1) Lừa đảo email thường nhắm vào điều gì?

Đa số scam qua email không phải kiểu “hacker siêu ngầu”. Chúng là tâm lý học. Kẻ xấu muốn bạn vội, sợ, hoặc tham. Khi bạn mất bình tĩnh, bạn sẽ bấm link nhanh hơn và ít kiểm tra hơn. Những mục tiêu phổ biến gồm:

• Đánh cắp tài khoản: mạng xã hội, email chính, dịch vụ streaming, game, sàn thương mại điện tử.
• Lấy thông tin thanh toán: thẻ, tài khoản ngân hàng, ví điện tử.
• Lấy mã xác minh (OTP/2FA): để đăng nhập thay bạn trong vài phút “vàng”.
• Gài phần mềm độc: qua file đính kèm hoặc link tải “hóa đơn”, “biên lai”, “hợp đồng”.
• Lừa chuyển tiền: giả làm sếp/đối tác, “chuyển gấp”, “đúng quy trình”, “không hỏi lại”.

Khi bạn hiểu mục tiêu, bạn sẽ nhìn email với “con mắt khác”: mọi câu chữ đều nhằm kéo bạn làm một hành động.

2) 7 dấu hiệu nhận biết phishing (email giả mạo) cực nhanh

Phishing là kiểu giả mạo thương hiệu hoặc người quen để bạn cung cấp thông tin. Dưới đây là các dấu hiệu rất hay gặp:

1. Tạo cảm giác khẩn cấp: “Tài khoản sẽ bị khóa trong 30 phút”, “Đơn hàng bị giữ”, “Thanh toán thất bại”. Email thật có thể nhắc nhở, nhưng ít khi ép bạn hoảng loạn bằng đồng hồ đếm ngược.
2. Lời chào chung chung: “Kính gửi quý khách”, “Dear user” thay vì gọi đúng tên như bạn hay thấy trong dịch vụ bạn dùng.
3. Đường link nhìn giống mà không phải: thay 1 ký tự, thêm dấu gạch, dùng tên miền lạ. Ví dụ “support-xxxxx.com” thay vì tên miền chính thức.
4. Yêu cầu thông tin nhạy cảm: mật khẩu, mã OTP, số thẻ, ảnh giấy tờ, mã dự phòng. Dịch vụ uy tín gần như không yêu cầu bạn gửi OTP qua email.
5. Lỗi chính tả / ngữ pháp hoặc câu chữ “dịch máy” khó hiểu. Không phải lúc nào cũng đúng, nhưng là dấu hiệu đáng cảnh giác.
6. Tệp đính kèm bất ngờ: “invoice”, “receipt”, “contract”, “scan”. Nếu bạn không chờ file đó, coi như nguy hiểm.
7. Nội dung không khớp lịch sử: bạn không đặt hàng nhưng email nói “đơn hàng đang giao”, bạn không đăng nhập nhưng email nói “đăng nhập từ thiết bị mới”.

Chỉ cần gặp 2–3 dấu hiệu cùng lúc, bạn nên dừng lại và kiểm tra kỹ trước khi bấm bất cứ thứ gì.

3) Kiểm tra “người gửi” đúng cách: đừng chỉ nhìn tên hiển thị

Nhiều email lừa đảo đặt tên hiển thị y như thật: “PayPal Support”, “Shopee”, “Ngân hàng X”, “Apple”. Nhưng cái quan trọng là địa chỉ email thật và tên miền.

Cách làm nhanh:

• Trên điện thoại: bấm vào tên người gửi để xem email đầy đủ (phần sau dấu @).
• Trên máy tính: rê chuột lên tên người gửi hoặc mở chi tiết header (nếu có).
• So sánh tên miền: dịch vụ thật thường dùng tên miền chính thức. Nếu thấy đuôi lạ, đuôi dài, hoặc biến thể (thêm “-verify”, “-security”, “-help”), hãy cảnh giác.

Mẹo tâm lý: kẻ lừa đảo muốn bạn chỉ nhìn “logo + tên hiển thị”. Hãy tập thói quen nhìn dấu @ trước, nhìn logo sau.

4) Kiểm tra link an toàn: 3 bước trước khi click

Phần nguy hiểm nhất của email lừa đảo thường nằm ở link. Bạn không cần là chuyên gia để kiểm tra, chỉ cần 3 bước:

Bước 1: Di chuột (hoặc nhấn giữ) để xem URL thật

• Trên máy tính, rê chuột lên link sẽ thấy URL ở góc trình duyệt.
• Trên điện thoại, nhấn giữ link để xem trước (preview) hoặc copy link.

Bước 2: Nhìn tên miền, không nhìn phần đầu

Kẻ xấu có thể đặt link kiểu: secure-login.bank.com.fake-domain.xyz. Bạn sẽ thấy “bank.com” ở giữa và tưởng thật. Nhưng tên miền thật là phần cuối: fake-domain.xyz.

Bước 3: Nếu nghi ngờ, tự mở website bằng cách gõ tay

Đây là cách “chắc ăn”: thay vì bấm link trong email, bạn mở trình duyệt và tự gõ tên website chính thức, rồi đăng nhập từ đó. Nếu email là thật, thông báo cũng sẽ xuất hiện trong tài khoản của bạn.

5) File đính kèm: thứ “trông vô hại” nhưng dễ dính nhất

Rất nhiều vụ lừa đảo bắt đầu bằng một file: “hóa đơn”, “phiếu giao hàng”, “bảng lương”, “hợp đồng”, “ảnh chụp”. File có thể chứa macro độc hại, hoặc dẫn bạn tới trang cài phần mềm giả.

Quy tắc vàng với file đính kèm:

• Không mở file nếu bạn không chờ nó, dù email nhìn rất “chuẩn”.
• Cẩn thận với .zip/.rar/.7z: bên trong có thể chứa file thực thi hoặc script.
• Cẩn thận với file Office yêu cầu “Enable Content/Enable Macro”. Nếu bạn không hiểu macro là gì, hãy coi đó là biển đỏ.
• PDF cũng không tuyệt đối an toàn: PDF có thể chứa link độc hoặc nội dung lừa. Mở PDF không đồng nghĩa phải bấm link trong đó.

Nếu bạn thật sự cần xem “hóa đơn”, cách an toàn là: vào thẳng website/app chính thức của dịch vụ, kiểm tra hóa đơn ở đó. Email chỉ nên là kênh thông báo, không phải nơi bạn tải “tài liệu quan trọng” về máy.

6) Scam OTP/2FA: chiêu nguy hiểm nhất vì đánh vào thói quen

Rất nhiều người nghĩ: “OTP là để bảo vệ mình.” Đúng, nhưng nếu bạn đưa OTP cho kẻ xấu, OTP trở thành chìa khóa mở cửa. Các scam phổ biến:

• Giả làm nhân viên hỗ trợ: bảo bạn đọc OTP để “xác nhận hoàn tiền”, “xác minh tài khoản”.
• Giả cảnh báo bảo mật: nói có đăng nhập lạ và yêu cầu bạn bấm link để “khóa ngay”.
• Đánh lạc hướng: tạo nhiều thông báo, khiến bạn tưởng OTP là từ hành động bạn vừa làm.

Quy tắc cần nhớ: OTP không bao giờ là thứ bạn nên đưa cho ai khác. Dịch vụ thật không cần bạn đọc OTP cho nhân viên qua email/điện thoại/chat lạ.

7) Câu chuyện ngắn: chỉ một click “nhanh cho xong”

Minh vừa đặt một món đồ trên mạng. Buổi trưa nhận email “Đơn hàng bị giữ do thiếu thông tin, vui lòng xác nhận trong 15 phút”. Logo nhìn quen, tiêu đề viết rất tự tin. Minh đang bận nên bấm luôn.

Trang mở ra giống y hệt web giao hàng, yêu cầu đăng nhập để “cập nhật địa chỉ”. Minh nhập email và mật khẩu. Xong. Ba phút sau, điện thoại rung: thông báo đăng nhập từ thiết bị lạ. Minh hoảng, nhưng đã muộn: kẻ xấu đổi mật khẩu và bật 2FA của họ.

Sau đó Minh mới phát hiện: email gửi từ một tên miền lạ, link có thêm dấu gạch nhỏ ở giữa. Nếu Minh gõ tay website giao hàng thay vì bấm link, Minh đã không mất cả buổi chiều đi khôi phục tài khoản.

Câu chuyện này không hiếm. Và nó xảy ra chỉ vì một hành động “bấm cho nhanh”. Thói quen an toàn không làm bạn chậm đi nhiều, nhưng giúp bạn tránh một loạt rắc rối kéo dài.

8) Dùng email tạm (temporary email) có giúp an toàn hơn không?

Email tạm rất hữu ích để giảm spam và tránh lộ email chính khi đăng ký thử. Nhưng nó không tự động “chống lừa đảo”. Bạn vẫn có thể nhận email phishing trong inbox tạm như thường.

Tuy nhiên, email tạm giúp bạn tách rủi ro: nếu một website đáng ngờ bị lộ dữ liệu, email chính của bạn không bị kéo vào danh sách spam hoặc bị liên kết với quá nhiều tài khoản phụ. Bạn dùng email tạm để “lọc” các đăng ký không quan trọng, còn tài khoản quan trọng vẫn dùng email bạn kiểm soát lâu dài.

• Nên dùng email tạm: tải tài liệu, đăng ký thử, nhận coupon, test dịch vụ.
• Không nên dùng email tạm: ngân hàng, ví tiền, tài khoản làm việc, dịch vụ bạn cần khôi phục lâu dài.

9) Checklist 60 giây: đọc email theo thói quen an toàn

Nếu bạn chỉ nhớ một phần của bài viết, hãy nhớ checklist này. Trước khi bấm link hoặc mở file:

• Nhìn người gửi: tên miền sau dấu @ có đúng không?
• Đọc tiêu đề: có đang tạo cảm giác khẩn cấp hoặc dọa dẫm không?
• Kiểm tra link: xem URL thật, nhìn tên miền phần cuối.
• Không chia sẻ OTP: không ai cần OTP của bạn để “hỗ trợ”.
• Không mở file lạ: nhất là file nén, file Office yêu cầu bật macro.
• Tự gõ website: nếu email yêu cầu đăng nhập, hãy mở site chính thức bằng cách gõ tay.

Checklist này giống như thắt dây an toàn: bạn làm mỗi ngày, không thấy “lợi” ngay lập tức, nhưng nó cứu bạn đúng lúc nhất.

10) Khi đã lỡ bấm link hoặc nhập thông tin: làm gì ngay?

Nếu bạn nghi đã bấm link độc hoặc nhập mật khẩu vào trang giả, điều quan trọng nhất là hành động nhanh nhưng bình tĩnh:

1. Đổi mật khẩu ngay trên website/app chính thức (tự gõ địa chỉ, không bấm link trong email).
2. Bật 2FA nếu chưa bật, và đổi mã dự phòng nếu có.
3. Đăng xuất khỏi mọi thiết bị (nhiều dịch vụ có nút “log out all sessions”).
4. Kiểm tra hoạt động gần đây: đăng nhập lạ, email khôi phục có bị đổi không.
5. Quét máy nếu bạn đã tải file hoặc cài thứ gì đó.
6. Cảnh báo người thân/đồng nghiệp nếu tài khoản của bạn có thể bị dùng để gửi lừa đảo tiếp.

Đừng xấu hổ vì bị lừa. Scam được thiết kế để trông “rất thật”. Quan trọng là bạn khóa rủi ro lại càng sớm càng tốt.

11) Kết luận: an toàn email là một thói quen, không phải một ứng dụng

Bạn không cần phải “rành công nghệ” để an toàn. Thứ giúp bạn tránh phần lớn lừa đảo chỉ là thói quen kiểm tra: nhìn đúng địa chỉ người gửi, kiểm tra tên miền của link, không mở file bất ngờ, và không đưa OTP cho bất kỳ ai.

Email nào cũng có thể bị nhắm tới — hộp thư chính, hộp thư phụ, thậm chí email tạm. Nhưng khi bạn giữ được bình tĩnh và làm đúng vài bước cơ bản, trò lừa sẽ tự hết “đất diễn”.