Cách phát hiện và tránh những cuộc tấn công lừa đảo qua email

Hãy tưởng tượng bạn nhận được email từ ngân hàng của mình. Tiêu đề đầy lo lắng, nói rằng tài khoản của bạn bị khóa. Email yêu cầu bạn "xác minh ngay lập tức" bằng cách nhấp vào một liên kết và nhập thông tin đăng nhập. Bạn cảm thấy lo lắng — nhưng trước khi làm bất cứ điều gì, bạn dừng lại để kiểm tra. Đây chính là khoảnh khắc quan trọng mà sự khác biệt giữa an toàn và tổn thất được xác định.

Cái gọi là "phishing" là một cuộc tấn công lừa đảo nơi những kẻ xấu giả mạo đơn vị đáng tin cậy — như một ngân hàng, dịch vụ email, hoặc trang web mạng xã hội — để lừa bạn tiết lộ mật khẩu, số thẻ tín dụng, hoặc thông tin cá nhân khác. Khác với các loại tấn công công nghệ cao phức tạp, phishing dựa vào tâm lý con người: nó tạo ra sự vội vàng, sợ hãi, hoặc lòng tin để bạn hành động mà không suy nghĩ kỹ lưỡng.

Tại sao phishing lại nguy hiểm? Vì nó hoạt động. Những kẻ tấn công không cần phải hack vào máy chủ của ngân hàng nếu họ có thể lừa bạn tự nguyện cung cấp mật khẩu của mình. Một khi họ có thông tin đăng nhập của bạn, họ có quyền truy cập vào tài khoản của bạn — và tất cả thứ bên trong nó.

Cảnh báo số một: Tính cấp bách giả tạo

Phishing thường tạo ra cảm giác khẩn cấp. Email có thể nói rằng "tài khoản của bạn sẽ bị khóa trong 24 giờ", "có hoạt động bất thường được phát hiện", hoặc "hành động cần thiết ngay lập tức". Điều này không phải là tình cờ. Những kẻ tấn công biết rằng khi bạn cảm thấy sợ hãi hoặc vội vàng, bạn ít có khả năng dừng lại để kiểm tra các chi tiết.

Thực tế: Các công ty hợp pháp hiếm khi yêu cầu bạn xác minh thông tin đăng nhập qua email hoặc liên kết trong email. Nếu ngân hàng của bạn thực sự cần bạn hành động, họ sẽ cho phép bạn truy cập trực tiếp vào trang web của họ (bằng cách nhập địa chỉ vào thanh địa chỉ của trình duyệt) hoặc gọi cho bạn từ số điện thoại chính thức của họ.

Khi bạn nhận được email tạo cảm giác cấp bách, hãy tạm dừng. Đây là dấu hiệu cảnh báo đầu tiên.

Kiểm tra URL: Dòng phòng thủ mạnh nhất

Trong các năm gần đây, các công cụ tạo trang phishing đã trở nên rất tốt. Những kẻ tấn công có thể sao chép giao diện của trang đăng nhập ngân hàng của bạn một cách gần như hoàn hảo — bố cục, màu sắc, logo, tất cả mọi thứ. Nhưng có một điều họ không thể dễ dàng sao chép: tên miền — phần của địa chỉ web ở sau "https://".

Hãy tưởng tượng một phong bì. Ngay cả khi ai đó in lại logo của ngân hàng bạn trên phong bì, họ vẫn phải sử dụng địa chỉ thực của người gửi để thực sự gửi nó. Phong bì không thể cải biên địa chỉ thực. Tương tự như vậy, trình duyệt web của bạn sẽ luôn hiển thị tên miền thực mà bạn được kết nối.

Ví dụ: Email nói rằng nó từ "Bank of Example" và yêu cầu bạn nhấp để đăng nhập. Bạn di chuột qua liên kết (đừng nhấp!) và thấy nó chỉ đến "bankofexample-verify.ru" hoặc "bank0fexample.com" (chú ý: số 0 thay cho chữ O). Đây là phishing.

URL thực của ngân hàng sẽ là "bankofexample.com" hoặc "secure.bankofexample.com" — đó là những tên miền mà ngân hàng kiểm soát. Nếu liên kết chỉ đến một tên miền khác, đó là tấn công.

Thủ thuật: Trước khi nhấp vào bất kỳ liên kết nào trong email, hãy di chuột qua nó (nhưng đừng nhấp) và kiểm tra URL ở góc dưới bên trái của trình duyệt. Hoặc, thậm chí an toàn hơn, hãy gõ trực tiếp địa chỉ vào thanh địa chỉ của bạn thay vì nhấp vào liên kết.

Các dấu hiệu phishing khác

Ngoài tính cấp bách và URL sai, hãy tìm kiếm:

Lời chào chung chung. Email thực tế từ công ty bạn biết tên của bạn. Nếu nó nói "Xin chào khách hàng" hoặc "Xin chào người dùng", đó là một dấu hiệu cảnh báo.

Nguồn gửi lạ. Kiểm tra địa chỉ email của người gửi, không chỉ tên hiển thị. Người gửi có thể nói "Hỗ trợ Ngân hàng Example" nhưng địa chỉ email thực tế có thể là "[email protected]" hoặc thứ gì đó tương tự. Công ty thực tế sẽ sử dụng tên miền chính thức của họ.

Yêu cầu mật khẩu qua email. Không có công ty hợp pháp nào sẽ bao giờ yêu cầu mật khẩu của bạn qua email. Bao giờ. Nếu bạn được yêu cầu, đó là phishing.

Mật khẩu quản lý bảo vệ bạn

Đây là nơi một công cụ gọi là "mật khẩu quản lý" phát huy tác dụng. Một mật khẩu quản lý là một ứng dụng lưu trữ mật khẩu của bạn và tự động điền vào chúng trên các trang web — nhưng chỉ khi tên miền khớp chính xác.

Hãy nói bạn đã lưu trữ thông tin đăng nhập của ngân hàng trong một mật khẩu quản lý. Bạn nhận được email phishing và, tò mò (hoặc vội vàng), bạn nhấp vào liên kết. Trang phishing mở ra, trông giống hệt như trang đăng nhập ngân hàng của bạn. Nhưng khi bạn nhấp vào trường mật khẩu, mật khẩu quản lý sẽ từ chối tự động điền. Tại sao? Vì URL không khớp với "bankofexample.com" — nó là "bankofexample-verify.ru" hoặc bất cứ thứ gì kẻ tấn công đã thiết lập.

Đây là một lớp bảo vệ mạnh mẽ. Nó không hoàn hảo — bạn vẫn có thể nhập thông tin đăng nhập của mình một cách thủ công — nhưng nó giúp ngăn chặn thiệt hại do vội vàng hoặc sơ suất gây ra.

Phishing ngoài email

Phishing không chỉ xảy ra qua email. "Smishing" là phishing qua tin nhắn văn bản (SMS). "Vishing" là phishing qua cuộc gọi điện thoại. Một kẻ tấn công có thể gọi cho bạn, nói rằng họ từ ngân hàng của bạn, và yêu cầu bạn xác minh thông tin. Các phương pháp giống nhau áp dụng: các công ty thực tế không yêu cầu mật khẩu qua điện thoại hoặc tin nhắn. Nếu bạn không chắc chắn, hãy cắt máy và gọi lại số chính thức mà bạn tìm thấy trên trang web chính thức hoặc trên thẻ ngân hàng của bạn.

Tóm tắt

Phishing hoạt động bằng cách lợi dụng sự vội vàng và tin tưởng. Bảo vệ tốt nhất là sự chậm lại: kiểm tra URL, xác minh tên miền người gửi, và không bao giờ nhấp vào liên kết trong email yêu cầu thông tin nhạy cảm. Một mật khẩu quản lý cung cấp một lớp bảo vệ bổ sung bằng cách từ chối tự động điền trên trang web sai.

Phishing là một phần của bộ công cụ mà những kẻ tấn công sử dụng. Để hiểu rõ hơn, bạn cũng nên khám phá các khái niệm liên quan: cách email thực sự hoạt động và tại sao việc xác minh danh tính người gửi là khó khăn, cách mật khẩu được lưu trữ (và tại sao một mật khẩu mạnh là quan trọng), và vai trò của xác thực hai yếu tố — một lớp bảo vệ bổ sung làm cho việc truy cập tài khoản của bạn trở nên khó hơn, ngay cả khi mật khẩu của bạn bị xâm phạm.