Nhận diện email giả mạo Phishing lừa đảo mật khẩu

Email phishing lừa mật khẩu là thư giả mạo một dịch vụ hoặc tổ chức quen thuộc (email, ngân hàng, mạng xã hội, bộ phận IT công ty) để dẫn bạn tới trang đăng nhập giả, nơi mọi thứ bạn nhập được gửi thẳng cho kẻ tấn công. Cách tự vệ hiệu quả nhất: không đăng nhập qua link trong email, mà tự mở ứng dụng hoặc gõ địa chỉ; kiểm tra địa chỉ người gửi và tên miền của link; dùng trình quản lý mật khẩu (nó sẽ không tự điền trên trang giả); và bật xác thực hai yếu tố, tốt nhất là passkey hoặc khóa bảo mật vì chúng không thể bị lừa nhập vào trang giả.

Một email phishing điển hình

Thư có tiêu đề như "Hộp thư của bạn sắp đầy", "Phát hiện đăng nhập bất thường", "Mật khẩu của bạn sẽ hết hạn hôm nay", "Bạn có tài liệu được chia sẻ". Nội dung ngắn gọn, có logo, nút bấm nổi bật "Xác minh ngay", "Giữ mật khẩu hiện tại", "Xem tài liệu". Bấm vào, bạn tới trang giống hệt trang đăng nhập Microsoft, Google, ngân hàng. Sau khi nhập mật khẩu, trang có thể báo lỗi rồi chuyển về trang thật để bạn không nghi ngờ.

Dấu hiệu ở người gửi

• Tên hiển thị đúng thương hiệu nhưng địa chỉ email thật là tên miền lạ hoặc hộp thư miễn phí.
• Tên miền na ná: thêm chữ, đổi ký tự, đuôi khác.
• Email gửi từ hộp thư hợp lệ nhưng đã bị chiếm, ví dụ đồng nghiệp, đối tác; nội dung thường lạc giọng so với thường ngày.

Dấu hiệu ở nội dung

• Khẩn cấp: "trong 24 giờ", "tài khoản sẽ bị xóa", "hành động ngay".
• Đe dọa hoặc phần thưởng: mất tài khoản, bị phạt, hoặc trúng quà, hoàn tiền.
• Chung chung: "Kính gửi người dùng", không có tên bạn hay chi tiết tài khoản.
• Không khớp ngữ cảnh: thông báo từ dịch vụ bạn không dùng, giao hàng khi bạn không đặt gì.
• Lỗi ngôn ngữ: văn phong dịch máy, lỗi chính tả; tuy nhiên phishing ngày nay có thể viết rất trơn tru nhờ công cụ AI, nên không nên chỉ dựa vào dấu hiệu này.

Dấu hiệu ở đường link và trang đăng nhập

Chi tiết cách đọc tên miền có trong bài kiểm tra độ tin cậy của đường link. Phishing cũng có thể chứa tệp đính kèm thay vì link; dạng này được bàn trong bài dấu hiệu email chứa phần mềm độc hại.

Các biến thể nguy hiểm hơn

Spear phishing

Thư được soạn riêng cho một người hoặc nhóm nhỏ, dùng thông tin thật như tên sếp, dự án đang làm, đối tác. Khó nhận ra vì không chung chung như thư hàng loạt.

Lừa đảo email doanh nghiệp (BEC)

Kẻ gian giả danh giám đốc hoặc nhà cung cấp, yêu cầu kế toán chuyển tiền gấp hoặc đổi số tài khoản nhận thanh toán. Không có link hay tệp độc nào, chỉ là lời nói dối thuyết phục. Biện pháp hiệu quả là quy trình xác minh qua điện thoại với số đã biết cho mọi yêu cầu chuyển tiền, đổi tài khoản.

Trang giả chuyển tiếp thời gian thực

Trang giả đứng giữa bạn và trang thật, chuyển tiếp cả mật khẩu lẫn mã OTP ngay lập tức, thậm chí lấy luôn cookie phiên. Mã 2FA dạng sáu số không chặn được kiểu này; passkey và khóa bảo mật thì chặn được vì chúng gắn với tên miền thật. Xem bài xác thực hai yếu tố 2FA.

Phishing không chỉ qua email

Cùng một kỹ thuật được dùng qua nhiều kênh khác: tin nhắn SMS (smishing) giả ngân hàng, đơn vị vận chuyển; cuộc gọi thoại (vishing) giả tổng đài; tin nhắn trên Zalo, Messenger, Telegram từ tài khoản bạn bè bị chiếm; bình luận và quảng cáo trên mạng xã hội; thậm chí mã QR in trên giấy. Kênh thay đổi nhưng công thức vẫn giữ nguyên: tạo tình huống khẩn cấp hoặc hấp dẫn, rồi dẫn bạn tới nơi nhập thông tin đăng nhập. Vì vậy nguyên tắc "tự mở ứng dụng, không đăng nhập qua link được gửi tới" áp dụng cho mọi kênh, không riêng email.

Một tín hiệu hữu ích khác là thời điểm: thư phishing hay đến vào cuối ngày, cuối tuần, trước kỳ nghỉ, khi người nhận mệt mỏi hoặc vội vàng và bộ phận IT không trực. Nếu một thư đòi hành động gấp vào thời điểm như vậy, hãy chậm lại thêm một nhịp.

Thói quen tự vệ

1. Không đăng nhập qua link trong email. Tự mở ứng dụng hoặc dấu trang.
2. Dùng trình quản lý mật khẩu và để ý khi nó không tự điền.
3. Bật 2FA, ưu tiên passkey hoặc khóa bảo mật cho email và tài khoản quan trọng.
4. Báo cáo email đáng ngờ bằng nút báo cáo phishing trong ứng dụng email hoặc chuyển cho bộ phận IT.
5. Khi nghi ngờ, hỏi lại người gửi qua kênh khác.

Nếu đã nhập mật khẩu vào trang giả

1. Đổi mật khẩu ngay tại trang thật, từ thiết bị bạn tin tưởng.
2. Đăng xuất mọi phiên, kiểm tra thiết bị đăng nhập lạ.
3. Kiểm tra quy tắc chuyển tiếp, bộ lọc thư, ứng dụng được cấp quyền; xem bài bảo mật tài khoản email.
4. Đổi mật khẩu ở mọi nơi bạn dùng lại mật khẩu đó.
5. Trong công ty, báo ngay cho bộ phận IT, càng sớm càng hạn chế thiệt hại.

Đào tạo và văn hóa báo cáo

Trong tổ chức, nhiều đơn vị tổ chức các đợt mô phỏng phishing để nhân viên luyện phản xạ. Mục tiêu không phải bắt lỗi ai, mà xây dựng thói quen báo cáo. Một nhân viên báo cáo sớm một email đáng ngờ có thể giúp bộ phận IT chặn cùng chiến dịch trước khi người khác mắc bẫy. Người lỡ bấm cũng cần được khuyến khích báo ngay thay vì giấu vì sợ bị trách.