Hàng nghìn tài khoản trực tuyến bị xâm phạm mỗi ngày, hacker dùng nhiều phương pháp hack tài khoản và đánh cắp thông tin. Một trong những phương pháp nổi tiếng nhất là tấn công lừa đảo (phishing). Hacker tạo bản sao trang đăng nhập của trang web hợp pháp và lừa bạn đăng nhập qua trang đó. Khi bạn nhập thông tin, nó sẽ được gửi đến hacker thay vì trang web gốc.
Vấn đề càng nghiêm trọng khi bạn biết việc tạo trang lừa đảo và thực hiện tấn công dễ dàng như thế nào. Chỉ cần sao chép mã trang web và gộp với mã độc. Ai có kiến thức kỹ thuật cơ bản cũng có thể thực hiện thành công tấn công phishing. Bài viết này sẽ chỉ cách nhận diện và bảo vệ mình trước tấn công phishing.
Nhận Diện Tấn Công Phishing
Có hai giai đoạn nhận diện tấn công phishing. Bạn có thể tìm manh mối khi liên kết phishing được gửi qua tin nhắn/văn bản, hoặc tìm manh mối trên chính trang web lừa đảo. Dưới đây là các cách nhận diện hữu ích.
Nhận Diện Email Lừa Đảo
Liên kết trang phishing thường gửi qua email, nên chúng ta tập trung vào nhận diện liên kết phishing trong email. Tuy nhiên, nhiều hướng dẫn dưới cũng áp dụng cho hầu hết phương thức giao tiếp văn bản. Dưới đây là các dấu hiệu cần tìm:
1. Địa Chỉ Email Người Gửi
Trước tiên kiểm tra địa chỉ email người gửi - nó sẽ không trùng với email chính thức của công ty. Ví dụ: thay vì "customersupport@paypal.com", nó là "customersupport@paypa1.com". Đảm bảo chính tả đúng và khớp với ID hỗ trợ thực tế của công ty.
2. Lỗi Chính Tả Và Ngữ Pháp
Hầu hết email lừa đảo/gian lận có từ bị viết sai lách qua bộ lọc của dịch vụ email. Từ sai thường xuất hiện ở tiêu đề email, nhưng cũng có thể ở nội dung. Hơn nữa, một số từ khó phát hiện - như "Customer" viết thành "Costomer" - nên kiểm tra kỹ. Ngoài ra, bạn cũng có thể thấy nhiều lỗi ngữ pháp, vì email có thể do người không nói tiếng Anh bản địa viết. Công ty hợp pháp sẽ xem xét email nhiều lần vì uy tín của họ.
3. Ngôn Ngữ Lừa Đảo Và Ép Buộc
Thông điệp thường chứa ưu đãi hấp dẫn và nút bấm yêu cầu hành động gấp. Ví dụ: "Chương trình tặng $100 PayPal hết hạn sau 3 giờ; đăng nhập ngay qua liên kết dưới để nhận trước khi hết hạn!" Sẽ tập trung nhiều vào việc đăng nhập qua liên kết trong email để ngăn bạn truy cập địa chỉ trang web thực tế.
4. Tệp Đính Kèm Đáng Ngờ
Điều cuối cùng bạn muốn làm với email đáng ngờ là nhấp vào tệp đính kèm. Công ty hợp pháp sẽ không gửi tệp đính kèm trừ khi có quy định. Mã độc trong tệp đính kèm mở ra có thể dễ dàng đánh cắp thông tin nếu bạn không cẩn thận.
5. Email Nằm Trong Thư Rác (Spam)
Nếu bạn nghi ngờ email và đang xem nó trong thư mục Spam, tại sao bạn còn băn khoăn? Bộ lọc tồn tại có lý do; chỉ cần nhấn Quay lại và tiếp tục công việc.
6. Quảng Cáo Lừa Đảo
Liên kết phishing cũng có thể xuất hiện trong quảng cáo trên các trang web (không hiểu tại sao điều này bị bỏ qua). Vài năm trước tôi mất hơn $1000 khi nhấp nhầm vào quảng cáo trên Google Search thay vì trang chủ công ty thanh toán trực tuyến. Vì vậy hãy cẩn thận khi nhấp quảng cáo, và làm theo hướng dẫn dưới để nhận diện trang phishing ngay cả khi đã truy cập.
Lưu ý: Cố gắng tránh nhấp vào liên kết phishing nếu có thể, vì nó có thể chứa mã tống tiền (ransomware) chiếm đoạt hệ thống của bạn.
Nhận Diện Trang Web Lừa Đảo
Ổn, bạn đã quyết định nhấp vào liên kết, và bây giờ đang ở trên trang web. Dưới đây là cách xác nhận thêm xem trang web có hợp pháp hay chỉ là lừa đảo:
1. Kiểm Tra URL
Thiết kế trang web sẽ gần như giống hệt bản gốc, nên không cần tìm sự khác biệt ở đó. Tuy nhiên, chúng không thể sao chép URL chính thức, nên chắc chắn sẽ có sự khác biệt. Tên trang web sẽ bị viết sai, như "www.paypal.com" thành "www.paypai.com" hoặc "www.paypol.com". Kết nối "HTTPS" cũng sẽ bị thiếu. Kiểm tra xem "biểu tượng ổ khóa" ở đầu thanh địa chỉ là "Xanh" hay "Xám". Trang web an ngân hàng, thanh toán trực tuyến hoặc mạng xã hội sẽ luôn có kết nối an toàn (ổ khóa xanh).
2. Cảnh Báo Trình Duyệt
Tất cả trình duyệt phổ biến đều tốt trong việc phát hiện hầu hết trang phishing. Nếu trình duyệt cảnh báo, hãy nghe theo và thoát ra.
3. Tránh Cửa Sổ Bật Lên (Pop-up)
Một số liên kết phishing có thể dẫn bạn đến trang web gốc, nhưng một cửa sổ bật lên giả mạo có thể xuất hiện sau một chút yêu cầu thông tin cá nhân. Nếu xảy ra, chỉ cần thoát ra.
4. Nhập Mật Khẩu Sai
Trang phishing không có cách nào xác định mật khẩu đúng hay sai. Nếu bạn nhập mật khẩu sai, khả năng lớn bạn vẫn sẽ "đăng nhập" được (hoặc ít nhất được chuyển hướng). Tuy nhiên, hacker đã biết thủ thuật này và đôi khi chỉ báo "Sai mật khẩu" để bạn thử nhiều lần, từ đó họ thu thập tất cả mật khẩu bạn biết.
Bảo Vệ Mình Trước Tấn Công Phishing
Vậy bạn đã rơi vào bẫy và cung cấp thông tin. Việc truy tìm hacker qua địa chỉ IP là lãng phí thời gian (đã thử, đã biết). Thay vào đó, hãy tập trung khôi phục tài khoản và thông tin đã cung cấp. Nếu là tài khoản thanh toán trực tuyến hoặc ngân hàng, hãy gọi ngay cho họ báo cáo tình huống.
Hacker rất có thể đã vào tài khoản và đổi mật khẩu, vì vậy hãy ngay lập tức vào trang web gốc và dùng nút "Quên mật khẩu" (Forget Password) để đặt lại mật khẩu qua email. Các dịch vụ phổ biến như Google hay Facebook cũng cung cấp biện pháp bổ sung chống tình huống này. Tìm kiếm trực tuyến để xem có hỗ trợ thêm bảo mật tài khoản không. Khi đã vào được, hãy kiểm tra tất cả cài đặt và tùy chọn riêng tư để xem hacker đã thay đổi gì. Nếu tài khoản có tiền, xem có thể hoàn giao dịch không (liên hệ hỗ trợ); nếu không, coi như mất. Một trong những biện pháp bảo vệ tốt nhất chống phishing và các lừa đảo/hack khác là Xác thực hai yếu tố (Two-factor authentication). Hãy bật nó nếu trang web cung cấp.
Cần nhớ rằng tấn công phishing không chỉ giới hạn ở đánh cắp thông tin. Các liên kết này có thể hiển thị quảng cáo hoặc tải mã độc vào máy tính để破坏 hoặc trích xuất thông tin. Cùng với các mẹo trên, hãy dùng chương trình chống virus tốt để bảo vệ mình.
Kết Luận
Trang web lừa đảo có thể hơi khó phát hiện, đặc biệt nếu hacker chuyên nghiệp thiết lập. Quy tắc cơ bản: tránh tất cả liên kết yêu cầu thông tin bất kỳ loại nào, và luôn đăng nhập trang web bằng cách gõ thủ công địa chỉ vào thanh địa chỉ. Bạn biết cách khác nhận diện trang phishing? Chia sẻ trong bình luận nhé.