Những dấu hiệu cảnh báo một email chứa phần mềm độc hại

Một email chứa phần mềm độc hại thường có các dấu hiệu: người gửi không khớp với tổ chức họ tự xưng, nội dung tạo áp lực phải mở ngay (hóa đơn quá hạn, giấy triệu tập, thông báo giao hàng), tệp đính kèm dạng nén có mật khẩu, tệp có đuôi lạ hoặc đuôi kép, tài liệu yêu cầu "bật nội dung" (Enable Content) hoặc "bật macro" để xem, và link tải tài liệu từ dịch vụ chia sẻ tệp. Khi nghi ngờ, đừng mở tệp; hãy xác minh với người gửi qua kênh khác.

Bài này tập trung vào email phát tán mã độc qua tệp đính kèm và link tải tệp. Kiểu email đánh cắp mật khẩu qua trang đăng nhập giả được phân tích riêng trong bài nhận diện email giả mạo Phishing.

Vì sao email vẫn là con đường lây mã độc hàng đầu

Email đến thẳng tay người dùng, có thể giả danh bất kỳ ai, và chỉ cần một cú nhấp đúp để mã độc chạy. Với doanh nghiệp, email đính kèm là điểm khởi đầu của nhiều vụ mã độc tống tiền: một nhân viên kế toán mở "hóa đơn", máy bị nhiễm, sau đó mã độc lan ra mạng nội bộ. Với cá nhân, email giả mạo cơ quan thuế, ngân hàng, đơn vị vận chuyển là kịch bản quen thuộc.

Dấu hiệu từ người gửi

• Tên hiển thị khác địa chỉ thật: tên "Phòng Kế toán" nhưng địa chỉ là một hộp thư miễn phí lạ.
• Tên miền na ná: thay một ký tự, thêm gạch nối so với tên miền thật của đối tác.
• Trả lời vào chuỗi thư cũ: kẻ gian chiếm hộp thư của đối tác rồi trả lời vào chuỗi thư đang trao đổi, kèm tệp độc. Nội dung thường chung chung, không khớp mạch câu chuyện.
• Trường Reply-To khác người gửi: khi bấm trả lời, thư đi tới địa chỉ khác.

Dấu hiệu từ nội dung

• Lời chào chung chung "Kính gửi Quý khách", không có tên bạn.
• Thúc giục: "Vui lòng xem gấp", "Hạn chót hôm nay", "Nếu không phản hồi sẽ bị xử lý".
• Chủ đề không liên quan đến công việc của bạn: hóa đơn từ nhà cung cấp bạn không dùng, hồ sơ ứng tuyển khi bạn không tuyển dụng.
• Thư thông báo giao hàng thất bại khi bạn không đặt gì.
• Giả mạo cơ quan nhà nước với tệp "quyết định", "giấy mời làm việc".

Dấu hiệu từ tệp đính kèm

Tài liệu Word, Excel hiện thông báo "Tài liệu được bảo vệ, bấm Enable Content để xem" là chiêu kinh điển. Tài liệu thật không cần bạn bật macro chỉ để đọc nội dung.

Dấu hiệu từ link tải tệp

Ngày càng nhiều email không đính kèm tệp trực tiếp mà gửi link "Xem tài liệu" dẫn tới dịch vụ lưu trữ đám mây, trang chia sẻ tệp hoặc trang giả mạo. Đừng mặc định tin link chỉ vì nó trỏ tới dịch vụ quen thuộc; kẻ gian cũng dùng tài khoản miễn phí trên các dịch vụ đó. Xem cách kiểm tra link trong bài kiểm tra độ tin cậy của đường link.

Email giả mạo cơ quan nhà nước và đơn vị vận chuyển

Ở Việt Nam, hai kịch bản xuất hiện thường xuyên là email giả cơ quan thuế, bảo hiểm xã hội, tòa án gửi "quyết định", "thông báo nợ thuế", và email giả đơn vị vận chuyển báo "đơn hàng bị giữ, xem chi tiết trong tệp đính kèm". Cơ quan nhà nước thường gửi văn bản qua cổng dịch vụ công, hệ thống của cơ quan hoặc đường bưu chính, ít khi gửi tệp nén qua email từ hộp thư miễn phí. Khi nhận thư kiểu này, hãy tự tra cứu trên cổng thông tin chính thức hoặc gọi số tổng đài công khai của cơ quan để xác minh.

Thiết lập giúp giảm rủi ro

• Bật hiển thị phần mở rộng tệp trong File Explorer.
• Giữ chế độ mặc định chặn macro trong Microsoft Office với tệp từ Internet.
• Xem trước tài liệu trong trình xem của webmail thay vì tải về mở bằng ứng dụng.
• Giữ phần mềm bảo mật và hệ điều hành luôn cập nhật; xem bài cập nhật phần mềm định kỳ.
• Dùng tài khoản người dùng thường thay vì tài khoản quản trị.

Quy trình xử lý email đáng ngờ

1. Không mở tệp, không bấm link.
2. Xác minh với người gửi qua số điện thoại hoặc kênh bạn đã biết, không dùng thông tin trong thư.
3. Trong công ty: chuyển tiếp cho bộ phận IT hoặc dùng nút báo cáo phishing nếu có.
4. Đánh dấu thư là lừa đảo hoặc spam để bộ lọc học.
5. Xóa thư.

Lỡ mở tệp đính kèm thì làm gì

1. Ngắt mạng máy tính ngay (rút cáp, tắt Wi-Fi).
2. Không đăng nhập thêm tài khoản nào trên máy đó.
3. Báo bộ phận IT nếu là máy công ty.
4. Quét toàn bộ máy bằng phần mềm bảo mật cập nhật.
5. Đổi mật khẩu các tài khoản quan trọng từ thiết bị khác, ưu tiên email và ngân hàng.
6. Theo dõi tài khoản ngân hàng, cảnh báo đăng nhập trong những ngày sau.

Nếu mã độc là loại mã hóa dữ liệu, bản sao lưu ngoại tuyến là cứu cánh.

Đào tạo thói quen trong văn phòng

Với doanh nghiệp nhỏ, một buổi chia sẻ ngắn về các dấu hiệu trên, kèm quy định "nghi ngờ thì hỏi, không ai bị trách vì hỏi" thường hiệu quả hơn nhiều công cụ đắt tiền. Đặc biệt với bộ phận kế toán, nhân sự, những người thường xuyên nhận tệp từ bên ngoài, nên có quy trình xác minh qua điện thoại cho mọi yêu cầu thay đổi số tài khoản hoặc thanh toán gấp.