IT
09:12
Đích liên kết mô phỏng
NHẬN DIỆN PHISHING / WORKSHOP 20 PHÚT
Một email quen thuộc.
Một cú bấm khác biệt.
Bạn có kịp nhận ra chiếc bẫy trước khi bấm? Hãy nhập vai một nhân viên trong ngày làm việc bình thường: đọc email, tự ra quyết định, rồi cùng xem lại điều dễ bị bỏ lỡ. Không có đúng/sai để chấm điểm — chỉ có phản xạ để luyện.
↗
Không cần trở thành chuyên gia.
Chỉ cần biết khi nào nên dừng lại.
01 / ĐẶT MÌNH VÀO TÌNH HUỐNG
9:12 sáng. Hộp thư có thông báo mới.
Bối cảnh: Bạn là Minh tại NOVA Studio. Domain nội bộ đã biết: nova.example · Cổng nhân sự: people.nova.example.
◈ NOVA MailTìm kiếm trong thưM
02 / ĐẰNG SAU MỘT CÚ BẤM
Giao diện quen thuộc không phải bằng chứng.
GIẢI PHẪU MỘT URL
Tên miền thật nằm ở đâu?
https://nova.example.verify-access.example/login
Cách đọc trong 3 bước:
- Cắt bỏ mọi thứ sau dấu
/đầu tiên (ở đây là/login). - Đọc phần còn lại từ phải sang trái.
- Chủ thật là tên ngay sát đuôi (.com, .vn, .example…). Ở đây là verify-access.example — không phải NOVA.
“nova.example.” đứng trước chỉ là phần phụ do kẻ gian tự gắn thêm. Tên công ty nằm trong link không chứng minh điều gì nếu nó không đứng sát đuôi. Lưu ý vài đuôi có hai phần như .com.vn; khi phân vân, đối chiếu cả tên miền với địa chỉ chính thức bạn đã biết.
🔒 HTTPS chỉ mã hóa đường truyền — trang giả cũng xin được ổ khóa. Ổ khóa không nói website là thật.
Tất cả địa chỉ .example trên trang là địa chỉ minh họa.
↳
Phishing nhắm vào cảm xúc, không nhắm vào máy tính.
Khi thấy đủ 3 thứ — vẻ ngoài đáng tin + thúc giục gấp gáp + một việc cần làm ngay — đó chính là lúc nên dừng lại và xác minh.
03 / KIẾN THỨC MANG THEO
Một quy trình nhỏ. Một lớp bảo vệ lớn.
Cảm xúc là tín hiệu.
“Khóa tài khoản”, “nhận thưởng ngay”, “giữ bí mật” khiến bạn hành động vội. Email viết chuẩn, có logo đẹp vẫn có thể là giả.
Đổi sang kênh đã biết.
Tự mở ứng dụng hoặc bookmark chính thức. Gọi số trong danh bạ nội bộ, không dùng số hoặc đường dẫn nằm trong thông điệp đáng ngờ.
Báo sớm, không đổ lỗi.
Dùng chức năng báo cáo phishing hoặc kênh IT của tổ chức. Giữ lại email và thời điểm xảy ra để hỗ trợ kiểm tra; không chuyển tiếp link cho đồng nghiệp bấm thử.
Những điều dễ hiểu nhầm
“Có MFA thì không thể bị lừa?”
OTP vẫn có thể bị đánh cắp hoặc chuyển tiếp theo thời gian thực. Không chia sẻ OTP, không duyệt yêu cầu đăng nhập lạ. Ưu tiên passkey hoặc khóa bảo mật khi dịch vụ hỗ trợ.
“Tên miền có xn-- là lừa đảo?”
Đây là cách biểu diễn tên miền quốc tế bằng ASCII, không tự động có nghĩa là độc hại. Ký tự khác bảng chữ cái có thể trông giống nhau; hãy đối chiếu với địa chỉ đã xác minh.
“Chỉ email mới có phishing?”
SMS, mã QR, tin nhắn công việc và cuộc gọi đều có thể dẫn tới cùng một cái bẫy. Quét QR không làm đích liên kết đáng tin hơn.
“Trình quản lý mật khẩu sẽ chặn mọi trang giả?”
Việc không tự điền ở domain lạ là tín hiệu hữu ích. Công cụ này không thay thế việc kiểm tra tên miền và không bảo vệ khi bạn tự đưa thông tin cho người khác.
Bình tĩnh. Xử lý theo việc đã xảy ra.
- Chỉ mở liên kết
Đóng trang, không tải hay cấp quyền. Báo IT kèm link và thời điểm. Một cú bấm không tự động đồng nghĩa tài khoản đã bị chiếm.
- Đã nhập mật khẩu hoặc duyệt MFA
Từ ứng dụng/trang chính thức trên thiết bị tin cậy, đổi mật khẩu và báo IT ngay để thu hồi phiên đăng nhập. Đổi cả nơi dùng lại mật khẩu.
- Đã chạy tệp hoặc cài phần mềm
Ngừng thao tác và liên hệ IT qua thiết bị khác. Làm theo quy trình ứng phó của tổ chức; không tự xóa bằng chứng.
Đọc thêm: FTC · Nhận diện phishing ↗FBI · Giả mạo & phishing ↗
04 / KIỂM TRA PHẢN XẠ
Bạn chọn gì trong lần tới?
01 / 04