7 dấu hiệu email lừa đảo mạo danh doanh nghiệp
Email giả danh giám đốc, kế toán hay đối tác để lừa chuyển tiền ngày càng khó nhận ra. Bài này chỉ ra bảy dấu hiệu cụ thể, cách xem header thư gốc trên Gmail, Outlook, Zoho và quy trình xác nhận trước khi chuyển tiền hay đổi thông tin thanh toán.
Bài này nói về một kiểu lừa đảo phổ biến: kẻ xấu gửi email trông như từ một người hoặc doanh nghiệp quen biết (giám đốc, kế toán, nhà cung cấp, ngân hàng) để lừa chuyển tiền, đổi số tài khoản, cung cấp mật khẩu hoặc mở tệp độc hại. Nội dung dưới đây mang tính chung, không nhắm vào vụ việc hay đơn vị cụ thể nào.
Dấu hiệu 1: Địa chỉ gửi giống thật nhưng không phải
Kẻ lừa đảo hay đăng ký tên miền gần giống: đổi .vn thành .com, thêm gạch ngang (cong-ty.vn thay vì congty.vn), thay chữ cái dễ nhầm (rn thay cho m, số 0 thay cho chữ o, l hoa thay cho I). Đọc kỹ từng ký tự của phần sau dấu @, không chỉ liếc qua.
Dấu hiệu 2: Tên hiển thị đúng, địa chỉ thật sai
Nhiều ứng dụng (đặc biệt trên điện thoại) chỉ hiện tên người gửi. Kẻ gian đặt tên hiển thị là "Nguyễn Văn A - Giám đốc" hoặc thậm chí nhét cả một địa chỉ email thật vào tên hiển thị, trong khi địa chỉ thực là một hộp thư miễn phí. Hãy bấm vào tên để xem địa chỉ đầy đủ.
Dấu hiệu 3: Địa chỉ Trả lời (Reply-To) khác địa chỉ gửi
Thư có thể hiện From đúng nhưng khi bấm Trả lời, thư lại đi tới một địa chỉ khác. Cách này vượt qua nhiều kiểm tra tự động. Hãy luôn nhìn ô người nhận sau khi bấm Trả lời, trước khi gõ gì.
Dấu hiệu 4: Thúc ép, bí mật, bỏ qua quy trình
"Chuyển gấp trong hôm nay", "đang họp, đừng gọi", "việc này giữ kín", "sếp đang đi công tác". Sự gấp gáp và yêu cầu bỏ qua quy trình bình thường là cách kẻ lừa đảo ngăn bạn kịp kiểm chứng.
Dấu hiệu 5: Yêu cầu liên quan đến tiền hoặc thông tin thanh toán
Đổi số tài khoản của nhà cung cấp, chuyển tiền cho một đối tác mới, mua thẻ quà tặng, gửi bảng lương hay hồ sơ nhân sự. Bất kỳ thay đổi nào về nơi nhận tiền đều cần được xác nhận qua kênh thứ hai.
Dấu hiệu 6: Liên kết hoặc tệp đính kèm bất thường
Liên kết dẫn tới tên miền lạ dù chữ hiển thị trông quen, trang đăng nhập giả, tệp .html, .iso, tệp nén có mật khẩu, hoặc tài liệu Office yêu cầu "bật macro/bật chỉnh sửa". Di chuột lên liên kết (trên máy tính) để xem địa chỉ thật; trên điện thoại, nhấn giữ. Đừng mở những tệp bạn không chờ đợi, nhất là khi người gửi bảo "gấp".
Dấu hiệu 7: Xác thực kỹ thuật của thư trượt
Máy chủ nhận thư kiểm tra SPF, DKIM và DMARC của tên miền người gửi. Kết quả dmarc=fail là dấu hiệu mạnh của giả mạo; spf=fail hoặc spf=softfail riêng lẻ cần xem cùng kết quả DKIM và DMARC, vì thư được chuyển tiếp thường gây SPF fail dù hợp lệ. Nhưng nhớ rằng kết quả "pass" không chứng minh thư đáng tin, vì kẻ lừa đảo có thể dùng tên miền gần giống do chính họ sở hữu và cấu hình đầy đủ. Hãy xem kết quả này như một tín hiệu bổ sung chứ không thay thế phán đoán của bạn.
Cách xem header thư gốc
Header chứa kết quả xác thực và đường đi của thư. Theo từng ứng dụng:
- Gmail (web): mở thư, bấm ba chấm ở góc thư, chọn "Hiện thư gốc" (Show original). Ở đầu trang có bảng SPF, DKIM, DMARC.
- Outlook (web): mở thư, chọn ba chấm, View, View message source. Outlook trên máy tính: mở thư trong cửa sổ riêng, File, Properties, ô Internet headers.
- Zoho Mail: mở thư, chọn More actions (ba chấm) rồi View Original Message (hoặc Show original).
Sao chép phần header và dán vào công cụ đọc header thư: nó nêu kết quả SPF, DKIM, DMARC, so sánh From, Return-Path, Reply-To và liệt kê đường đi của thư. Dữ liệu chỉ xử lý trong trình duyệt của bạn, không gửi đi đâu. Kết luận của công cụ luôn thận trọng, vì header chỉ là bằng chứng một phần.
Cách tự kiểm tra thêm
Bạn có thể kiểm tra bên gửi có bảo vệ tên miền của họ không:
dig +short TXT _dmarc.example.vn
dig +short TXT example.vn
Nếu tên miền xưng là của một doanh nghiệp lớn mà không có SPF/DMARC, hoặc mới đăng ký gần đây, đó là điểm đáng nghi (với tên miền .vn, tra tại tracuutenmien.gov.vn của VNNIC để xem ngày đăng ký, vì .vn không có máy chủ WHOIS công khai nên lệnh whois không cho ngày tạo; với .com hay .net có thể dùng whois). Tuy nhiên, đừng tự bấm vào liên kết nghi ngờ để "thử xem". Nếu cần xem một địa chỉ rút gọn, hãy nhờ người phụ trách an ninh hoặc dùng môi trường cách ly.
Quy trình đơn giản để phòng
- Gọi lại bằng số điện thoại bạn đã lưu từ trước (không dùng số trong thư) khi có yêu cầu về tiền hoặc thông tin thanh toán.
- Hai người duyệt mọi khoản chuyển tiền lớn và mọi thay đổi số tài khoản nhà cung cấp.
- Báo ngay cho người phụ trách IT hoặc ngân hàng nếu đã lỡ chuyển tiền hay nhập mật khẩu; càng sớm càng có cơ hội thu hồi. Đổi mật khẩu và bật xác thực hai lớp nếu nghi lộ tài khoản.
- Bảo vệ tên miền của chính mình bằng SPF, DKIM và DMARC để kẻ xấu khó giả danh doanh nghiệp bạn: xem các bài về SPF, DKIM và DMARC.