"Tài khoản của bạn sẽ bị khóa trong 24 giờ, vui lòng xác minh ngay tại đường link sau." Có lẽ ai trong chúng ta cũng từng nhận được một tin nhắn tương tự. Phishing – hình thức giả mạo một tổ chức đáng tin để lừa người dùng tiết lộ mật khẩu, mã OTP hay chuyển tiền – vẫn là một trong những con đường tấn công phổ biến nhất, nhắm vào cả cá nhân lẫn doanh nghiệp. Điều đáng lo là các tin nhắn lừa đảo ngày nay được viết rất trơn tru, không còn lỗi chính tả ngớ ngẩn như trước. Bài viết này giúp bạn nhận diện các dấu hiệu quan trọng và biết phải làm gì khi nghi ngờ.

Phishing xuất hiện ở những đâu?

  • Email: giả mạo ngân hàng, dịch vụ giao hàng, nhà cung cấp phần mềm, hoặc chính phòng kế toán, ban giám đốc công ty bạn.
  • SMS (smishing): tin nhắn thông báo trúng thưởng, phạt nguội, hoàn tiền, kèm đường link rút gọn.
  • Ứng dụng nhắn tin và mạng xã hội: tài khoản của người quen bị chiếm rồi nhắn hỏi vay tiền hoặc gửi link "bình chọn".
  • Cuộc gọi (vishing): giả danh cơ quan chức năng, nhân viên ngân hàng yêu cầu đọc mã OTP.
  • Mã QR: dán đè lên mã thật hoặc gửi trong email để dẫn tới trang giả.

8 dấu hiệu cảnh báo cần nhớ

  1. Tạo cảm giác gấp gáp hoặc đe dọa: "khóa tài khoản", "xử phạt", "hết hạn hôm nay". Kẻ gian muốn bạn hành động trước khi kịp suy nghĩ.
  2. Yêu cầu thông tin nhạy cảm: mật khẩu, mã OTP, số thẻ, ảnh giấy tờ tùy thân. Ngân hàng và tổ chức uy tín không yêu cầu bạn cung cấp OTP qua tin nhắn hay điện thoại.
  3. Địa chỉ người gửi hoặc tên miền sai lệch tinh vi: thay chữ m bằng rn, thêm dấu gạch nối, dùng đuôi tên miền lạ. Hãy xem địa chỉ email đầy đủ, không chỉ tên hiển thị.
  4. Đường link không khớp: trên máy tính, rê chuột lên link để xem địa chỉ thật trước khi nhấp. Trên điện thoại, nhấn giữ để xem trước. Đặc biệt cảnh giác với link rút gọn từ nguồn lạ.
  5. Lời chào chung chung: "Kính gửi quý khách" thay vì tên của bạn, trong khi dịch vụ thật thường biết rõ bạn là ai.
  6. Ưu đãi quá hời: quà tặng, hoàn tiền, trúng thưởng từ chương trình bạn chưa từng tham gia.
  7. File đính kèm bất ngờ: hóa đơn, "biên bản", file nén hoặc file văn bản yêu cầu bật macro.
  8. Thay đổi quy trình bất thường: "sếp" nhắn qua kênh lạ yêu cầu chuyển khoản gấp, hoặc đối tác báo đổi số tài khoản nhận tiền.
Đừng dựa vào lỗi chính tả để phát hiện lừa đảo. Nhiều tin nhắn phishing hiện nay được soạn rất chuyên nghiệp, thậm chí có sự hỗ trợ của công cụ AI.

Kỹ thuật kiểm tra nhanh trong 30 giây

  • Dừng lại: không nhấp link, không mở file, không trả lời ngay.
  • Kiểm tra qua kênh độc lập: tự mở ứng dụng ngân hàng hoặc gõ trực tiếp địa chỉ trang web chính thức, thay vì dùng link trong tin nhắn. Nếu "người quen" hỏi vay tiền, hãy gọi điện trực tiếp cho họ qua số bạn đã lưu.
  • Quan sát trình quản lý mật khẩu: nếu trình quản lý không tự đề xuất điền mật khẩu trên một trang trông giống trang quen thuộc, rất có thể tên miền đã bị làm giả.
  • Hỏi đồng nghiệp hoặc bộ phận IT: một câu hỏi mất vài phút còn hơn mất cả tài khoản.

Lừa đảo nhắm vào doanh nghiệp

Trong môi trường công ty, kẻ gian thường nhắm vào những người có quyền chuyển tiền hoặc truy cập hệ thống:

  • Giả mạo lãnh đạo (BEC): email trông như từ giám đốc, yêu cầu kế toán chuyển khoản gấp và "giữ bí mật".
  • Giả mạo nhà cung cấp: thông báo đổi tài khoản ngân hàng nhận thanh toán.
  • Trang đăng nhập giả của dịch vụ văn phòng: giả giao diện email công ty để thu thập mật khẩu.

Biện pháp phòng ngừa hiệu quả là quy trình: mọi yêu cầu chuyển tiền hoặc đổi thông tin thanh toán đều phải được xác minh qua một kênh thứ hai đã biết trước, bất kể người yêu cầu là ai.

Lỡ nhấp vào link hoặc nhập thông tin thì làm gì?

  1. Đổi mật khẩu ngay tài khoản liên quan, và mọi tài khoản dùng chung mật khẩu đó, từ một thiết bị bạn tin tưởng.
  2. Liên hệ ngân hàng qua số tổng đài chính thức nếu đã cung cấp thông tin thẻ hoặc OTP, yêu cầu khóa giao dịch.
  3. Đăng xuất các phiên đăng nhập lạ và kiểm tra cài đặt chuyển tiếp email, quy tắc hộp thư bất thường.
  4. Báo cho bộ phận IT nếu đó là tài khoản hoặc thiết bị công việc, càng sớm càng tốt.
  5. Quét mã độc nếu bạn đã mở file đính kèm.
  6. Báo cáo tin nhắn lừa đảo qua tính năng báo cáo spam/phishing của dịch vụ email hoặc kênh tiếp nhận của cơ quan chức năng để cảnh báo người khác.

Lớp bảo vệ kỹ thuật nên có

  • Bật xác thực 2 lớp, ưu tiên passkey hoặc khóa bảo mật vì chúng chống được trang giả mạo.
  • Dùng trình quản lý mật khẩu để mỗi tài khoản có mật khẩu riêng.
  • Luôn cập nhật hệ điều hành, trình duyệt và ứng dụng email.
  • Với doanh nghiệp: cấu hình SPF, DKIM, DMARC cho tên miền email và tổ chức đào tạo nhận thức định kỳ cho nhân viên.

Kết luận

Phishing đánh vào tâm lý hơn là vào kỹ thuật: sự vội vàng, nỗi sợ và lòng tham. Thói quen quan trọng nhất là dừng lại vài giây, kiểm tra qua một kênh độc lập trước khi nhấp link hay cung cấp thông tin. Kết hợp thói quen đó với xác thực 2 lớp và trình quản lý mật khẩu, bạn đã khiến kẻ gian khó khăn hơn rất nhiều.

Nguồn tham khảo