Các kiểu nội dung email lừa đảo người dùng: Cần biết để tránh mắc bẫy

Phishing là thủ đoạn mà tin tặc giả mạo các tổ chức uy tín để đánh cắp thông tin nhạy cảm của người dùng, như mật khẩu, mã xác thực một lần (OTP) hay dữ liệu tài khoản ngân hàng. Thống kê cho thấy phần lớn các vụ tấn công qua mạng những năm gần đây liên quan đến hình thức này, gây thiệt hại kinh tế to lớn trên toàn cầu, đồng thời tạo ra nhiều tổn thất tại Việt Nam.

Các dấu hiệu nhận biết đáng ngờ

Các thông điệp bắt bạn hành động gấp, ví dụ như đăng nhập ngay vào tài khoản để tránh bị khóa hoặc nhận phần thưởng trong thời gian giới hạn.

Địa chỉ email, số điện thoại gửi tin không trùng với kênh chính thức của ngân hàng hoặc ví điện tử, thường có dấu hiệu tự thêm hoặc thay đổi tên miền.

Các yêu cầu cung cấp mật khẩu hoặc mã OTP qua email, tin nhắn hoặc đường link được dẫn đến trang web giả mạo.

Link trong tin nhắn có chứa những tên miền tương tự nhưng không chính xác, ví dụ vietcombank-nganhang.com thay cho tên thật vietcombank.com.vn.

Nội dung tin nhắn hoặc email bị lỗi chính tả, câu cú không tự nhiên hoặc hình ảnh, logo bị méo mó, không sắc nét.

Hậu quả có thể gặp phải

Khi bạn vô tình làm theo hướng dẫn từ những tin nhắn hay email giả mạo, hậu quả rất nghiêm trọng, cụ thể:

- Thông tin cá nhân và tài khoản bị đánh cắp, dẫn đến rủi ro về an ninh danh tính, bị kẻ xấu sử dụng với mục đích gian lận.

- Tài khoản ngân hàng hoặc ví điện tử có thể bị rút hết tiền mà bạn không hề hay biết.

- Thiết bị điện tử của bạn có nguy cơ bị cài mã độc, tạo điều kiện cho hacker giám sát hoặc kiểm soát từ xa.

- Kẻ xấu sẽ lợi dụng tài khoản bị đánh cắp để tiếp tục lừa đảo người thân, bạn bè của bạn, làm tổn hại đến uy tín cá nhân.

Thực tế nạn phishing gần đây

Trong năm 2025, phishing sử dụng trí tuệ nhân tạo (AI) đã trở nên cực kỳ tinh vi và khó phát hiện. Các hacker ngày nay không chỉ gửi những email giả mạo đơn thuần mà còn ứng dụng AI để tạo ra những email được cá nhân hóa sâu sắc, mô phỏng chính xác phong cách viết và ngữ pháp của các ngân hàng hoặc ví điện tử. Ví dụ, những email giả mạo có thể rất giống với email thật được gửi từ Gmail, Outlook hay Apple Mail, khiến người dùng rất khó phân biệt. Mục tiêu của chiêu trò này là đánh cắp thông tin cá nhân như tài khoản đăng nhập, mật khẩu và mã OTP, từ đó thực hiện các vụ trộm danh tính và gian lận tài chính với quy mô ngày càng tăng. Theo các chuyên gia, những email phishing do AI tạo ra có tỷ lệ thành công cao gấp 3 lần so với những email giả mạo truyền thống vì tính thuyết phục và chính xác đến từng chi tiết nhỏ.

Bên cạnh đó, nhóm tội phạm mạng “Smishing Triad” cũng gia tăng hoạt động tấn công qua tin nhắn SMS, gọi là smishing. Chúng sử dụng hơn 200.000 tên miền giả mạo để gửi hàng loạt tin nhắn mạo danh các ngân hàng, ví điện tử, hoặc cơ quan nhà nước. Nội dung tin nhắn thường yêu cầu người nhận truy cập vào các đường link giả để nhập thông tin nhạy cảm như tài khoản, mật khẩu, mã OTP hoặc tải phần mềm có nguy cơ chứa mã độc. Chiêu này tận dụng sự phổ biến của điện thoại di động và tâm lý tin tưởng, khiến nhiều người không ngờ rằng mình đang bị lừa.

Một hình thức phishing ngày càng phổ biến khác là phishing mã QR hay còn gọi là “quishing”. Theo thống kê, hình thức này tăng khoảng 25% so với năm trước. Tội phạm mạng tạo các mã QR giả mạo mang liên kết dẫn đến trang web lừa đảo hoặc tự động tải mã độc về thiết bị khi người dùng quét mã. Nhiều người không kiểm tra kỹ mã QR trước khi quét, dẫn đến việc thiết bị của họ bị chiếm quyền kiểm soát hoặc bị đánh cắp thông tin mà không hay biết. Với sự bùng nổ của thanh toán không tiền mặt qua mã QR, phương thức quishing ngày càng trở thành mối nguy đáng lo ngại.

Tại Việt Nam, các vụ lừa đảo giả danh cơ quan nhà nước cũng gia tăng nhanh chóng. Kẻ gian thường gọi điện thoại hoặc gửi tin nhắn giả mạo công an, viện kiểm sát hay tòa án, dọa nạt người dân với các lý do vi phạm pháp luật và đe dọa sẽ xử lý nghiêm nếu không hợp tác. Chúng yêu cầu người dân chuyển tiền hoặc cài đặt các ứng dụng giả mạo, thực chất nhằm chiếm đoạt dữ liệu cá nhân và thông tin tài chính. Đây là chiêu thức ngày càng tinh vi, gây hoang mang và tổn thất không nhỏ cho nhiều người.

Ngoài ra, các chiến dịch phishing tại Việt Nam không chỉ nhắm vào người dùng có tài khoản tài chính mà còn tập trung vào khách hàng dịch vụ công trực tuyến. Các trang web giả mạo cơ quan chính phủ được tạo ra nhằm mục đích dụ dỗ người dùng tải phần mềm độc hại hoặc đánh cắp thông tin đăng nhập vào các hệ thống dịch vụ công, gây nguy hiểm cho an toàn dữ liệu cá nhân và quốc gia.

Trên bình diện quốc tế, một trong những chiến dịch phishing nổi bật năm 2025 là vụ tấn công vào hệ thống của Twilio - một nhà cung cấp nền tảng giao tiếp lớn. Các tin tặc sử dụng chiêu thức spear-phishing (tấn công nhắm mục tiêu cao) rất tinh vi để xâm nhập và lấy cắp dữ liệu khách hàng. Cùng lúc đó, ransomware Petya (phần mềm độc hại thuộc nhóm ransomware) trở lại gây thiệt hại lớn cho nhiều doanh nghiệp thông qua các email phishing chứa mã độc. Những vụ việc này cảnh báo mức độ nguy hiểm và mức độ tinh vi của các cuộc tấn công mạng đang ngày càng gia tăng.

Làm sao để tự bảo vệ mình?

Để tránh trở thành nạn nhân của hành vi phishing, bạn cần tuân thủ các nguyên tắc sau:

- Tuyệt đối không nhấn vào những đường link lạ trong email hoặc tin nhắn mà chưa xác định rõ nguồn gốc.

- Kiểm tra chính xác địa chỉ gửi tin có đúng với tên miền và số điện thoại được ngân hàng hoặc ví điện tử công bố.

- Không bao giờ cung cấp mã OTP, mật khẩu hoặc thông tin thẻ ngân hàng qua email, SMS hoặc điện thoại.

- Kích hoạt xác thực hai bước (2FA) cho mọi tài khoản trực tuyến quan trọng nhằm tăng cường bảo mật.

- Chỉ truy cập website ngân hàng qua địa chỉ có giao thức bảo mật https:// và biểu tượng ổ khóa hiện trên trình duyệt.

- Khi nghi ngờ, hãy báo ngay với ngân hàng hoặc cơ quan chức năng để được hỗ trợ và xử lý kịp thời.

- Cập nhật thường xuyên hệ điều hành, phần mềm và các ứng dụng trên thiết bị để vá các điểm yếu bảo mật.

Ngày nay, kẻ gian ngày càng tinh vi với sự trợ giúp của công nghệ AI, khiến các email và tin nhắn giả mạo trông rất giống thật, kèm theo ngôn ngữ chuẩn xác, khó bị phát hiện. Việc tự trang bị kiến thức và cảnh giác là biện pháp tốt nhất để bảo vệ tài sản và thông tin cá nhân trước các rủi ro trực tuyến.