Tin nhắn chứa đường link giả thường mạo danh ngân hàng, nhà mạng, đơn vị giao hàng hay cơ quan thuế, dụ bạn bấm vào một trang trông giống hệt trang thật để nhập mật khẩu và mã OTP. Cách nhận ra nhanh nhất: đọc kỹ tên miền (phần ngay sau "https://" và trước dấu "/" đầu tiên), nghi ngờ mọi tin nhắn tạo cảm giác gấp gáp, và nhớ rằng nhiều ngân hàng tại Việt Nam đã tuyên bố không gửi đường link trong tin nhắn SMS. Khi phân vân, đừng bấm — tự mở ứng dụng chính thức hoặc gõ địa chỉ bằng tay.
Một tin nhắn giả được dựng lên thế nào
Hiểu cấu trúc của nó giúp nhận ra nhanh hơn. Gần như mọi tin nhắn lừa đều có ba phần:
- Người gửi trông đáng tin. Tên hiển thị là tên ngân hàng, nhà mạng, hay một số điện thoại bình thường. Từng có những đợt tin nhắn giả lọt vào chung luồng hội thoại với tin nhắn thật của ngân hàng, vì kẻ gian dùng thiết bị phát sóng giả để gửi tin mang tên thương hiệu. Vì vậy, nằm chung một luồng với tin thật không chứng minh là tin thật.
- Một lý do gấp. Tài khoản sắp bị khoá, điểm thưởng sắp hết hạn, đơn hàng giao không thành công, có khoản hoàn thuế đang chờ.
- Một đường link. Bấm vào là ra trang đăng nhập giả, trang "cập nhật thông tin", hoặc trang tải ứng dụng.
Trang giả có thể sao chép giao diện thật tới từng màu sắc, logo. Chỉ có một thứ kẻ gian không làm giả được: tên miền — chúng phải dùng một tên khác, dù khác rất ít.
Đọc tên miền: kỹ năng quan trọng nhất
Tên miền là phần nằm giữa "https://" và dấu gạch chéo "/" đầu tiên. Điều cần nhìn là phần cuối cùng trước đuôi, vì đó mới là chủ nhà thật.
| Đường link | Chủ thật là ai | Vì sao dễ nhầm |
|---|---|---|
| nganhang.com.vn/dang-nhap | nganhang.com.vn | Đây là dạng bình thường (ví dụ minh hoạ) |
| nganhang.com.vn.xacthuc-tk.xyz | xacthuc-tk.xyz | Tên thật bị đặt ở đầu như một tiền tố, chủ thật nằm cuối |
| nganhang-vn.com | nganhang-vn.com | Thêm gạch nối, đổi đuôi |
| nqanhang.com.vn | nqanhang.com.vn | Chữ "g" bị thay bằng "q", nhìn lướt không thấy |
| rn thay cho m | — | "rn" viết liền trông giống "m" trên màn hình nhỏ |
Ổ khoá nhỏ cạnh địa chỉ hay chữ "https" không chứng minh trang là thật. Nó chỉ cho biết đường truyền được mã hoá — trang lừa đảo cũng có chứng chỉ mã hoá miễn phí như mọi trang khác.
Đường link rút gọn (bit.ly và các dịch vụ tương tự) che mất tên miền thật. Một tổ chức nghiêm túc hiếm khi gửi link rút gọn để bạn đăng nhập tài khoản tài chính.
Những dấu hiệu khác trong nội dung tin nhắn
- Doạ khoá, doạ phạt, hạn chót trong vài giờ. Ngân hàng thật có thông báo, nhưng không đòi bạn xử lý qua một đường link trong tin nhắn.
- Quà quá hấp dẫn. Trúng thưởng điện thoại, hoàn tiền, nâng hạn mức miễn phí.
- Lỗi chính tả, dấu câu lạ, viết không dấu xen có dấu. Không phải tin giả nào cũng sai chính tả, nhưng tin thật hiếm khi sai.
- Yêu cầu nhập OTP trên trang web. Mã OTP để xác nhận giao dịch của chính bạn, không phải để "xác minh danh tính" trên một trang lạ.
- Bảo tải ứng dụng từ link. Đặc biệt là tệp cài đặt cho Android (đuôi .apk). Ứng dụng chính thức có trên kho ứng dụng của Apple hoặc Google.
- Người quen nhắn kèm link "bình chọn giúp", "xem ảnh này". Tài khoản của người quen có thể đã bị chiếm.
Thói quen an toàn: không cần nhận ra, vẫn không bị lừa
Nhận diện là tốt, nhưng mắt người có lúc mỏi. Một thói quen đơn giản bảo vệ bạn kể cả khi tin giả làm quá khéo:
Không bao giờ đăng nhập tài khoản quan trọng từ một đường link được gửi đến. Muốn kiểm tra tài khoản ngân hàng, mở ứng dụng ngân hàng có sẵn trên máy. Muốn tra đơn hàng, mở ứng dụng sàn thương mại điện tử. Muốn xem thông báo thuế, gõ địa chỉ trang thuế bằng tay hoặc dùng dấu trang đã lưu.
Vài thói quen đi kèm:
- Lưu sẵn dấu trang (bookmark) cho các trang hay dùng.
- Không cài ứng dụng ngoài kho chính thức. Trên Android, để tắt quyền "cài ứng dụng không rõ nguồn gốc".
- Bật xác thực hai lớp cho email và mạng xã hội — kẻ gian có mật khẩu vẫn chưa vào được.
- Cập nhật hệ điều hành, trình duyệt: các bản mới thường có bộ lọc cảnh báo trang lừa đảo.
Lỡ bấm rồi thì sao
Bấm vào link chưa chắc đã mất gì. Thiệt hại thường đến ở bước sau: nhập thông tin, nhập OTP, hoặc cài ứng dụng. Xử lý theo mức độ:
| Bạn đã làm gì | Việc cần làm ngay |
|---|---|
| Chỉ mở trang, chưa nhập gì | Đóng trang, xoá tin nhắn, báo cáo tin rác. Thường không cần làm thêm. |
| Đã nhập mật khẩu | Đổi mật khẩu ngay từ ứng dụng hoặc trang chính thức; nếu dùng chung mật khẩu ở nơi khác thì đổi luôn ở đó. |
| Đã nhập OTP hoặc số thẻ | Gọi tổng đài ngân hàng khoá thẻ, khoá dịch vụ ngân hàng điện tử; kiểm tra lịch sử giao dịch. |
| Đã cài ứng dụng lạ | Ngắt mạng, gỡ ứng dụng, dùng máy khác báo ngân hàng; cân nhắc khôi phục cài đặt gốc sau khi sao lưu ảnh, danh bạ. |
Nếu đã mất tiền, chụp lại tin nhắn, đường link, thời gian, rồi trình báo công an xã/phường nơi gần nhất.
Báo cáo và tra cứu
Có thể báo tin nhắn rác, tin nhắn lừa đảo tới đầu số 5656 hoặc 156 theo cú pháp nhà mạng hướng dẫn (kiểm tra trang nhà mạng vì cú pháp có thể đổi). Trên điện thoại, cả iPhone lẫn Android đều có nút báo tin nhắn rác trong ứng dụng Tin nhắn — tên mục có thể khác theo phiên bản. Muốn kiểm tra một đường link trước khi mở, có thể dán vào các công cụ tra cứu uy tín như trang chongluadao.vn — nhưng nhớ rằng trang lừa mới lập có thể chưa nằm trong danh sách đen. "Chưa bị báo cáo" không có nghĩa là an toàn.
Góc nhìn hôm nay: dạy mắt nhìn tên miền
Tin nhắn lừa đảo sẽ còn tinh vi hơn: viết đúng chính tả, đúng giọng thương hiệu, đúng thời điểm bạn đang chờ giao hàng. Thứ không đổi là cấu trúc tên miền. Bỏ ra năm phút ngồi cùng cha mẹ, con cái, chỉ cho họ cách tìm "chủ nhà thật" trong một đường link, là món quà phòng thân lâu dài. Tập bằng chính các tin nhắn rác trong máy — xem, đoán, rồi xoá — là cách học nhanh nhất.
Câu hỏi thường gặp
Bấm vào link lừa đảo có bị mất tiền không?
Chỉ mở trang thường chưa gây mất tiền. Rủi ro lớn đến khi bạn nhập mật khẩu, mã OTP, số thẻ hoặc cài ứng dụng từ trang đó. Nếu đã nhập thông tin, hãy đổi mật khẩu và gọi ngân hàng ngay.
Tin nhắn mang tên ngân hàng có chắc là thật không?
Không chắc. Kẻ gian từng dùng thiết bị phát sóng giả để gửi tin mang tên thương hiệu, khiến tin giả nằm chung luồng với tin thật. Hãy đánh giá nội dung: nếu có link yêu cầu đăng nhập hoặc nhập OTP thì nên coi là giả.
Có ổ khoá https là trang an toàn phải không?
Không. Ổ khoá chỉ cho biết dữ liệu được mã hoá trên đường truyền, không nói gì về chủ trang. Trang lừa đảo cũng có https. Thứ cần kiểm tra là tên miền.
Làm sao kiểm tra một đường link trước khi bấm?
Nhấn giữ để xem địa chỉ đầy đủ mà không mở, đọc phần tên miền trước dấu "/" đầu tiên. Có thể dán vào công cụ tra cứu lừa đảo uy tín, nhưng an toàn nhất vẫn là không mở link mà tự vào ứng dụng chính thức.
Ngân hàng có gửi link qua tin nhắn không?
Nhiều ngân hàng tại Việt Nam đã thông báo không gửi đường link trong tin nhắn SMS. Chính sách từng ngân hàng có thể khác, nên tra trên trang chính thức của ngân hàng bạn dùng và coi mọi link đăng nhập qua SMS là đáng ngờ.
