Cách nhận biết tin nhắn lừa đảo và email giả mạo

Vì vậy, cách nhận biết tin nhắn lừa đảo hiệu quả không nằm ở việc tìm một “dấu hiệu tuyệt đối”, mà ở việc kiểm tra đồng thời ba yếu tố: người gửi có thực sự đúng danh tính hay không, nội dung có hợp lý với hoàn cảnh hay không và yêu cầu trong tin nhắn có đẩy người nhận tới hành động rủi ro hay không.

Kiểm tra người gửi trước khi tin vào tên đang hiển thị

Tên hiển thị trên email hoặc tên tài khoản trong ứng dụng nhắn tin không đủ để chứng minh danh tính. Kẻ lừa đảo có thể chọn tên giống ngân hàng, đơn vị giao hàng, cơ quan nhà nước, công ty quen thuộc hoặc thậm chí giả danh người thân. Vì thế, cần kiểm tra thông tin định danh thực tế phía sau cái tên đó.

Với email, hãy xem đầy đủ địa chỉ người gửi thay vì chỉ nhìn tên. Một email mang tên doanh nghiệp nhưng được gửi từ miền không liên quan, địa chỉ có ký tự bị thay thế hoặc tên miền gần giống tên thật là dấu hiệu cần kiểm tra thêm. Tuy nhiên, địa chỉ trông hợp lý cũng không phải bằng chứng tuyệt đối rằng email an toàn; việc đánh giá vẫn phải kết hợp với nội dung và yêu cầu đi kèm.

Với SMS hoặc ứng dụng nhắn tin, cần đặc biệt cảnh giác khi một tài khoản mới tự nhận là người thân hoặc nhân viên của một tổ chức rồi ngay lập tức yêu cầu tiền, mã xác thực hay thông tin cá nhân. Cách kiểm tra đáng tin cậy hơn là liên hệ lại người hoặc tổ chức đó qua một kênh đã biết từ trước, thay vì dùng số điện thoại, đường link hoặc thông tin liên hệ do chính tin nhắn đáng ngờ cung cấp. FTC khuyến nghị nếu một thông điệp có vẻ có thể là thật, người nhận nên tự liên hệ doanh nghiệp hoặc ngân hàng bằng số điện thoại, email hay website mà mình biết là chính thức.

Trong gia đình, một nguyên tắc đơn giản là: danh tính không được xác nhận bằng lời tự xưng của chính người gửi. Nếu “con”, “cháu”, “ngân hàng” hoặc “cơ quan chức năng” gửi một yêu cầu bất thường, hãy xác minh qua kênh độc lập trước.

Đọc nội dung để phát hiện điểm bất thường thay vì chỉ tìm lỗi chính tả

Trước đây, nhiều email lừa đảo dễ bị nhận ra vì câu chữ vụng về hoặc có nhiều lỗi chính tả. Hiện nay, đây không còn là tiêu chí đủ mạnh để loại trừ lừa đảo. Một thông điệp có ngữ pháp tốt, logo đẹp và cách trình bày chuyên nghiệp vẫn có thể là giả mạo.

Điểm đáng chú ý hơn là nội dung có phù hợp với hoàn cảnh thực tế của người nhận hay không. Hãy đặt các câu hỏi như: mình có thực sự đặt đơn hàng này không, có vừa yêu cầu đổi mật khẩu không, tài khoản này có phát sinh giao dịch như thông báo không, người thân có lý do gì để đột ngột nhờ chuyển tiền không?

Những kịch bản lừa đảo thường tận dụng một câu chuyện đủ hợp lý để khiến người nhận hành động trước khi kiểm chứng. Chẳng hạn, tin nhắn có thể thông báo tài khoản gặp sự cố, đơn hàng không thể giao, hồ sơ còn thiếu, tài khoản sắp bị khóa hoặc người thân đang gặp tình huống khẩn cấp. Mục tiêu không nhất thiết là làm cho toàn bộ câu chuyện hoàn hảo; chỉ cần khiến người nhận tập trung vào vấn đề khẩn cấp và bỏ qua bước xác minh.

Các cảnh báo của cơ quan quản lý tại Việt Nam cũng cho thấy thủ đoạn mạo danh tổ chức hoặc cán bộ để yêu cầu người dân cung cấp thông tin cá nhân vẫn được sử dụng trong các kịch bản lừa đảo trực tuyến.

Do đó, một tin nhắn “đúng văn phong” chưa chắc là thật. Dấu hiệu có giá trị hơn là sự không khớp giữa câu chuyện trong tin nhắn và những gì người nhận thực sự biết hoặc đã thực hiện.

Cảnh giác khi tin nhắn tạo áp lực phải hành động ngay

Một trong những cơ chế quan trọng của phishing là khiến người nhận chuyển từ trạng thái kiểm tra sang phản ứng. Tin nhắn càng làm người đọc cảm thấy “phải xử lý ngay”, khả năng họ tự kiểm tra nguồn gửi, đường link và tính hợp lý của yêu cầu càng giảm.

Những cách tạo áp lực thường gặp gồm thông báo tài khoản sẽ bị khóa, giao dịch cần xác nhận ngay, hồ sơ sắp hết hạn, khoản tiền đang bị giữ, cơ hội chỉ còn trong thời gian ngắn hoặc người thân đang cần trợ giúp khẩn cấp.

Không phải mọi thông báo có thời hạn đều là lừa đảo. Một dịch vụ thật cũng có thể gửi cảnh báo bảo mật hoặc thông báo cần xử lý. Điểm khác biệt cần kiểm tra là thông điệp có buộc bạn giải quyết vấn đề thông qua chính đường link, số điện thoại hoặc tài khoản mà nó cung cấp hay không.

Nếu nhận được cảnh báo về tài khoản ngân hàng, email, mạng xã hội hoặc dịch vụ khác, cách an toàn hơn là tự mở ứng dụng chính thức hoặc tự nhập địa chỉ website mà bạn đã biết, thay vì đi qua link trong tin nhắn. Google cũng cho biết Gmail có thể cảnh báo hoặc chuyển những thư bị nhận diện là phishing hay đáng ngờ sang Spam, nhưng người dùng vẫn cần tự đánh giá và báo cáo những thư lọt qua bộ lọc.

Đường link và tệp đính kèm là điểm cần kiểm tra kỹ

Một đường link trong tin nhắn có thể hiển thị tên thương hiệu hoặc câu chữ quen thuộc nhưng dẫn đến một địa chỉ khác. Trang đích sau đó có thể được thiết kế giống trang đăng nhập thật để thu thập tên tài khoản, mật khẩu, thông tin thanh toán hoặc dữ liệu cá nhân.

Vì thế, không nên đánh giá link chỉ qua phần chữ nhìn thấy trong tin nhắn. Nếu không chắc chắn, lựa chọn tốt hơn là không dùng link đó mà truy cập dịch vụ theo cách quen thuộc: mở ứng dụng chính thức, dùng dấu trang đã lưu hoặc tự nhập địa chỉ website.

Tệp đính kèm cũng cần được xem xét theo bối cảnh. Một hóa đơn, tài liệu, biểu mẫu hay thông báo mà người nhận không hề chờ đợi có thể được sử dụng để dụ mở tệp hoặc thực hiện các bước tiếp theo. FTC khuyến cáo không nhấp vào link hoặc tải tệp đính kèm từ các thông điệp bất ngờ trước khi xác minh nguồn gửi.

Điều quan trọng là không suy luận rằng “chỉ bấm xem thử” luôn vô hại. Khi thông điệp đã có dấu hiệu đáng ngờ, việc kiểm chứng qua kênh độc lập thường an toàn hơn việc tiếp tục tương tác với nội dung do người gửi cung cấp.

Yêu cầu cung cấp mật khẩu, mã xác thực hoặc thông tin nhạy cảm là cảnh báo mạnh

Hãy tăng mức cảnh giác ngay khi tin nhắn yêu cầu cung cấp mật khẩu, mã OTP, mã xác minh, thông tin tài khoản ngân hàng, dữ liệu thẻ, số giấy tờ tùy thân hoặc các thông tin có thể dùng để truy cập tài khoản.

Phishing hoạt động hiệu quả vì kẻ lừa đảo không nhất thiết phải tự phá được hệ thống. Chúng có thể khiến chính người dùng nhập thông tin vào một trang giả hoặc chủ động gửi thông tin cho người đang giả danh một tổ chức đáng tin. Microsoft nêu rõ mục tiêu phổ biến của phishing là lấy tiền hoặc danh tính bằng cách dụ người dùng tiết lộ thông tin cá nhân trên những website giả danh dịch vụ hợp pháp.

Một hiểu lầm nguy hiểm là cho rằng “chỉ cung cấp mã xác thực chứ không đưa mật khẩu thì không sao”. Trong thực tế, mã xác thực thường tồn tại để chứng minh rằng chính chủ đang chấp thuận một lần đăng nhập hoặc giao dịch. Vì vậy, mã được gửi cho điện thoại của bạn không đồng nghĩa người đang hỏi mã đó có quyền nhận nó.

Trong gia đình, có thể dùng một quy tắc dễ nhớ: mật khẩu và mã xác thực không được đọc cho người khác chỉ vì họ tự nhận là nhân viên hỗ trợ, ngân hàng hay người quen. Khi có nghi ngờ, dừng cuộc trao đổi và tự liên hệ kênh chính thức.

Yêu cầu chuyển tiền bất thường cần được xác minh bằng một kênh khác

Tin nhắn giả danh người thân thường khai thác mối quan hệ tin cậy thay vì giả danh doanh nghiệp. Người gửi có thể nói đang dùng số điện thoại mới, mất điện thoại, gặp sự cố, cần thanh toán hộ hoặc yêu cầu chuyển tiền gấp.

Trong trường hợp này, câu hỏi quan trọng không phải chỉ là “cách nhắn có giống người thân không” mà là yêu cầu đó có được xác minh bằng một kênh độc lập hay chưa.

Nếu thành viên gia đình nhận được yêu cầu chuyển tiền bất thường, nên gọi lại vào số điện thoại đã lưu từ trước hoặc liên hệ với một người thân khác có thể kiểm chứng. Không nên dùng chính số mới mà người gửi vừa đưa ra làm bằng chứng xác nhận danh tính.

Cũng không nên coi việc người gửi biết tên, quan hệ gia đình hoặc một vài thông tin cá nhân là bằng chứng đủ mạnh. Thông tin đúng có thể làm câu chuyện thuyết phục hơn nhưng không tự chứng minh người đang nhắn chính là người họ tự nhận.

Không nên kết luận chỉ từ một dấu hiệu đơn lẻ

Một tin nhắn có lỗi chính tả chưa chắc là lừa đảo; một email viết hoàn hảo cũng chưa chắc là an toàn. Tương tự, có đường link không đồng nghĩa đó là phishing, và việc gửi từ một địa chỉ có vẻ quen thuộc cũng không bảo đảm nội dung đáng tin.

Cách đánh giá tốt hơn là kết hợp nhiều tín hiệu:

·         Người gửi có đúng địa chỉ hoặc tài khoản đã biết hay không

·         Nội dung có khớp với hoạt động thực tế của người nhận hay không

·         Tin nhắn có tạo áp lực bất thường hay không

·         Có link hoặc tệp mà người nhận không chờ đợi hay không

·         Có yêu cầu mật khẩu, mã xác thực hoặc thông tin nhạy cảm hay không

·         Có yêu cầu chuyển tiền hoặc thực hiện giao dịch bất thường hay không

·         Có thể kiểm chứng yêu cầu qua một kênh chính thức, độc lập hay không

Một dấu hiệu riêng lẻ thường chỉ làm tăng nghi ngờ. Nhưng khi nhiều dấu hiệu cùng xuất hiện — chẳng hạn người gửi lạ, câu chuyện khẩn cấp, link đăng nhập và yêu cầu nhập thông tin — lý do để dừng tương tác và xác minh sẽ mạnh hơn nhiều.

Cách cả gia đình kiểm tra một tin nhắn đáng ngờ trước khi phản hồi

Để giảm phụ thuộc vào kinh nghiệm công nghệ của từng người, gia đình có thể thống nhất một quy trình kiểm tra ngắn. Quy trình này đặc biệt hữu ích cho người lớn tuổi, trẻ vị thành niên hoặc bất kỳ ai có xu hướng phản ứng nhanh khi nhận thông báo khẩn cấp.

1.    Không làm ngay điều tin nhắn yêu cầu

2.    Kiểm tra đầy đủ người gửi và địa chỉ gửi

3.    Đối chiếu câu chuyện với hoạt động thực tế

4.    Không bấm link hoặc mở tệp khi chưa xác minh

5.    Không cung cấp mật khẩu, mã xác thực hoặc thông tin nhạy cảm

6.    Nếu liên quan đến tiền, gọi lại người thân hoặc tổ chức bằng kênh đã biết từ trước

7.    Nếu liên quan đến một tài khoản, tự mở ứng dụng hoặc website chính thức để kiểm tra

Cách làm này phù hợp với nguyên tắc phòng tránh phishing được FTC khuyến nghị: không tương tác trực tiếp với link hoặc tệp trong thông điệp bất ngờ và liên hệ tổ chức qua thông tin mà người dùng tự biết là thật.

Một gia đình cũng có thể thống nhất “quy ước xác minh” đối với những tình huống nhạy cảm, chẳng hạn mọi yêu cầu chuyển tiền đột xuất đều phải được xác nhận bằng cuộc gọi trực tiếp. Giá trị của quy ước này nằm ở việc tạo thêm một bước kiểm chứng độc lập trước khi hành động.

Khi nào nên coi tin nhắn là đủ đáng ngờ để dừng tương tác?

Không cần phải chứng minh chắc chắn 100% rằng người gửi là kẻ lừa đảo mới được phép dừng. Nếu tin nhắn yêu cầu một hành động có hậu quả lớn — chuyển tiền, nhập thông tin đăng nhập, cung cấp mã xác thực hoặc mở tệp không mong đợi — thì chỉ cần danh tính hoặc bối cảnh chưa được xác minh đã là lý do hợp lý để không tiếp tục qua kênh đó.

Dừng tương tác không có nghĩa là bỏ qua một thông báo có thể quan trọng. Bạn vẫn có thể kiểm tra vấn đề bằng con đường khác. Nếu email nói tài khoản có giao dịch bất thường, hãy tự mở ứng dụng ngân hàng. Nếu tin nhắn nói tài khoản email có đăng nhập lạ, hãy tự vào phần bảo mật của tài khoản. Nếu người thân nói đang cần tiền, hãy gọi trực tiếp.

Điểm mấu chốt là tách việc kiểm tra vấn đề khỏi kênh mà người gửi đáng ngờ muốn bạn sử dụng.

Nhận biết tin nhắn lừa đảo không nên dựa vào một mẹo duy nhất như tìm lỗi chính tả hay nhìn logo. Cách đáng tin cậy hơn là kiểm tra đồng thời danh tính người gửi, tính hợp lý của nội dung và mức độ rủi ro của hành động được yêu cầu. Khi tin nhắn liên quan đến link, tệp đính kèm, thông tin đăng nhập, mã xác thực hoặc tiền bạc, hãy ưu tiên xác minh qua một kênh độc lập trước khi làm theo. Đối với các thành viên trong gia đình, một quy tắc chung — việc gấp cũng phải kiểm chứng trước khi chuyển tiền hoặc cung cấp thông tin — có thể giúp biến cảnh giác thành một thói quen cụ thể thay vì chỉ dựa vào trực giác.