi liệt kê nội dung đã cho bạn biết.
- Dùng mật khẩu được cung cấp ngay trong cùng email. Điều đó trao cho kẻ tấn công thứ chúng muốn, một tệp mà công cụ quét của bạn chưa từng thấy.
- Bấm Enable Editing theo thói quen. Với tài liệu bạn chỉ cần đọc, chẳng được gì cả.
- Coi một lần quét sạch là bằng chứng. Nó chỉ có nghĩa là hôm nay chưa có công cụ quét nào nhận ra tệp.
- Tải tệp bí mật lên các trình quét công cộng, nơi dữ liệu riêng tư có thể được chia sẻ với bên thứ ba.
- Trì hoãn cập nhật. Nhiều khai thác qua tệp đính kèm nhắm vào các lỗ hổng đã được vá trong phiên bản hiện hành của Office, trình đọc PDF, trình duyệt và hệ điều hành.
- Im lặng sau một cú bấm nhầm. Với tài khoản công việc, một giờ im lặng chẳng giúp ai ngoài kẻ tấn công.
Những câu hỏi thường gặp
Có thể dính virus chỉ vì mở một email không?
Trong ứng dụng thư đã cập nhật, mở và đọc một thư rất khó làm nhiễm thiết bị. Nguy hiểm thường bắt đầu khi bạn mở hoặc chạy tệp đính kèm, bật macro hoặc bấm liên kết. Tuy nhiên, việc tải hình ảnh có thể cho người gửi biết bạn đã mở thư, đó là vấn đề quyền riêng tư chứ không phải nhiễm mã độc.
Phần mềm diệt virus có bảo vệ tôi khỏi mọi tệp đính kèm độc hại không?
Không. Phần mềm diệt virus và bộ lọc thư bắt được phần lớn các mối đe dọa đã biết, nhưng tệp mới hoặc được tùy biến có thể lọt qua, và một trang đăng nhập giả có thể không chứa mã độc nào. Quét chỉ là một lớp, bên cạnh việc kiểm tra người gửi, hiểu các loại tệp, chặn macro và cập nhật.
Tôi có nên tin một tệp đính kèm vì nó đến từ bạn bè không?
Hãy tin người đó, nhưng vẫn kiểm tra thư. Tài khoản có thể bị chiếm, nên một tệp lạ từ bạn bè kèm ghi chú ngắn bất thường đáng để nhắn tin hỏi nhanh xem họ có gửi không.
Mở tệp đáng ngờ trên điện thoại có an toàn hơn không?
Có thể, với các chương trình Windows, vốn không chạy ở đó. Nó chẳng giúp gì trước các trang đăng nhập giả, và đó mới là mối đe dọa dễ xảy ra hơn trong một tệp PDF hay HTML. Điện thoại là một rủi ro khác, và một thiết bị dự phòng hoặc môi trường cô lập là lựa chọn tốt hơn khi bạn muốn sự tách biệt thật sự.
Nhận tệp đính kèm trong hộp thư tạm thời có an toàn không?
Việc nhận cũng như ở bất kỳ hộp thư nào, vì dịch vụ lưu và hiển thị tệp chứ không chạy nó. Điều quan trọng là chuyện xảy ra sau khi bạn tải xuống. Hãy áp dụng các kiểm tra tương tự, và đừng để thứ bí mật nào trong một hộp thư mà người khác có thể mở nếu đoán được địa chỉ.