Cách nhận biết email phishing qua địa chỉ người gửi

Một email hiện tên «Ngân hàng ABC» hoặc «Bộ phận hỗ trợ Microsoft» chưa chắc là của họ. Tên hiển thị do người gửi tự đặt, ai cũng đặt được. Phần đáng tin hơn là địa chỉ email thật phía sau, và đặc biệt là phần tên miền đứng sau dấu @.

Bài này hướng dẫn cách soi địa chỉ người gửi từng bước, những kiểu giả mạo tên miền hay gặp và cách xem thông tin kỹ thuật của thư trên Gmail và Outlook. Nếu bạn muốn hiểu thêm nội dung thư lừa đảo ngân hàng, xem bài nhận biết email lừa đảo giả mạo ngân hàng.

Địa chỉ email gồm những phần nào

Một địa chỉ có dạng ten@tenmien.com. Phần trước @ là tên hộp thư, phần sau @ là tên miền, cho biết thư đến từ tổ chức nào. Tên miền mới là thứ khó giả hơn tên hiển thị.

Ví dụ, thư từ ho-tro@congty.vn thuộc tên miền congty.vn. Nhưng ho-tro@congty.vn.xac-thuc-tai-khoan.com lại thuộc tên miền xac-thuc-tai-khoan.com, vì tên miền thật luôn là phần nằm ngay trước đuôi cuối cùng (.com, .vn...) tính từ phải sang trái.

Các kiểu giả mạo địa chỉ hay gặp

• Thay chữ giống nhau: chữ m thành rn, chữ o thành số 0, chữ l thành chữ I hoa hoặc số 1. Ví dụ rnicrosoft trông gần giống microsoft.
• Thêm từ vào tên miền: ten-ngan-hang-baomat.com, ten-ngan-hang-support.net. Tổ chức thật thường dùng một tên miền chính ổn định.
• Đuôi tên miền khác thường: thay .vn hoặc .com bằng đuôi lạ mà tổ chức đó chưa từng dùng.
• Dùng email miễn phí cho tổ chức lớn: thư tự xưng là ngân hàng hay cơ quan nhà nước nhưng gửi từ địa chỉ miễn phí như @gmail.com là điểm đáng ngờ.
• Tên hiển thị đúng, địa chỉ sai: chỉ nhìn tên thì không thấy khác biệt.
• Địa chỉ trả lời (Reply-To) khác địa chỉ gửi: khi bấm Trả lời, thư đi về một địa chỉ khác hẳn.

Cách xem địa chỉ người gửi thật trên Gmail

1. Mở thư cần kiểm tra.
2. Nhìn ngay dưới tên người gửi: Gmail thường hiển thị kèm địa chỉ trong dấu < >. Nếu không thấy, bấm vào mũi tên nhỏ cạnh dòng đến tôi (to me) để xem chi tiết người gửi, người nhận, ngày gửi.
3. Trên máy tính, di chuột lên tên người gửi để xem địa chỉ đầy đủ.
4. Đọc kỹ từng ký tự của tên miền, chú ý các chữ dễ nhầm đã nói ở trên.
5. Muốn kiểm tra sâu hơn, bấm dấu ba chấm cạnh nút trả lời, chọn Hiển thị thư gốc (Show original). Trang này cho biết kết quả xác thực SPF, DKIM, DMARC của thư.

Tùy giao diện và phiên bản, tên các mục có thể khác đôi chút, nhưng vị trí thường tương tự.

Cách xem trên Outlook

1. Mở thư trong Outlook (bản ứng dụng hoặc bản web).
2. Bấm vào tên người gửi ở đầu thư hoặc di chuột lên đó để hiện địa chỉ email đầy đủ.
3. Trên bản web, chọn dấu ba chấm của thư rồi tìm mục xem thông tin thư gốc/tiêu đề thư (View message source/ Xem tiêu đề thư) nếu cần kiểm tra thêm.

SPF, DKIM, DMARC nói lên điều gì

Ba tên này là cơ chế để máy chủ nhận thư kiểm tra xem thư có thật sự được gửi từ nơi có quyền gửi cho tên miền đó hay không. Nói gọn, nếu cả ba hiện PASS thì tên miền gửi nhiều khả năng không bị giả mạo trực tiếp.

Tuy vậy, PASS không có nghĩa là thư an toàn. Kẻ gian có thể tự đăng ký một tên miền gần giống, cấu hình đầy đủ cả ba rồi gửi thư lừa đảo. Vì vậy phải kết hợp cả nội dung thư, không chỉ dựa vào mỗi kết quả kỹ thuật.

Đã đúng địa chỉ vẫn phải cẩn thận

Tài khoản email thật cũng có thể bị chiếm để gửi thư lừa đảo cho danh bạ. Hãy nghi ngờ khi thư:

• Thúc giục làm gấp, dọa khóa tài khoản, phạt tiền.
• Yêu cầu nhập mật khẩu, mã OTP, thông tin thẻ.
• Đòi bạn mở tệp đính kèm lạ, đặc biệt tệp nén hoặc tệp có đuôi kép như hoadon.pdf.exe.
• Có liên kết mà khi rê chuột vào lại hiện địa chỉ khác với chữ hiển thị.

Xem thêm cách nhận biết email có tệp đính kèm độc hại và email giả mạo sếp, đối tác.

Nên làm gì khi nghi ngờ

1. Không bấm link, không mở tệp đính kèm, không trả lời thư.
2. Mở trình duyệt, tự gõ địa chỉ trang chính thức của tổ chức hoặc dùng ứng dụng chính thức đã cài, rồi đăng nhập xem có thông báo thật hay không. Hoặc gọi số hotline in trên thẻ, hợp đồng hoặc trang chính thức.
3. Dùng nút Báo cáo thư rác / lừa đảo (Report spam/phishing) trong ứng dụng email để dịch vụ chặn dần.
4. Nếu đã nhập mật khẩu vào trang lạ, đổi ngay mật khẩu và làm theo bài cần làm gì khi lỡ bấm vào đường link lừa đảo.

Cần hỗ trợ thêm?

Nếu máy tính của bạn có dấu hiệu lạ sau khi mở một email đáng ngờ, bạn có thể mang tới cửa hàng để kỹ thuật viên kiểm tra miễn phí và báo giá trước khi xử lý. Tìm hiểu thêm ở trang dịch vụ IT cho doanh nghiệp hoặc sửa chữa cho cá nhân.