Một ký tự có thể tạo ra cái bẫy
Giả mạo tên miền bằng ký tự tương đồng là thủ đoạn tạo địa chỉ website trông gần giống trang thật bằng cách thay chữ cái thông thường bằng ký tự từ hệ chữ viết khác, khiến người truy cập khó nhận ra sự khác biệt bằng mắt thường. Đây không phải lỗi đánh máy vô hại: một địa chỉ chỉ lệch một ký tự có thể đưa bạn đến trang được dựng để lấy cắp dữ liệu.
Kẻ lừa đảo có thể thay chữ “a” Latin bằng chữ α của bảng chữ cái Hy Lạp; cảnh báo khác nêu cách thay chữ “a” trong amazon.com bằng một ký tự tương tự thuộc bảng chữ cái Cyrillic. Hai ví dụ mô tả các ký tự khác nhau, nhưng cùng cho thấy cốt lõi của thủ đoạn: tên miền kỹ thuật là khác, còn hình thức hiển thị có thể khiến người dùng tưởng đó là địa chỉ quen thuộc. Một số ký tự Unicode còn có thể vô hình hoặc làm sai lệch cách hiển thị đường dẫn. Những kỹ thuật này thường được gọi là “chữ ma website”.
Mức độ nguy hiểm nằm ở chỗ người dùng có thể không nhận ra mình đã rời khỏi trang chính thức cho đến khi đã nhập thông tin nhạy cảm.
Giao diện quen thuộc không chứng minh trang là thật
Website ngân hàng giả có thể sao chép giao diện, logo và nội dung của ngân hàng, doanh nghiệp, sàn thương mại điện tử hoặc mạng xã hội để tạo cảm giác đáng tin. Đường dẫn thường được phát tán qua SMS, email, Zalo, Facebook, quảng cáo hoặc hội nhóm, đi kèm lời thúc giục như xác minh tài khoản, xử lý đơn hàng, nhận quà, hoàn tiền hay cập nhật thông tin thanh toán. Sự khẩn cấp là một phần của cái bẫy: nó khiến người nhận bấm nhanh thay vì dừng lại kiểm tra.
Khi nạn nhân nhập tên đăng nhập, mật khẩu, mã OTP, mã PIN hoặc dữ liệu thẻ, thông tin có thể đến tay kẻ lừa đảo để chiếm tài khoản và tài sản. Biểu tượng ổ khóa hay HTTPS cũng không đủ để chứng minh website an toàn, bởi trang giả vẫn có thể dùng giao thức này. Vì vậy, đừng đánh giá một trang bằng vẻ ngoài chỉn chu hoặc ổ khóa trên trình duyệt; tên miền mới là thứ cần kiểm tra trước khi đăng nhập hay thanh toán.
Cách kiểm tra địa chỉ trước khi nhập dữ liệu
Kiểm tra địa chỉ web cần trở thành thói quen trước mỗi lần đăng nhập hoặc thanh toán, nhất là khi đường dẫn đến từ tin nhắn hay email. Đừng chỉ đọc lướt phần đầu tên miền: hãy rà từng ký tự, dấu chấm, dấu gạch nối và phần mở rộng; chú ý chữ có hình dạng bất thường hoặc địa chỉ chỉ khác nhẹ so với tên quen thuộc. Nếu không chắc, đừng tiếp tục trên trang đó.
- Không mở tùy tiện đường dẫn lạ, nhất là liên kết yêu cầu đăng nhập hoặc xác thực tài khoản.
- Tự nhập địa chỉ chính thức đã xác minh hoặc mở ứng dụng chính thức của ngân hàng, doanh nghiệp.
- Kiểm tra toàn bộ tên miền, gồm ký tự, dấu câu và phần mở rộng; không dựa vào giao diện hay biểu tượng ổ khóa.
- Không nhập mật khẩu, mã OTP, mã PIN hoặc thông tin thẻ trên website chưa được xác minh.
- Nếu nhận yêu cầu bất thường, liên hệ đơn vị qua kênh chính thức để xác nhận trước khi hành động.
Đừng để một thông báo có vẻ khẩn cấp quyết định thay bạn. Mất vài giây kiểm tra thường đáng giá hơn việc phải xử lý hậu quả của một lần nhập nhầm.
Nếu đã nhập thông tin, hãy hành động ngay
Nếu đã cung cấp dữ liệu trên một trang đáng ngờ, hãy đổi mật khẩu ngay từ thiết bị an toàn và liên hệ ngân hàng hoặc đơn vị cung cấp dịch vụ để bảo vệ tài khoản. Nếu có thể, bật xác thực đa yếu tố, lưu lại bằng chứng liên quan và trình báo cơ quan công an. Với tài khoản thanh toán, đừng chờ xem có giao dịch lạ hay không mới gọi ngân hàng; báo sớm giúp đơn vị có cơ hội hỗ trợ bảo vệ tài khoản.
Các biện pháp bổ sung như dùng mật khẩu mạnh, cập nhật hệ điều hành và trình duyệt, hoặc sử dụng công cụ cảnh báo website độc hại có thể tăng lớp phòng vệ. Nhưng không biện pháp nào thay thế được việc xác minh đúng địa chỉ trước khi nhập thông tin. Kết luận rất rõ: tên miền nhìn giống thật chưa chắc là thật. Hãy tự mở kênh chính thức, kiểm tra từng ký tự và chỉ tiếp tục khi đã xác nhận đúng trang.
