Cách nhận biết email lừa đảo (phishing): 12 dấu hiệu cảnh báo (kèm ví dụ trông như thật)

Phishing thực ra là gì (trong một phút)

Phishing là một tin nhắn giả danh ai đó mà bạn tin tưởng, như ngân hàng, công ty giao hàng, Netflix, sếp của bạn hay thậm chí là một người bạn, để lừa bạn trao đi thứ gì đó có giá trị. Thường đó là mật khẩu, mã xác thực dùng một lần (OTP), thông tin thẻ, hoặc chỉ đơn giản là một cú bấm vào đường link cài đặt thứ gì đó độc hại.

Nó hiệu quả vì nó rẻ. Kẻ lừa đảo có thể gửi một triệu email gần như không tốn gì, và chỉ cần vài người mắc bẫy là đã có lời. Vì vậy những email này được thiết kế để đánh vào tốc độ: chúng muốn bạn phản ứng trước khi kịp suy nghĩ. Thành thật mà nói, chậm lại mười giây chính là cách phòng thủ tốt nhất bạn có, và các dấu hiệu cảnh báo bên dưới sẽ cho bạn biết cần nhìn vào đâu trong mười giây đó.

12 dấu hiệu cảnh báo

1. Địa chỉ người gửi không khớp với công ty

Tên hiển thị có thể ghi bất cứ thứ gì. "PayPal Support" chỉ là một dòng chữ. Điều quan trọng là địa chỉ email thật nằm phía sau nó. Hãy chạm hoặc rê chuột lên tên người gửi để xem.

• Trông ổn: [email protected]
• Đáng ngờ: [email protected]
• Đáng ngờ: [email protected]

Các công ty lớn gửi email từ tên miền của chính họ. Họ sẽ không gửi cho bạn từ một địa chỉ Gmail hay Outlook miễn phí, và cũng không gắn thêm những chữ như "secure", "verify" hay "account" vào tên của mình.

2. Tên miền viết na ná tên thật

Kẻ lừa đảo đăng ký những tên miền thoạt nhìn có vẻ đúng: arnazon.com (r + n trông giống m), paypa1.com (số 1 thay cho chữ l), hoặc micros0ft.com (số 0 thay cho chữ o). Trên màn hình điện thoại nhỏ, những chỗ này rất khó phát hiện, và đó chính là lý do chúng được dùng. Hãy đọc tên miền thật chậm, từng chữ một.

3. Hối thúc và đe dọa

"Tài khoản của bạn sẽ bị đóng sau 24 giờ." "Thông báo cuối cùng." "Chúng tôi sẽ có biện pháp pháp lý." Các công ty thật hiếm khi gửi bạn đồng hồ đếm ngược qua email. Sự gấp gáp được tạo ra để khiến bạn ngừng suy nghĩ. Bất cứ khi nào một email khiến bạn thấy vội vàng hay sợ hãi, hãy coi chính cảm giác đó là một dấu hiệu cảnh báo.

4. Đường link dẫn đến chỗ khác

Nút bấm có thể ghi "Đăng nhập vào tài khoản", nhưng thực ra nó dẫn đến đâu? Trên máy tính, hãy rê chuột lên đường link và nhìn địa chỉ ở góc dưới của trình duyệt. Trên điện thoại, nhấn giữ đường link để xem trước mà không cần mở nó.

• Email nói là từ ngân hàng của bạn, nhưng đường link lại dẫn đến secure-login-bank.xyz
• Đường link bắt đầu bằng cái tên đúng, nhưng tên miền thật nằm ở phía sau: https://netflix.com.account-update.info/login (trang web thật ở đây là account-update.info, không phải Netflix)

5. Lời chào chung chung

"Kính gửi quý khách", "Kính gửi người dùng" hay "Xin chào thành viên thân thiết". Một công ty mà bạn có tài khoản thường biết tên bạn. Lời chào chung chung không chứng minh email là giả, nhưng nếu đi kèm bất kỳ dấu hiệu nào khác trong danh sách này thì đó là một gợi ý rất mạnh.

6. Email đòi mật khẩu, mã OTP hoặc thông tin thẻ

Điểm này đơn giản thôi: không ngân hàng, cửa hàng hay nhà cung cấp email thật nào lại yêu cầu bạn trả lời kèm mật khẩu, số thẻ đầy đủ, hoặc mã OTP họ vừa nhắn cho bạn. Mã đó tồn tại chính là để chỉ mình bạn dùng được. Nếu có ai hỏi xin nó, dù qua email, tin nhắn hay điện thoại, đó là lừa đảo. Lần nào cũng vậy.

7. Tệp đính kèm mà bạn không hề chờ đợi

"Invoice_0423.zip", "Payment_details.html", "Scanned_document.pdf.exe". Những tệp đính kèm bất ngờ, đặc biệt là tệp ZIP, tệp HTML hoặc bất cứ thứ gì yêu cầu bạn "bật chỉnh sửa" hay "bật macro", là cách kinh điển để cài mã độc. Nếu bạn không chờ hóa đơn nào, đừng mở hóa đơn đó.

8. Ưu đãi tốt đến mức khó tin

"Bạn đã trúng một chiếc iPhone 16." "Nhận ngay thẻ quà tặng 500 đô." "Khoản hoàn thuế 1.240 đô đang chờ bạn." Bạn đâu có tham gia cuộc thi nào, nên bạn cũng chẳng trúng gì cả. Những email này thường dẫn đến một biểu mẫu yêu cầu thông tin thẻ của bạn "để trả phí vận chuyển".

9. Ngữ pháp và định dạng kỳ lạ (nhưng đừng dựa vào nó)

Câu chữ lủng củng, viết hoa lung tung và logo mờ nhòe từng là dấu hiệu dễ nhận ra nhất. Ngày nay, nhiều email phishing được viết bằng công cụ AI và trông cực kỳ chỉn chu. Vì vậy hãy coi lỗi ngữ pháp chỉ là manh mối phụ, đừng bao giờ coi đó là phép thử chính. Một email viết hay vẫn có thể là giả.

10. Địa chỉ trả lời (reply-to) khác với người gửi

Một số email phishing đến từ một địa chỉ trông như thật nhưng lại lặng lẽ đặt một địa chỉ "reply-to" khác. Bạn bấm Trả lời, và câu trả lời của bạn bay thẳng đến kẻ lừa đảo. Nếu bạn sắp trả lời kèm thông tin nhạy cảm, hãy kiểm tra địa chỉ ở ô "Đến" trong thư trả lời trước đã.

11. Thứ mà bạn chưa từng đăng ký

Thông báo giao hàng từ một hãng vận chuyển bạn chưa từng dùng, yêu cầu đặt lại mật khẩu mà bạn không hề gửi, hoặc hóa đơn cho món hàng bạn chưa từng mua. Kẻ lừa đảo gửi những thứ này với hy vọng bạn sẽ bấm vào để "hủy" hoặc "khiếu nại" đơn hàng. Đừng dùng đường link trong email. Nếu lo lắng, hãy mở ứng dụng của công ty đó hoặc tự gõ địa chỉ trang web.

12. Cảnh báo xác thực từ ứng dụng email

Gmail, Outlook và Apple Mail âm thầm kiểm tra xem một email có thực sự đến từ tên miền mà nó tự nhận hay không. Khi các bước kiểm tra này thất bại, bạn có thể thấy cảnh báo kiểu "Thư này có thể không phải do người gửi được nêu gửi đến", hoặc một dấu chấm hỏi thay cho ảnh của người gửi. Hãy coi trọng những cảnh báo đó. Nếu bạn tò mò các bước kiểm tra này hoạt động thế nào, mình đã giải thích bằng ngôn ngữ dễ hiểu trong bài giải thích SPF, DKIM và DMARC.

Mổ xẻ một ví dụ trông như thật

Đây là kiểu email vẫn rơi vào hộp thư của mọi người mỗi ngày:

Từ: Amazon Customer Service <[email protected]>
Tiêu đề: Cần xử lý: đơn hàng #112-8842 của bạn đã bị tạm dừng

Kính gửi quý khách,
Chúng tôi không thể xác minh thông tin thanh toán của bạn. Đơn hàng và tài khoản của bạn sẽ bị hủy trong vòng 24 giờ nếu bạn không xác nhận thông tin.

[Xác minh tài khoản của tôi]

Cùng đếm các dấu hiệu nhé:

1. Tên miền là amaz0n-orders-support.com, có số 0 và thêm mấy chữ thừa. Amazon không gửi email từ đó.
2. "Kính gửi quý khách" thay vì tên của bạn.
3. Lời đe dọa 24 giờ.
4. Một đơn hàng mà nhiều khả năng bạn không nhận ra.
5. Một nút bấm mà nếu bạn nhấn giữ, sẽ thấy nó trỏ đến một trang web chẳng liên quan gì.

Năm dấu hiệu chỉ trong vài dòng. Cách xử lý đúng: xóa nó đi, hoặc tự mở ứng dụng Amazon và xem đơn hàng của bạn. Nếu thực sự có vấn đề, bạn sẽ thấy ở đó.

Cần làm gì nếu bạn lỡ bấm vào rồi

Trước hết: đừng hoảng, và đừng thấy mình ngốc. Những email này do những người làm nghề lừa người khác toàn thời gian tạo ra. Điều quan trọng bây giờ là hành động nhanh:

1. Nếu bạn chỉ mở email: gần như chắc chắn bạn không sao. Cứ xóa nó đi.
2. Nếu bạn đã bấm vào link nhưng chưa nhập gì: đóng trang đó lại. Chạy trình quét bảo mật trên thiết bị nếu bạn có.
3. Nếu bạn đã nhập mật khẩu: đổi ngay trên trang web thật (tự gõ địa chỉ), và đổi luôn ở mọi nơi khác bạn dùng cùng mật khẩu đó.
4. Nếu bạn đã nhập thông tin thẻ: gọi cho ngân hàng theo số in ở mặt sau thẻ và yêu cầu khóa thẻ.
5. Nếu bạn đã chia sẻ mã OTP: đăng nhập vào tài khoản đó ngay, đổi mật khẩu và đăng xuất khỏi mọi phiên khác.
6. Bật xác thực hai yếu tố cho email, ngân hàng và các tài khoản mua sắm nếu bạn chưa bật.

Hãy báo cáo, vì nó giúp ích cho tất cả mọi người

Hãy dùng tùy chọn "Báo cáo lừa đảo" hoặc "Báo cáo spam" trong ứng dụng email. Trong Gmail, nó nằm ở menu ba chấm, còn trong Outlook thì nằm dưới mục "Báo cáo". Việc này giúp huấn luyện các bộ lọc đang bảo vệ hàng triệu người khác. Nhiều công ty cũng có địa chỉ riêng cho việc này, ví dụ bạn có thể chuyển tiếp email PayPal giả đến [email protected]. Ở Mỹ, bạn cũng có thể báo cáo cho FTC tại reportfraud.ftc.gov, còn ở Anh thì gửi đến [email protected].

Bớt nhận email phishing ngay từ đầu

Bạn sẽ không bao giờ loại bỏ được phishing hoàn toàn, nhưng bạn có thể khiến hộp thư của mình trở thành mục tiêu nhỏ hơn nhiều:

• Đừng đưa địa chỉ email chính cho mọi trang web, cuộc thi và lượt tải miễn phí. Địa chỉ của bạn xuất hiện ở càng ít nơi thì càng ít bị đưa vào các danh sách.
• Với những lần đăng ký dùng một lần, hãy dùng địa chỉ email tạm thời. Nếu sau này trang đó bị tấn công hoặc bán danh sách email, thư rác sẽ đổ vào một hộp thư tự biến mất.
• Dùng trình quản lý mật khẩu. Nó sẽ không tự điền mật khẩu của bạn trên paypa1.com, nên hóa ra lại là một công cụ phát hiện phishing khá tốt.
• Luôn cập nhật điện thoại và trình duyệt, vì các bản cập nhật sẽ vá những lỗ hổng mà link độc hại cố khai thác.

Nếu địa chỉ của bạn đã từng bị lộ, hãy xem cần làm gì khi email của bạn bị lộ trong một vụ rò rỉ dữ liệu, và để có thói quen tốt hằng ngày, hãy đọc những cách bảo vệ quyền riêng tư email này.

Thói quen mười giây

Nếu bạn chỉ nhớ một điều từ bài viết này, hãy nhớ điều này: khi một email muốn bạn hành động thật nhanh, hãy chậm lại mười giây. Kiểm tra xem ai thực sự gửi nó, nhấn giữ đường link để xem nó dẫn đến đâu, và nếu có gì đó không ổn, hãy tự vào trang web thay vì bấm link. Khoảng dừng nhỏ đó đủ để đánh bại phần lớn email phishing ngoài kia.

Chúc bạn luôn an toàn. Và nếu bạn từng phát hiện một chiêu phishing tinh vi chưa có trong danh sách này, mình thực sự rất muốn nghe. Bạn sẽ thấy thông tin liên hệ của mình ngay bên dưới.