Email lừa đảo (phishing): 7 dấu hiệu để người dùng tự nhận ra

Phishing là kiểu lừa đảo qua email (và cả tin nhắn) trong đó kẻ xấu giả làm một tổ chức quen thuộc để lấy mật khẩu, thông tin thẻ hoặc khiến bạn cài phần mềm độc hại. Email loại này ngày càng giống thật. Bài viết này liệt kê bảy dấu hiệu dễ quan sát và các bước nên làm khi nghi ngờ.

1. Địa chỉ gửi giống thật nhưng sai một chút

Kẻ lừa đảo hay dùng tên miền na ná: thêm hoặc đổi một ký tự, thay chữ “o” bằng số “0”, hay dùng đuôi tên miền khác. Tên hiển thị có thể ghi đúng tên ngân hàng, nhưng khi mở chi tiết người gửi sẽ thấy địa chỉ lạ. Hãy nhìn địa chỉ thật, không chỉ tên hiển thị.

2. Giục gấp, doạ khoá tài khoản

Câu kiểu “tài khoản sẽ bị khoá trong 24 giờ” hoặc “xác nhận ngay để tránh mất tiền” nhằm khiến bạn hành động trước khi kịp nghĩ. Tổ chức thật hiếm khi doạ hậu quả nghiêm trọng qua một email duy nhất. Hướng dẫn của CISA cũng xếp ngôn ngữ khẩn cấp hoặc gây lo sợ vào nhóm dấu hiệu cần để ý trước tiên.

3. Yêu cầu thông tin cá nhân hoặc tài chính

Mật khẩu, mã OTP, số thẻ, số tài khoản không nên được yêu cầu qua email. Nếu một email đòi bạn nhập các thông tin này vào một biểu mẫu, hãy coi là đáng ngờ cho tới khi xác minh bằng kênh khác.

4. Liên kết ẩn hoặc rút gọn

Chữ hiển thị trong email có thể khác địa chỉ thật mà nó dẫn tới. Trên máy tính, rê chuột lên liên kết (không bấm) để xem địa chỉ thật ở góc dưới trình duyệt. Trên điện thoại, nhấn giữ liên kết để xem. Liên kết rút gọn mà bạn không tin tưởng cũng nên tránh.

5. Tệp đính kèm lạ

Hoá đơn, bản scan, “đơn khiếu nại” gửi từ người bạn không quen thường là mồi nhử. Đặc biệt cẩn thận với tệp nén, tệp văn phòng yêu cầu bật macro, hoặc tệp có đuôi kép như “hoadon.pdf.exe”. Nếu không chắc, đừng mở. Bài WannaCry: bài học và lỗi sao lưu cho thấy một tệp lạ có thể gây hậu quả nặng thế nào cho cả tổ chức.

6. Lời chào chung chung và lỗi trình bày

“Kính gửi quý khách hàng” thay vì tên bạn, logo mờ, văn phong lạ, lỗi chính tả hay dịch máy gượng gạo là gợi ý. Tuy nhiên đừng coi đây là cách chắc chắn: CISA lưu ý ngữ pháp trau chuốt không đủ để loại trừ phishing, vì kẻ xấu cũng đang viết tốt hơn.

7. Nội dung quá tốt hoặc không liên quan đến bạn

Trúng thưởng bạn chưa tham gia, hoàn tiền bất ngờ, lời mời việc làm lương cao, hay thư từ một dịch vụ bạn không dùng đều là tín hiệu cảnh báo. Nếu thấy “quá tốt để là thật”, hãy dừng lại.

Cách kiểm tra khi còn nghi ngờ

• Không bấm liên kết và không gọi số điện thoại ghi trong email.
• Tự gõ địa chỉ trang web chính thức vào trình duyệt, hoặc gọi số tổng đài mà bạn đã biết từ trước.
• Với email công việc, hỏi lại đồng nghiệp bằng một kênh khác (điện thoại, tin nhắn nội bộ).
• Kiểm tra xem tên miền người gửi có đúng với tên miền của tổ chức hay không.

Cách xử lý và báo cáo

1. Không phản hồi, không bấm liên kết, không mở tệp.
2. Reporting: dùng nút “báo cáo thư rác/phishing” trong hộp thư để dịch vụ email nhận biết và chặn các thư tương tự. Với email công ty, báo cho người phụ trách công nghệ.
3. Clear thư.
4. Nếu lỡ nhập mật khẩu, đổi mật khẩu ngay trên trang chính thức, bật xác thực hai bước và thông báo cho người quản trị hoặc ngân hàng nếu liên quan tới tiền.

Tại Việt Nam, bạn có thể theo dõi cảnh báo an toàn thông tin của VNCERT/CC (trung tâm ứng cứu khẩn cấp máy tính quốc gia) và hỏi bộ phận công nghệ nếu nghi ngờ một thư.

Doanh nghiệp nhỏ có thể làm gì thêm

Những thói quen đơn giản giúp giảm rủi ro: dùng mật khẩu khác nhau cho từng dịch vụ, bật xác thực hai bước, cập nhật phần mềm, và dặn nhân viên không gửi hoặc xác nhận thông tin nhạy cảm qua email. Các biện pháp này bổ trợ cho quy định về dữ liệu cá nhân mà bạn có thể xem trong bài GDPR và website doanh nghiệp Việt, cũng như thói quen kiểm tra biểu tượng bảo mật ở trình duyệt được nhắc trong Chrome 68 đánh dấu HTTP không bảo mật. Nếu cần hỗ trợ rà soát an toàn cho website và máy chủ, có thể liên hệ đội Công nghệ của HVSC qua trang bảo mật server và website.

2026 update: Phishing đến nay không còn chỉ qua email mà còn qua tin nhắn, mạng xã hội và cuộc gọi, thường giả danh ngân hàng hoặc cơ quan nhà nước. Về cách phòng tránh gần với thực tế Việt Nam, xem bài Lừa đảo mạo danh ngân hàng, xin mã OTP. Nên kiểm tra thông tin chính thức tại trang của VNCERT/CC và của chính tổ chức bị mạo danh.

FAQ

Làm sao biết một liên kết có an toàn?

Rê chuột (hoặc nhấn giữ trên điện thoại) để xem địa chỉ thật. Nếu không chắc, tự gõ địa chỉ trang chính thức vào trình duyệt thay vì bấm liên kết trong email.

Tôi lỡ bấm vào liên kết thì sao?

Đừng nhập thông tin gì. Đóng trang, quét máy bằng phần mềm bảo mật, đổi mật khẩu nếu đã nhập, và báo cho người quản trị hoặc ngân hàng khi có liên quan đến tiền.

Email từ người quen cũng có thể là phishing?

Có. Tài khoản của người quen có thể bị chiếm quyền. Nếu họ gửi tệp hoặc liên kết bất thường, hãy hỏi lại bằng một kênh khác trước khi mở.

Reference sources

• CISA — Recognize and Report Phishing — https://www.cisa.gov/secure-our-world/recognize-and-report-phishing