Cách nhận biết email lừa đảo: những dấu hiệu thật sự đáng kể

Dưới đây là một thư mẫu tự dựng, viết riêng cho bài này. Các địa chỉ trong đó không liên hệ được, và nó chỉ được đưa ra để bạn tập đọc.

Ví dụ thư lừa đảo, không phải thư thật
Từ: "Hỗ trợ hộp thư" <helpdesk@mail-storage-notice.example>
Tiêu đề: Hộp thư của bạn đã đầy 98%, thư đang bị giữ lại

Kính gửi người dùng, 14 thư đến không thể được chuyển vì dung lượng lưu trữ của bạn đã đầy. Hãy xác minh tài khoản trong vòng 24 giờ để nhận lại các thư này và tránh bị đình chỉ.
[Nhận lại thư của tôi]

Những điểm lộ ra là: tên miền người gửi không thuộc về bất kỳ ai bạn từng giao dịch, lời chào không biết tên bạn, thời hạn đi kèm đe dọa, và một nút bắt bạn đăng nhập. Không có chữ nào sai chính tả, và đó là điều bình thường hiện nay. Bạn nhận ra email lừa đảo bằng cách kiểm tra địa chỉ người gửi thật, xem liên kết thực sự trỏ về đâu, nghi ngờ những yêu cầu bất ngờ về mật khẩu, tiền hoặc mở tệp, và xác nhận mọi việc quan trọng qua một kênh bạn đã tin cậy chứ không phải qua chính thư đó.

Lừa đảo (phishing) là một thư giả danh người hoặc tổ chức đáng tin để bạn trao thông tin đăng nhập, chuyển tiền, cài mã độc hoặc tiết lộ thông tin hữu ích cho một đợt tấn công sau. Những lời khuyên xoay quanh lỗi ngữ pháp và logo vụng về đã lỗi thời, vì sao chép thiết kế của một thương hiệu quá dễ và công cụ dịch thuật, viết lách ai cũng dùng được. Điều còn đáng tin là thư yêu cầu bạn làm gì và bằng chứng kỹ thuật cho biết nó từ đâu đến.

Những tín hiệu nào đáng chú ý

Các dấu hiệu cảnh báo không ngang nhau. Bảng xếp hạng này là nhận định dựa trên cách các cuộc tấn công vận hành, không phải số liệu thống kê đo được, nhưng nó cho thấy bạn nên dồn vài giây chú ý vào đâu.

Tín hiệu	Mức độ cho biết	Lý do
Liên kết dẫn đến tên miền không phải của tổ chức được nhắc đến	Rất cao	Sự không khớp là cốt lõi của lừa đảo lấy thông tin đăng nhập
Email đòi mật khẩu, mã dùng một lần hoặc số thẻ đầy đủ	Rất cao	Dịch vụ hợp pháp không thu thập những thứ này qua email
Thông tin thanh toán bị đổi "khẩn cấp" qua email	Rất cao	Mô thức quen thuộc của lừa đảo email doanh nghiệp
Tên miền người gửi không khớp với tổ chức	Cao	Địa chỉ giả giống thật và địa chỉ email miễn phí rất phổ biến
Tệp nén, tệp HTML hoặc tài liệu macro bất ngờ	Cao	Cách thường dùng để phát tán mã độc hoặc trang đăng nhập giả
DMARC không đạt với tên miền được nhắc đến	Cao	Bằng chứng mạnh của giả mạo, dù việc đạt chẳng chứng minh được mấy
Thúc ép gấp gáp hoặc đe dọa mạnh	Trung bình	Phổ biến trong lừa đảo, nhưng cảnh báo bảo mật thật cũng có thể khẩn cấp
Lời chào chung chung	Trung bình	Chiến dịch hàng loạt dùng nó, còn chiến dịch nhắm mục tiêu thì dùng tên bạn
Lỗi chính tả và ngữ pháp	Thấp đến trung bình	Lừa đảo hiện đại thường trau chuốt, còn thư thật cũng có lỗi gõ
Logo hoặc bố cục trông lạ	Thấp	Sao chép thiết kế của một thương hiệu chỉ mất vài phút

Hãy để ý rằng phần đầu bảng nói về đích đến và yêu cầu, còn phần cuối nói về vẻ ngoài. Thay đổi tư duy hữu ích nhất là thôi hỏi "cái này trông có thật không?" và bắt đầu hỏi "nó muốn gì ở mình, và làm sao kiểm tra điều đó mà không dùng đến thư này?"

Đọc liên kết cho đúng

Nếu chỉ học một kỹ năng kỹ thuật từ bài này, hãy chọn kỹ năng này, vì chữ hiển thị của một liên kết và đích đến thật của nó hoàn toàn tách biệt. Một nút ghi "Đăng nhập vào tài khoản của bạn" có thể trỏ đến bất cứ đâu. Trên máy tính, hãy rê chuột lên liên kết mà không bấm và đọc địa chỉ hiện ở thanh trạng thái hoặc chú giải. Trên điện thoại, hãy nhấn giữ liên kết để xem trước, rồi hủy.

Đa số mọi người đọc địa chỉ web từ trái sang, và kẻ tấn công dựa vào đó. Quyền sở hữu được quyết định ở đầu bên phải của tên máy chủ: tên miền đã đăng ký cộng phần đuôi, ngay trước dấu gạch chéo đơn đầu tiên. Mọi thứ bên trái đó là tên miền phụ mà chủ sở hữu đặt thành chữ nào cũng được. Mọi thứ sau dấu gạch chéo là đường dẫn, và đó cũng có thể ghi bất cứ gì. Hãy xem bốn ví dụ sau, trong đó ví dụ thứ hai, thứ ba và thứ tư là hư cấu:

• https://accounts.google.com/signin thuộc về Google, vì tên miền là google.com.
• https://accounts.google.com.secure-login.example/signin thuộc về secure-login.example. Tên thương hiệu chỉ là một tên miền phụ.
• https://secure-login.example/accounts.google.com/ cũng thuộc về secure-login.example, với tên thương hiệu nằm trong đường dẫn.
• https://www.paypal.com@203.0.113.7/ dùng một chiêu cũ. Mọi thứ trước dấu @ bị coi là tên người dùng, và đích đến thật là địa chỉ IP phía sau.

Còn vài kiểu liên kết khác nên khiến bạn chậm lại. Trình rút gọn liên kết là điều lạ trong thư của một thương hiệu lớn, vì họ không có lý do gì giấu tên miền của chính mình. Liên kết đến công cụ tạo biểu mẫu hoặc dịch vụ chia sẻ tệp bảo bạn "đăng nhập để xem tài liệu" là chiêu được ưa chuộng, vì các trang lừa đảo thường được đặt trên những nền tảng đám mây hợp pháp. Vì thế, có tên một nơi lưu trữ đáng tin trong địa chỉ không có nghĩa trang an toàn. Câu hỏi là tên miền đó có thuộc về tổ chức mà bạn nghĩ mình đang giao dịch hay không.

Biểu tượng ổ khóa cũng không giúp theo chiều nào. HTTPS chỉ cho biết kết nối được mã hóa, và chứng chỉ miễn phí có sẵn cho mọi người, kể cả tội phạm. Một trang ngân hàng giả có ổ khóa chỉ là kết nối mã hóa đến một tên trộm.

Cũng nên dè chừng các tên miền giả giống thật bằng ký tự quốc tế. Tên miền có thể dùng ký tự của bảng chữ cái khác trông y hệt chữ Latinh, chẳng hạn chữ "а" Kirin thay cho chữ "a" Latinh. Trình duyệt thường hiển thị chúng dưới dạng mã hóa bắt đầu bằng xn--, và thấy tiền tố đó ở nơi bạn mong đợi một thương hiệu quen thuộc là dấu hiệu hữu ích.

Đọc người gửi

Ứng dụng thư hiển thị tên hiển thị bằng chữ lớn và thường ẩn địa chỉ, mà tên hiển thị là chữ tự do do người gửi chọn. Một thư hiện "Microsoft Account Team" có thể đến từ một tên miền không liên quan hoặc từ một hộp thư bị chiếm quyền ngẫu nhiên. Trên máy tính, hãy rê chuột lên hoặc bấm vào tên. Trên điện thoại, hãy chạm vào để mở rộng. Sau đó nhìn phần sau dấu @, ghi nhớ những mô thức này (các tên miền ở đây chỉ mang tính minh họa):

• Ký tự bị đánh tráo, như rn thay cho m, hoặc chữ số 1 thay cho chữ cái l.
• Thêm từ, như netflix-billing.example. Thương hiệu hiếm khi dùng biến thể có gạch nối của tên mình cho thư tài khoản.
• Phần đuôi khác, như yourbank.co ở chỗ bạn mong là yourbank.com.
• Một hộp thư miễn phí của người dùng cá nhân tự nhận là ngân hàng, văn phòng luật hoặc giám đốc điều hành của bạn.

Sau đó hãy kiểm tra địa chỉ trả lời. Một thư có thể hiện dòng From hợp lý rồi đặt Reply-To về hộp thư của kẻ tấn công, khiến câu trả lời của bạn đi nơi khác. Nhiều ứng dụng hiện đích đến khi bạn bấm Trả lời, nên hãy nhìn trước khi gửi.

Việc kiểm tra người gửi có một giới hạn rõ: nó không nói gì về các tài khoản bị chiếm đoạt. Nếu hộp thư thật của một đồng nghiệp hay nhà cung cấp đã bị kiểm soát, địa chỉ sẽ hoàn hảo. Khi đó, chính yêu cầu là tín hiệu duy nhất của bạn, dẫn đến điểm tiếp theo.

Những yêu cầu không người gửi trung thực nào đưa ra qua email

Một số yêu cầu đáng ngờ dù phần còn lại của thư trông tốt đến đâu. Mật khẩu hoặc mã PIN của bạn. Mã dùng một lần bạn vừa nhận qua SMS hoặc ứng dụng. Số thẻ đầy đủ kèm mã bảo mật. Thanh toán bằng thẻ quà tặng hoặc tiền mã hóa, hoặc chuyển khoản sang một tài khoản mới. Truy cập từ xa vào máy tính của bạn vì một sự cố bạn chưa từng báo. Tệp mật hoặc dữ liệu nhân viên gửi đến một địa chỉ bên ngoài "để kiểm toán".

Yêu cầu về mã dùng một lần đáng để hiểu rõ, vì nó nghe vô hại đến thế. Kẻ tấn công đã có mật khẩu của bạn sẽ kích hoạt một lần đăng nhập, khiến bạn nhận một mã thật từ dịch vụ thật. Rồi chúng nhắn tin cho bạn, giả làm bộ phận hỗ trợ, và nhờ bạn "xác nhận" mã đó. Bất cứ ai hỏi mã bạn vừa nhận đều đang cố đăng nhập thay bạn.

Cơ quan nhà nước cũng là vỏ bọc phổ biến. Chẳng hạn IRS ở Hoa Kỳ nói rằng họ không chủ động liên hệ người nộp thuế qua email để yêu cầu thông tin cá nhân hoặc tài chính, và nhiều cơ quan thuế ở nơi khác cũng đăng cảnh báo tương tự. Nếu bạn nghĩ khoản hoàn thuế hay khoản phạt có thể là thật, hãy tự gõ địa chỉ của cơ quan đó và đăng nhập ở đấy.

Vì sao người cẩn thận vẫn mắc bẫy

Lừa đảo nhắm vào hành vi nhiều hơn phần mềm. Những thư được dàn dựng tốt nhằm tạo phản ứng cảm xúc nhanh để bạn hành động trước rồi mới nghĩ. Sự gấp gáp là đòn bẩy hiển nhiên ("tài khoản bị đóng sau 24 giờ"), cùng với nỗi sợ ("đăng nhập bất thường", "sắp bị kiện"), và quyền uy, với giám đốc điều hành, ngân hàng hay bộ phận hỗ trợ IT là người gửi được nhắc tới. Phần thưởng và sự tò mò cũng hiệu quả, qua các khoản hoàn tiền, giải thưởng và "xem ai đã xem hồ sơ của bạn". Rồi còn lòng sẵn sàng giúp đỡ đơn thuần, như khi một đồng nghiệp cần gấp bạn xem một tệp.

Thói quen có lẽ là mạnh nhất. Một hóa đơn, thông báo giao hàng hay tài liệu chia sẻ giả trông giống hàng chục thư thật bạn xử lý mỗi tuần, và bạn kém chú ý nhất với những việc làm theo quán tính. Vì lý do đó, mục tiêu không phải là nghi ngờ mọi email, điều không ai duy trì nổi. Mục tiêu là nhận ra khoảnh khắc một thư đòi hỏi điều gì nhạy cảm, và ngay lúc đó chuyển từ phản ứng sang kiểm tra.

Các kiểu tấn công, và mỗi kiểu thay đổi điều gì

Tên gọi ít quan trọng hơn việc biết mỗi biến thể làm thay đổi những lời khuyên ở trên ra sao. Một số trong chúng vô hiệu hóa các cách kiểm tra thông thường.

Kiểu	Là gì	Điều gì thay đổi với bạn
Lừa đảo hàng loạt	Thư chung chung gửi đến danh sách khổng lồ, như hộp thư đầy hay bưu kiện bị kẹt	Loại dễ nhận ra nhất, vì hiếm khi khớp với cuộc sống của bạn
Lừa đảo nhắm mục tiêu (spear phishing)	Được may đo cho bạn, dùng tên và chi tiết từ mạng xã hội hoặc dữ liệu rò rỉ	Chi tiết cá nhân không chứng minh được gì
Whaling	Spear phishing nhắm vào lãnh đạo hoặc người nắm tiền	Chức vụ cao khiến bạn thành mục tiêu
Xâm phạm email doanh nghiệp	Giả danh hoặc chiếm quyền của lãnh đạo, nhà cung cấp hay đồng nghiệp để chuyển hướng tiền	Thường không có liên kết hay tệp đính kèm, nên công cụ quét không thấy gì
Lừa đảo nhân bản (clone phishing)	Một email thật trước đó bị sao chép và gửi lại với liên kết hoặc tệp bị thay	Nội dung quen thuộc không phải bằng chứng
Chiếm chuỗi thư	Trả lời ngay trong một cuộc trao đổi thật từ hộp thư bị chiếm quyền	Kiểm tra người gửi vẫn đạt
Quishing	Mã QR thay cho liên kết	Chuyển bạn sang điện thoại, xa các lớp bảo vệ trên máy tính và công cụ quét liên kết
Lừa đảo xin quyền (consent phishing)	Một ứng dụng độc hại xin quyền truy cập trên màn hình "Cho phép" thật	Không mật khẩu nào bị đánh cắp, và trang đăng nhập là thật
Lừa đảo gọi lại (callback phishing)	Hóa đơn hoặc thông báo gia hạn giả đưa ra số điện thoại để gọi	Không có gì để bấm, và vụ lừa diễn ra trong cuộc gọi
Lừa đảo mã thiết bị	Bạn được yêu cầu nhập một mã trên trang đăng nhập thật, qua đó cấp quyền cho thiết bị của kẻ tấn công	Kiểm tra tên miền vẫn đạt, nên yêu cầu bất ngờ mới là manh mối

Ba kiểu cuối đáng có một câu khuyên thực tế. Hãy đọc danh sách quyền trên mọi màn hình "Cho phép truy cập", và từ chối nếu một ứng dụng lạ muốn đọc thư của bạn. Đừng bao giờ gọi số in trên một hóa đơn bất ngờ. Và đừng bao giờ nhập mã vào trang đăng nhập chỉ vì ai đó trong email hay cuộc trò chuyện bảo bạn làm vậy, trừ khi chính bạn bắt đầu quy trình đó trên một thiết bị ngay trước mặt.

Thư mẫu có chú thích

Tất cả những thư dưới đây là ví dụ tự dựng dựa trên các mô thức được ghi nhận rộng rãi. Tên và tên miền là hư cấu.

Ví dụ: tài liệu được chia sẻ

Chỉ là ví dụ
Từ: "Jordan (qua Docs)" <jordan.m@partnerfirm-mail.example>
Tiêu đề: Jordan đã chia sẻ "Lịch thanh toán Quý 3" với bạn

Mở trong Docs

Thư này bắt chước thông báo chia sẻ, nhưng người gửi là một địa chỉ bên ngoài bạn không biết, và nút dẫn đến một trang đòi mật khẩu email của bạn, thường kèm một hàng logo nhà cung cấp. Thông báo thật đến từ tên miền riêng của nền tảng và mở trong phiên bạn đã đăng nhập sẵn. Nếu bạn quen một người tên Jordan, hãy hỏi họ. Dù thế nào, đừng gõ mật khẩu vào một trang bạn vào từ email "tệp được chia sẻ".

Ví dụ: tài khoản ngân hàng mới của nhà cung cấp

Chỉ là ví dụ
Từ: "Accounts Receivable" <ar@supplier-co.example>
Tiêu đề: RE: Hóa đơn 4471

Xin lưu ý thông tin ngân hàng của chúng tôi đã thay đổi do kiểm toán. Vui lòng dùng thông tin tài khoản mới trong tệp đính kèm cho khoản thanh toán này và các khoản sau. Khoản thanh toán đã quá hạn nên vui lòng xử lý ngay hôm nay.

Có thể không có liên kết nào ở đây, và thư có thể đến từ hộp thư thật bị chiếm quyền của nhà cung cấp, ngay trong một chuỗi thư thật. Mọi kiểm tra kỹ thuật đều có thể đạt. Dấu hiệu đỏ là yêu cầu: đổi thông tin thanh toán qua email, kèm sự gấp gáp. Hãy gọi nhà cung cấp theo số bạn đã có trong hồ sơ, không phải số trong email hay chữ ký, trước khi trả bất cứ gì. Nếu tiền đã đi, hãy gọi ngân hàng ngay và hỏi về việc thu hồi khoản thanh toán, và ở Hoa Kỳ hãy báo tại ic3.gov.

Ví dụ: phí bưu kiện

Chỉ là ví dụ
Tiêu đề: Bưu kiện của bạn đang bị giữ: chưa nộp phí hải quan

Chúng tôi đã cố giao gói hàng của bạn. Cần một khoản phí nhỏ để đặt lại lịch giao. Hãy thanh toán ngay để tránh bị trả về người gửi.

Số tiền nhỏ làm bạn giảm cảnh giác, và mục tiêu là toàn bộ thông tin thẻ của bạn, sau đó được dùng cho vụ gian lận lớn hơn. Hãy theo dõi đơn giao bằng mã trên trang đơn hàng của nhà bán lẻ hoặc ứng dụng chính thức của đơn vị vận chuyển.

Ví dụ: lãnh đạo đang "bận họp"

Chỉ là ví dụ
Từ: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Tiêu đề: nhờ chút việc

Bạn rảnh không? Tôi cần bạn xử lý kín đáo một việc cho khách hàng. Tôi đang họp nên chỉ liên lạc qua email.

Hộp thư cá nhân, yêu cầu giữ bí mật và "chỉ qua email" hợp lại thành mô thức này, và bước tiếp theo thường là đòi mã thẻ quà tặng hoặc một khoản chuyển tiền. Bản thân thư không có gì để quét. Hãy liên hệ lãnh đạo qua danh bạ công ty, trò chuyện nội bộ hoặc điện thoại, và báo cho bộ phận IT.

Ví dụ: mã QR

Chỉ là ví dụ
Tiêu đề: Cần cập nhật xác thực đa yếu tố

Thiết lập MFA của bạn hết hạn hôm nay. Hãy quét mã QR bên dưới bằng điện thoại để đăng ký lại.

Thiết lập đa yếu tố không hết hạn qua email. Mã QR đưa bạn sang điện thoại, nơi địa chỉ khó kiểm tra hơn và các lớp bảo vệ của công ty có thể không áp dụng. Đừng quét nó. Hãy hỏi bộ phận IT, hoặc tự vào xem phần cài đặt bảo mật của tài khoản.

Ví dụ: hoàn thuế

Chỉ là ví dụ
Tiêu đề: Bạn đủ điều kiện nhận hoàn thuế

Sau khi tính toán hằng năm về hoạt động của bạn, bạn đủ điều kiện nhận một khoản hoàn thuế. Hãy nộp biểu mẫu trong vòng 48 giờ.

Một món quà bất ngờ cộng với biểu mẫu đòi thông tin cá nhân và thẻ. Hãy vào cổng thông tin chính thức của chính phủ bằng cách gõ địa chỉ, hoặc gọi số điện thoại mà cơ quan đó đã công bố.

Ví dụ: cảnh báo tài khoản đúng một phần

Chỉ là ví dụ
Từ: "Account Security" <no-reply@secure-acct-center.example>
Tiêu đề: Cần hành động: hoạt động đăng nhập bất thường

Chúng tôi phát hiện một lần thử đăng nhập từ thiết bị mới. Để giữ tài khoản hoạt động, hãy xác minh danh tính trong vòng 24 giờ. [Xác minh ngay]

Dịch vụ thật có gửi cảnh báo đăng nhập, nên loại này cần cẩn thận hơn các loại còn lại. Ở đây tên miền chung chung và thư thậm chí không nêu tên dịch vụ. Đừng suy luận về nó từ bên trong email. Hãy mở ứng dụng của dịch vụ hoặc gõ địa chỉ của nó, rồi xem trang hoạt động gần đây. Nếu ở đó không liệt kê gì, email là giả. Thói quen này cũng đúng với cảnh báo thật, vì chúng cũng sẽ hiện ở đó.

Kiểm tra tiêu đề thư khi bạn không chắc

Tiêu đề thư chứa bằng chứng kỹ thuật về nguồn gốc của thư. Trong Gmail, mở menu ba chấm và chọn Hiển thị thư gốc, nơi cũng có một bản tóm tắt ngắn ở đầu. Trong Outlook trên web, dùng Xem, Xem nguồn thư. Trong Apple Mail, dùng Xem, Thư, Tất cả tiêu đề.

Ba tiêu chuẩn đứng sau các kết quả bạn sẽ thấy. SPF cho phép một tên miền công bố những máy chủ nào được gửi thư của nó, và bên nhận kiểm tra máy chủ gửi với danh sách đó. DKIM thêm một chữ ký mã hóa, được kiểm tra bằng khóa công khai trong DNS của tên miền ký, cho thấy những phần được ký không bị thay đổi và tên miền đã nhận trách nhiệm. DMARC gắn các kiểm tra này với tên miền trong dòng From hiển thị, một thuộc tính gọi là alignment (khớp tên miền), và cho bên nhận biết phải làm gì khi không đạt: không làm gì, cách ly hoặc từ chối. Từ năm 2024, Google và Yahoo yêu cầu người gửi hàng loạt công bố bản ghi DMARC, nên những kết quả này phổ biến hơn.

Hãy tìm dòng bắt đầu bằng Authentication-Results:. Nó có thể trông như sau, trong một ví dụ hư cấu:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Ở đây mọi kiểm tra đều đạt và tất cả tên miền khớp nhau. Một thư giả mạo có thể hiện dmarc=fail, hoặc đạt với một tên miền hoàn toàn khác với tên miền ở dòng From. Bảng này giải thích cách diễn giải những gì bạn tìm thấy.

Kết quả	Nghĩa là gì	Không có nghĩa là gì
DMARC đạt với tên miền thật của thương hiệu	Do tên miền đó gửi hoặc gửi thay	Không loại trừ được một tài khoản bị chiếm tại công ty đó
DMARC đạt với một tên miền giả giống thật	Kẻ tấn công sở hữu tên miền đó và cấu hình đúng	Thư không an toàn, và điều này phổ biến trong lừa đảo
DMARC không đạt với tên miền của thương hiệu	Dấu hiệu mạnh của giả mạo, hoặc việc chuyển tiếp đã làm hỏng kiểm tra	Danh sách thư và chuyển tiếp đôi khi làm hỏng thư thật
Không có bản ghi DMARC	Tên miền chưa công bố chính sách nào	Riêng nó không chứng minh gì, nhưng giả mạo tên miền đó dễ hơn

Bài học là xác thực cho biết ai đã gửi thư, còn trung thực lại là chuyện khác. Một email có kết quả hoàn hảo từ bank-resolution-center.example vẫn là lừa đảo. Phép kiểm tra kết hợp bạn cần là tên miền đã xác thực chính là tổ chức mà bạn nghĩ.

Các dòng Received: ghi lại từng máy chủ trên đường đi, với dòng mới nhất ở trên cùng. Chúng có thể cho thấy một email "ngân hàng địa phương" bắt đầu từ một máy chủ không liên quan, nhưng mọi thứ bên dưới điểm nhà cung cấp của bạn nhận thư đều có thể bị giả mạo, nên chỉ tin những dòng do máy chủ của nhà cung cấp bạn thêm vào. Với đa số mọi người, dòng xác thực và việc kiểm tra tên miền là đủ.

Tệp đính kèm và hình ảnh trong email lừa đảo

Tệp đính kèm phát tán mã độc hoặc dẫn đến trang đăng nhập giả. Những định dạng cần thận trọng nhất là tệp nén và ảnh đĩa như .zip, .rar, .7z, .iso và .img, tệp HTML mở một trang đăng nhập giả trên máy, tài liệu Office yêu cầu bạn "Bật nội dung" hoặc "Bật chỉnh sửa", đuôi kép như invoice.pdf.exe, tập lệnh và lối tắt như .js, .vbs, .lnk và .bat, và tệp PDF chỉ chứa một nút hoặc mã QR. Hướng dẫn an toàn tệp đính kèm của chúng tôi giải thích cách đánh giá từng loại và cách mở một tệp đáng ngờ với ít rủi ro hơn.

Hình ảnh thì âm thầm hơn. Một hình ảnh từ xa có thể báo cho người gửi biết địa chỉ của bạn còn hoạt động, và đó là cách các danh sách địa chỉ "đã xác minh" được xây dựng. Chúng tôi giải thích cơ chế này, cùng những cài đặt ngăn nó, trong bài về điểm ảnh theo dõi trong email. Đó là một lý do nhỏ để đặt ứng dụng thư hỏi trước khi hiển thị hình ảnh bên ngoài.

Cẩn thận hơn trên điện thoại

Điện thoại làm tất cả những điều này khó hơn. Màn hình nhỏ, địa chỉ bị ẩn theo mặc định, và xem trước liên kết cần nhấn giữ. Vài thói quen bù đắp được điều đó. Chạm vào tên người gửi để hiện địa chỉ trước khi tin một thư. Nhấn giữ liên kết thay vì chạm. Với ngân hàng, cửa hàng và mạng xã hội, hãy mở ứng dụng chính thức thay vì theo bất cứ gì trong email. Hãy đặc biệt nghi ngờ mã QR trong email, vì bạn quét chúng bằng chính thiết bị đang dùng để đọc. Nếu camera hiện bản xem trước địa chỉ trước khi mở, hãy đọc nó như cách bạn đọc bất kỳ liên kết nào.

Những chiêu tương tự cũng đến qua SMS và ứng dụng nhắn tin, thường gọi là smishing, và một cuộc gọi điện thoại có thể theo sau email để tăng độ thuyết phục, gọi là vishing. Người gọi nhắc đến email bạn vừa nhận chưa xác nhận được gì, vì có thể chính họ đã gửi nó. Hãy cúp máy và gọi số bạn đã có.

Làm gì với một thư đáng ngờ

1. Đừng bấm, tải xuống, quét mã hay trả lời. Trả lời để hỏi "cái này có thật không?" sẽ đến tay kẻ tấn công, và hắn sẽ nói có.
2. Kiểm tra địa chỉ người gửi và đích đến của liên kết như đã mô tả ở trên.
3. Xác minh độc lập. Mở ứng dụng chính thức hoặc gõ địa chỉ. Gọi số ở mặt sau thẻ của bạn, trên một hóa đơn bạn đã có hoặc trong danh bạ công ty.
4. Báo cho nhà cung cấp của bạn. Trong Gmail, menu ba chấm có Báo cáo lừa đảo. Trong Outlook, tìm dưới Báo cáo mục Báo cáo lừa đảo. Ở nơi làm việc, hãy dùng nút báo cáo hoặc làm theo hướng dẫn của đội bảo mật, và đừng chuyển tiếp thư cho đồng nghiệp để hỏi, vì làm vậy lan truyền mồi nhử.
5. Báo cho tổ chức bị giả danh nếu họ công bố địa chỉ nhận thư lừa đảo trên trang bảo mật. Chẳng hạn Apple dùng reportphishing@apple.com.
6. Dùng dịch vụ báo cáo công cộng nếu có. Ở Anh, Trung tâm An ninh mạng Quốc gia nhận email chuyển tiếp tại report@phishing.gov.uk. Ở Hoa Kỳ, FTC nhận báo cáo tại reportfraud.ftc.gov. Anti-Phishing Working Group nhận thư chuyển tiếp tại reportphishing@apwg.org. Các nước khác có dịch vụ tương tự, thường qua cơ quan bảo vệ người tiêu dùng hoặc chống tội phạm mạng.
7. Xóa thư sau khi đã báo cáo.

Nếu bạn đã lỡ bấm

Bấm nhầm là chuyện thường và thường khắc phục được. Đừng để ngại ngùng làm chậm trễ, vì tốc độ giúp nhiều hơn bất cứ thứ gì ở đây. Hãy tìm trường hợp bên dưới khớp với những gì đã xảy ra.

Bạn đã bấm nhưng không nhập gì

Đóng tab và đừng tải bất cứ thứ gì trang đó đưa ra. Đảm bảo trình duyệt và hệ thống đã được cập nhật, và chạy quét bảo mật nếu có gì tự tải xuống. Hãy chờ đón thêm thư, vì cú bấm có thể đã xác nhận rằng địa chỉ của bạn có người đọc. Trong đa số trường hợp, chuyện chỉ dừng ở đó.

Bạn đã nhập mật khẩu

1. Vào trang thật bằng cách gõ địa chỉ, và đổi mật khẩu ngay.
2. Đổi ở mọi nơi khác bạn dùng mật khẩu giống hoặc tương tự. Nếu mật khẩu bị đánh cắp là của email, hãy coi đây là việc khẩn cấp, vì email đặt lại được mọi thứ khác.
3. Đăng xuất khỏi các phiên khác. Trong tài khoản Google, bạn có thể xem Thiết bị của bạn trên trang bảo mật và đăng xuất khỏi bất kỳ thiết bị nào bạn không nhận ra, và chi tiết Hoạt động gần đây của tài khoản ở cuối hộp thư đến Gmail cho thấy các lần truy cập gần đây. Các dịch vụ khác có tùy chọn tương tự.
4. Bật xác thực hai yếu tố, tốt nhất là bằng passkey, khóa bảo mật hoặc ứng dụng xác thực.
5. Tìm những thay đổi kẻ tấn công có thể đã làm: email và số điện thoại khôi phục, quy tắc chuyển tiếp và bộ lọc, ứng dụng đã kết nối, thiết bị lạ.
6. Với tài khoản công việc, hãy báo cho IT ngay lập tức. Kẻ tấn công thường dùng một hộp thư bị chiếm để lừa đảo đồng nghiệp của bạn trong vòng vài giờ.

Hướng dẫn cần làm gì sau khi bị rò rỉ dữ liệu của chúng tôi nói sâu hơn về việc dọn dẹp mật khẩu, vì các bước chồng lên nhau.

Bạn đã nhập một mã hoặc chấp thuận một yêu cầu

Hãy giả định kẻ tấn công có thể đang giữ một phiên đang hoạt động. Đổi mật khẩu, đăng xuất mọi phiên, xem lại cài đặt bảo mật, và báo cho IT nếu là tài khoản công việc. Các bộ công cụ "kẻ đứng giữa" (adversary-in-the-middle) hiện đại chuyển thông tin đăng nhập của bạn sang trang thật khi bạn gõ và lấy cookie phiên sinh ra. Đó là lý do mã dùng một lần một mình không ngăn được chúng.

Bạn đã nhập thông tin thanh toán

Hãy gọi ngay cho ngân hàng hoặc đơn vị phát hành thẻ, dùng số trên thẻ của bạn. Yêu cầu họ khóa thẻ và theo dõi gian lận, và kiểm tra sao kê trong những tuần tới. Nếu bạn cũng đã nhập thông tin danh tính, hãy xem nước bạn cung cấp những gì. Ở Hoa Kỳ, IdentityTheft.gov đưa ra một kế hoạch khôi phục, và các văn phòng tín dụng cho phép đóng băng tín dụng.

Bạn đã mở tệp đính kèm hoặc bật macro

Hãy ngắt thiết bị khỏi mạng nếu bạn nghi có mã độc, chạy quét toàn bộ, và ở nơi làm việc hãy liên hệ IT trước khi làm bất cứ gì khác. Đổi các mật khẩu quan trọng từ một thiết bị khác, sạch.

Bạn đã cấp quyền cho một ứng dụng

Vào cài đặt bảo mật của tài khoản, tìm danh sách ứng dụng bên thứ ba có quyền truy cập, và gỡ ứng dụng lạ. Đổi mật khẩu một mình có thể không cắt được quyền của một ứng dụng đã được cấp truy cập, nên việc gỡ phải làm trước. Sau đó đổi mật khẩu để đề phòng và kiểm tra các quy tắc trong hộp thư.

Thiết lập để một sai sót tốn kém ít hơn

Bạn sẽ không bắt được mọi thứ mọi lúc, nhất là vào một ngày tồi tệ. Các thiết lập mặc định tốt khiến một lần lỡ tay gây ít thiệt hại hơn, và một số còn làm giúp một phần việc nhận diện.

Mạnh nhất trong số này là passkey và khóa bảo mật phần cứng. CISA, cơ quan an ninh mạng của Hoa Kỳ, mô tả xác thực đa yếu tố chống lừa đảo là tiêu chuẩn vàng, và gọi tên FIDO và WebAuthn là dạng phổ biến sẵn có của nó. Các thông tin xác thực đó gắn với tên miền thật, nên đơn giản là chúng không hoạt động trên trang giả, kể cả một bản sao hoàn hảo. Ứng dụng xác thực chặn được phần lớn các cuộc tấn công chỉ dựa vào mật khẩu nhưng yếu hơn trước việc chuyển tiếp trực tiếp, nên là một bước tốt chứ không phải bước cuối. Nếu ngân hàng hoặc nhà cung cấp email của bạn có passkey, bật nó có lẽ là việc giá trị nhất bạn có thể làm sau khi đọc bài này.

Trình quản lý mật khẩu cho bạn lớp kiểm tra thứ hai, lặng lẽ hơn. Nó lưu tên miền chính xác cho từng mật khẩu. Khi bạn vào một trang giả giống thật mà nó không đề xuất đăng nhập đã lưu, sự im lặng đó là lời cảnh báo, và nó bắt được cả những trang giống hệt từng điểm ảnh. Đừng vượt qua nó bằng cách sao chép và dán mật khẩu. Có một lưu ý nhỏ: trình quản lý mật khẩu đôi khi không nhận ra một trang thật đã đổi tên miền đăng nhập. Vì vậy sự im lặng có nghĩa là "dừng lại và vào trang bằng cách gõ địa chỉ", chứ không phải "chắc chắn là giả".

Biện pháp bảo vệ	Tác dụng	Công sức
Passkey hoặc khóa phần cứng	Chặn lừa đảo lấy thông tin đăng nhập và chuyển tiếp trực tiếp, vì thông tin xác thực gắn với tên miền thật	Thấp đến trung bình
Trình quản lý mật khẩu có tự điền	Từ chối điền trên tên miền giả và ngăn dùng lại mật khẩu	Thấp sau khi thiết lập
Ứng dụng xác thực	Chặn phần lớn các cuộc tấn công chỉ dựa vào mật khẩu	Thấp
Bảo vệ của trình duyệt	Safe Browsing của Chrome và SmartScreen của Edge cảnh báo nhiều trang xấu đã biết	Thường đã bật sẵn
Cập nhật phần mềm	Vá các lỗ hổng mà tệp và trang độc hại lợi dụng	Thấp
Hiện phần mở rộng của tệp	Phơi bày chiêu đuôi kép	Một cài đặt
Hỏi trước khi tải hình ảnh từ xa	Ngăn nhiều điểm ảnh xác nhận địa chỉ của bạn	Một cài đặt
Quy tắc gọi lại bằng văn bản cho việc đổi thanh toán	Chặn phần lớn gian lận hóa đơn, dù email trông thế nào	Thay đổi quy trình
Hạn chế nơi địa chỉ thật của bạn đi đến	Ít danh sách và vụ rò rỉ chứa nó hơn	Một thói quen

Với doanh nghiệp, quy tắc gọi lại là điều nên viết ra. Hướng dẫn của FBI về xâm phạm email và lời khuyên của ngành ngân hàng đồng ý về điểm cốt yếu: xác nhận mọi thay đổi hướng dẫn thanh toán ở ngoài email, dùng số bạn đã có. Nó hiệu quả vì không dựa vào việc ai đó phát hiện ra điều gì, và nó cho nhân viên mới một lý do để nói "tôi phải gọi trước đã" với người có vẻ là sếp của họ.

Giữ địa chỉ chính của bạn khỏi các danh sách

Kẻ lừa đảo gửi đến những địa chỉ chúng đã mua, thu thập hoặc lấy từ dữ liệu rò rỉ. Mỗi lần bạn đưa địa chỉ thật cho một trang kém tin cậy, đều có khả năng nó rơi vào một trong các danh sách đó. Dùng một địa chỉ riêng cho các lần đăng ký một lần làm giảm số lần hộp thư chính của bạn bị nhắm tới, và còn khiến những thư còn lại dễ đánh giá hơn, vì một thư về ngân hàng đến địa chỉ bạn chỉ đưa cho ngân hàng mang nhiều ý nghĩa hơn.

Hộp thư tạm thời là một lựa chọn cho tầng thấp nhất, khi điều khoản của trang cho phép. Với VookMail, một địa chỉ sẵn sàng ngay khi trang tải xong, không cần đăng ký hay mật khẩu. Bạn có thể bấm Mới để gõ tên người dùng và chọn trong hơn 30 tên miền, hoặc bấm nút Ngẫu nhiên màu vàng để có địa chỉ ngẫu nhiên, đây là lựa chọn an toàn hơn vì ai biết hoặc đoán được một địa chỉ đều mở được hộp thư đó. Thư và tệp đính kèm bị xóa sau khoảng một ngày, nên nếu địa chỉ sau này nhận được thư lừa đảo, nó rơi vào một nơi không liên quan đến ngân hàng, công việc và các tài khoản chính của bạn.

Cách này hợp với việc tải một tài liệu, một câu hỏi diễn đàn đơn lẻ hoặc kiểm thử biểu mẫu do bạn sở hữu. Nó không hợp với các tài khoản bạn cần giữ hoặc khôi phục, và tuyệt đối không dùng cho tài khoản ngân hàng, chính phủ, y tế, công việc hay mạng xã hội chính. Câu hỏi thường gặp nói về cách sử dụng phù hợp, và chính sách quyền riêng tư giải thích cách xử lý thư đến.

Những dấu hiệu đỏ áp dụng ở mọi hộp thư, kể cả hộp thư dùng một lần. Thực ra, địa chỉ tạm thời còn cho một phép thử tiện lợi: nếu một thư ở đó yêu cầu bạn đăng nhập vào tài khoản ngân hàng hay email thật của mình, gần như chắc chắn đó là lừa đảo, vì bạn chưa bao giờ đưa địa chỉ này cho các dịch vụ đó.

Những niềm tin sai có lợi cho kẻ tấn công

• "Nó có ổ khóa." Điều đó nghĩa là được mã hóa, không phải trung thực.
• "Logo và tên đều đúng." Cả hai đều được sao chép dễ dàng.
• "Ngữ pháp hoàn hảo." Nhiều chiến dịch giờ được viết tốt.
• "Tôi sẽ gọi số trong email." Số đó có thể nối thẳng đến kẻ tấn công.
• "Nó đến từ địa chỉ thật của đồng nghiệp tôi." Tài khoản có thể bị chiếm, nên yêu cầu vẫn cần được kiểm tra.
• "Tôi đã bấm, nhưng báo IT thì ngại lắm." Im lặng cho kẻ tấn công thêm thời gian, và thường là lựa chọn tốn kém nhất.
• "Tôi chẳng có gì đáng để đánh cắp." Hộp thư của bạn có thể đặt lại các tài khoản khác và dùng để lừa đảo danh bạ của bạn.

Danh sách kiểm tra cho thư trước mặt bạn

Khi một email yêu cầu bạn làm gì đó, những câu hỏi này mất chưa đến một phút. Nếu câu trả lời nào làm bạn lo, hãy dừng lại và xác minh qua đường khác.

1. Tôi có đang mong chờ thư này không?
2. Địa chỉ người gửi thật có thuộc về tổ chức mà nó tự nhận không?
3. Các liên kết thật sự dẫn đến đâu, khi đọc tên miền từ bên phải?
4. Nó có đòi mật khẩu, mã, thanh toán hoặc tệp không?
5. Nó có thúc ép bằng sự gấp gáp, nỗi sợ, bí mật hay phần thưởng không?
6. Có tệp đính kèm, mã QR hoặc yêu cầu "bật nội dung" nào bất ngờ không?
7. Trình quản lý mật khẩu của tôi có nhận ra trang đăng nhập không?
8. Tôi có thể kiểm tra việc này bằng cách mở ứng dụng hoặc gọi một số đã biết không?

Câu hỏi thường gặp về email lừa đảo

Tôi có thể bị hack chỉ vì mở một email lừa đảo không?

Với ứng dụng thư đã cập nhật, mở một thư nhìn chung ít rủi ro. Nguy hiểm đến từ việc bấm liên kết, nhập thông tin đăng nhập, mở tệp đính kèm, bật macro hoặc trả lời bằng thông tin. Việc mở thư có thể xác nhận địa chỉ của bạn còn hoạt động nếu hình ảnh được tải, đó là một lý do để chặn hình ảnh từ xa.

Tại sao email lừa đảo vượt qua được bộ lọc thư rác?

Kẻ tấn công đăng ký tên miền mới, gửi từ các tài khoản hợp pháp bị chiếm quyền, đặt trang trên các dịch vụ đám mây đáng tin và liên tục đổi cách diễn đạt. Một số thư lừa đảo thậm chí vượt qua SPF, DKIM và DMARC vì chúng đến từ một tên miền mà kẻ tấn công thật sự kiểm soát.

Email lừa đảo có luôn đầy lỗi không?

Không. Nhiều thư được viết tốt và trông giống hệt email thật của thương hiệu. Hãy dồn sự chú ý vào các tín hiệu kỹ thuật và vào điều đang bị yêu cầu.

Một công ty thật gửi tôi liên kết yêu cầu đăng nhập. Đó luôn là lừa đảo sao?

Không. Công ty có gửi liên kết hợp pháp, và việc đăng nhập có thể là thật. Thói quen an toàn đúng với cả hai trường hợp: rời khỏi email, tự mở dịch vụ và xem có gì cần bạn chú ý không. Bạn mất nhiều nhất vài giây.

Địa chỉ dùng một lần có bảo vệ tôi khỏi lừa đảo không?

Nó giảm mức độ phơi nhiễm. Thư lừa đảo nhắm vào địa chỉ đó rơi vào một hộp thư không liên quan đến các tài khoản thật của bạn và bị xóa sau khoảng một ngày. Nó không giúp gì cho thư đến hộp thư chính, nên các kiểm tra ở trên vẫn áp dụng ở đó.