Tôi đã thấy nhiều email phishing qua nhiều năm, nhưng gần đây nhận được một cái dùng thủ thuật bất thường. Thay vì yêu cầu xác nhận chi tiết thanh toán hoặc cập nhật mật khẩu, cái này tặng bàn chải đánh răng cao cấp miễn phí.
Tôi hiểu tại sao điều này sẽ bắt người ta bất ngờ, nhưng như mọi email giả, nó hứa điều bạn sẽ không bao giờ nhận được. Hãy cẩn thận cái này xuất hiện trong hộp thư đến.
Ưu Đãi "Miễn Phí" Bàn Chải Đánh Răng
Email này tự xưng đến từ chương trình thưởng của nhà cung cấp bảo hiểm y tế và tặng bàn chải đánh răng miễn phí để cải thiện vệ sinh răng miệng. Ban đầu, điều này nghe hợp lý — một số kế hoạch chăm sóc sức khỏe bao gồm giảm giá thiết bị y tế và vệ sinh. Tuy nhiên, khi nhìn chi tiết, bản chất giả mạo lộ rõ.
Nhắc đến "United Healthcare Smile Rewards" là cờ đỏ đầu tiên. Đây không phải tên chương trình thưởng của UnitedHealthcare (UHC); cái thật gọi là "UnitedHealthcare Rewards".
Công ty viết tên là "UnitedHealthcare", email này không làm vậy.
Tiêu đề cũng lạ; "Kiểm tra trạng thái mạng tháng 11 ngày 1" nghe như đi kèm email phishing yêu cầu xác nhận mật khẩu, không phải tặng bàn chải.
Nó có dấu hiệu lừa đảo khác: tên miền người gửi là @smoothcubans.com, hoàn toàn không liên quan đến UHC. Một địa chỉ lạ được CC. Lời chào dùng "Thành viên" thay vì tên cụ thể, và "United Healthcare Services" không phải cách công ty thực gọi mình. Định dạng email chung chung, không có logo chính thức.
Tôi không nhận ra ngay, nhưng email này dùng cùng định dạng với email "đám mây đầy" liên tục tôi nhận được hàng tháng. Khác với những cái kia, địa chỉ cuối email khớp vị trí liên quan đến UHC. Gmail không gửi những cái kia vào spam, dù tôi báo cáo spam mỗi lần. Cái này vào inbox trước, sau đó chuyển spam.
Khi tôi đang viết, tôi nhận được email thứ hai tương tự tặng bàn chải miễn phí từ thương hiệu khác (không bị gửi vào spam). Người gửi này dường như tìm thấy lỗ hổng bộ lọc spam Gmail, vì tôi chưa bao giờ nhận nhiều rác nhất quán như vậy trong inbox.
Kiểm Tra Ưu Đãi "Miễn Phí"
Ra khỏi tò mò, tôi muốn xem mưu đồ là gì để ghi chép. Hầu hết cài bẫy phishing rõ ràng, nhưng cái này khiến tôi thắc mắc.
Tôi mở liên kết trong máy ảo (virtual machine) để an toàn; nó chuyển hướng đến trang web tên hỗn độn. Trang hứa hẹn "cơ hội trúng" "bộ chăm sóc răng", khác với bàn chải miễn phí email hứa.
Giống nhiều trang web lừa đảo, có cảnh báo ép bạn hành động nhanh vì ưu đãi hết hôm nay. "Đánh giá" đều có ngày hôm nay và cực kỳ chung chung; hài hước, một đánh giá nhắc đến không nhận giải thưởng dù "khảo sát rất cool". Dấu hiệu rõ ràng bạn không thể tin đánh giá khi trang web tự kiểm soát chúng.
Trang này nhắc nhở tốt rằng chỉ vì trang có "ổ khóa trang an toàn", không có nghĩa là nó đáng tin cậy. Bạn có thể có kết nối an toàn đến trang đang nói dối — chứng chỉ chỉ có nghĩa là thông tin được mã hóa khi truyền.
Nếu cuộn xuống, bạn sẽ thấy thông báo bản quyền không ghi tên công ty nào, điều đáng ngờ. Cũng có ghi chú "Các ưu đãi bên thứ ba liên kết với khảo sát này có thể có yêu cầu bổ sung, như phí tham gia hoặc đăng ký подписка". Và như chúng ta sẽ thấy, đây là cốt lõi của lừa đảo.
Chỉ Trả Phí Vận Chuyển... Và Nhiều Hơn Nữa
Bấm nút nhận giải thưởng đưa tôi đến trang mới yêu cầu điền thông tin. Một tiện ích hiển thị 5 còn hàng, từ từ giảm khi tôi chờ (tạo sự khẩn cấp giả).
Sau khi điền thông tin giả, tôi được yêu cầu thẻ tín dụng để trả phí vận chuyển. Hộp hứa giảm thêm 2,36 USD khi trả bằng Mastercard (hoặc "Master Card" như được viết sai trong hộp chọn). Tôi tưởng điều này giúp đẩy người hoàn thành lừa đảo, phòng khi họ nghi ngờ ở thời điểm này.
Tôi thử số ngẫu nhiên cho trường thẻ tín dụng và dấu tích xuất hiện, nhưng tôi không muốn đi xa hơn. Thay vào đó, tôi bấm liên kết Điều khoản & Điều kiện dưới cùng để điều tra thêm.
Kiểm Tra Điều Khoản (Hoặc Sẽ Hối Hận)
Điều khoản kể toàn bộ câu chuyện lừa đảo, vì hai đoạn đầu giải thích bạn đang mắc phải gì.
Một "thưởng chào mừng độc quyền" hứa thẻ quà tặng 125 USD cho "Câu lạc bộ Thiết bị Tiêu dùng Tốt nhất" (Best Consumers Gadget Club), nhưng tìm kiếm nhanh cho thấy không có gì tên đó tồn tại. Dù sao, bạn sẽ bị tính "giá đầy đủ" hàng tháng nếu không hủy trong 3 ngày.
Có phí thứ hai: dùng thử 45 ngày cho "Ứng dụng Thể thao #1" trên web (không được đặt tên). Nếu không hủy bằng cách gọi số điện thoại, bạn sẽ bắt đầu trả phí đăng ký cho dịch vụ giả kia nữa.
Ngoài đây, các đăng ký lừa đảo này chỉ được nhắc trong phần chữ nhỏ tôi chỉ ra ở trên. Kẻ lừa (chính xác) giả định không ai đọc điều khoản. Nếu bạn nhập thông tin thanh toán, bạn đã đồng ý đăng ký đống rác không cần.
Chú ý cách họ chia hai đăng ký ra, điều tàn độc. Cái đầu tiên kích hoạt sau 3 ngày, lúc đó bạn có thể liên hệ nhà cung cấp thẻ phàn nàn về phí gian lận. Nhưng phí ứng dụng thể thao chỉ đến sau 45 ngày, lúc đó bạn có thể đã quên việc này.
Nếu bạn không theo dõi báo cáo thẻ, bạn có thể nghĩ mình trả cho đăng ký hợp pháp. Bạn không nên trả cho đăng ký không cần, nói gì đến cái giả không cung cấp gì.
Đối Xử Mọi Email Ngẫu Nhiên Như Đáng Ngờ
Mặc dù email ban đầu nghe hợp lý, chuông báo động nên reo khi bạn thấy trang web khảo sát lởm chởm và được yêu cầu nhập thẻ tín dụng cho món đồ ban đầu được nói là miễn phí. Yếu tố chung của trang nguy hiểm là URL giả; trong trường hợp này, URL khảo sát là chữ vô nghĩa, và trang "món miễn phí" có tên chung chung.
Không trang nào giả mạo UHC, nhưng công ty đó không tự giúp mình trong lĩnh vực này. Thay vì dùng tên miền con của trang chính cho trang phân nhánh (như my.uhc.com hoặc chat.uhc.com), nó có URL duy nhất cho mọi trang (như myuhcfp.com và uhcglobal.com).
Điều này có nghĩa là không có mối liên hệ rõ ràng giữa các trang, và giả mạo dễ trộn lẫn hơn. Với URL trên, khó hơn nhận ra cái bịa đặt như "myuhcplan.com" là giả.
Chúng ta đã thảo luận các dấu hiệu cảnh báo xuất hiện xuyên suốt quy trình, nhưng kẻ lừa hy vọng bạn di chuyển nhanh (vì phải hành động ngay!) và bỏ qua chúng. Hãy nhớ email ngẫu nhiên hứa món miễn phí là cờ đỏ lớn, và bạn nên xem kỹ trang web để xem có hợp pháp không.
Nếu bạn mắc lừa đảo như này, bạn nên liên hệ nhà cung cấp thẻ để hoàn tiền, vì tiền bị lấy một cách không trung thực. Nhưng tốt hơn là nhận diện mưu đồ và bỏ chạy từ rất sớm.