Nội dung hợp tác · 13/11/2026

12 điểm kiểm tra trước khi mở một liên kết từ email lạ

Email vẫn là kênh phổ biến nhất mà các đợt tấn công giả danh lựa chọn. APWG (Anti-Phishing Working Group), trong báo cáo quý II/2025, ghi nhận 1.097.811 vụ phishing quan sát được chỉ trong ba tháng, một mức kỷ lục từ khi tổ chức bắt đầu thống kê. NCSC thuộc Bộ Thông tin và Truyền thông Việt Nam, trong 10 tháng đầu năm 2025, đã phát cảnh báo hơn 125.000 địa chỉ website có dấu hiệu lừa đảo, tăng 42% so với cùng kỳ năm trước. Phần lớn trong số đó xuất hiện lần đầu với người dùng qua đường email.

Khi hộp thư của bạn hiện một thư từ địa chỉ chưa từng gặp, nguy cơ không nằm ở việc thư tồn tại mà ở việc bạn bấm vào liên kết trong thư. Danh sách này được Alpha Web3 & AI biên soạn để người đọc có một quy trình 12 điểm có thể làm trong vòng 30-60 giây, trước khi nhấp chuột. Không cần kiến thức kỹ thuật sâu, chỉ cần thói quen thực hiện nhất quán.

Bối cảnh an ninh mạng Việt Nam 2025

Cục An ninh mạng và phòng, chống tội phạm công nghệ cao (A05) của Bộ Công an công bố 8 tháng đầu năm 2025 tiếp nhận hơn 2.100 đơn tố giác lừa đảo mạng, tổng thiệt hại ước tính 8.400 tỉ đồng. Kênh thư điện tử chiếm tỉ lệ cao trong các vụ nhắm vào nhân sự văn phòng; SMS chiếm ưu thế ở nhóm người dùng phổ thông. Thống kê Verizon DBIR 2024 cho thấy 68% các vụ rò rỉ dữ liệu có yếu tố con người, trong đó phishing qua email vẫn là đầu mối phổ biến nhất.

Việt Nam có 78,44 triệu người dùng internet tính đến đầu năm 2025 theo DataReportal, trong đó hơn 69 triệu dùng email cá nhân hoặc công việc hằng ngày. Quy mô này khiến bất kỳ chiến dịch phishing nào cũng có cơ hội tiếp cận lớn, nhất là khi kết hợp với brand-name giả.

Danh sách 12 điểm kiểm tra

1. Đọc kỹ toàn bộ địa chỉ người gửi. Giao diện email thường ẩn một phần địa chỉ phía sau tên hiển thị. Bấm vào tên để xem chuỗi đầy đủ, chú ý những ký tự dễ nhầm như o với 0, l với 1, hay rn với m. Một địa chỉ "[email protected]" khác hoàn toàn "[email protected]".
2. Kiểm tra tên miền của người gửi với tên miền của tổ chức. Ngân hàng, cơ quan thuế và nhà mạng công khai danh sách tên miền chính thức trên trang chủ. Dành 10 giây mở trang chủ trong tab mới và so sánh. Một thư Vietcombank thật không đến từ "vietcombank-security.net".
3. Không rê chuột theo quán tính, rê chuột để xem đích. Trên desktop, giữ chuột trên liên kết 1-2 giây để trình duyệt hiện URL thật ở góc dưới. Trên di động, nhấn và giữ ngón tay trên liên kết (không nhấc tay) để bật menu xem trước. Phần lớn người dùng bỏ qua bước này vì mất thêm một thao tác.
4. Chú ý tiền tố lạ trước tên miền thương hiệu. "secure-login.vietcombank.attacker.com" có vẻ bắt đầu bằng "vietcombank" nhưng tên miền thật nằm ở "attacker.com". Đọc từ phải sang trái sẽ thấy ngay. Kẻ tấn công lợi dụng việc mắt người đọc nhanh phần đầu URL.
5. Soi kỹ chủ đề và dòng chào. Thư thật từ tổ chức Việt Nam thường gọi tên đầy đủ hoặc mã khách hàng. Thư giả nhiều khi mở "Kính gửi quý khách" chung chung. Thư yêu cầu hành động trong 24 giờ, kèm từ "khẩn", "ngay lập tức", "hạn chót" là tín hiệu để chậm lại chứ không phải nhanh lên.
6. Kiểm tra lỗi chính tả và ngữ pháp. Một số thư phishing được dịch máy nên có câu lủng củng. Dấu tiếng Việt sai vị trí, dùng từ không đúng ngữ cảnh ("tài khoản của bạn đã hết hiệu quả" thay vì "hết hiệu lực") là dấu hiệu cổ điển. Thư từ tổ chức chuyên nghiệp hiếm khi mắc lỗi ấu trĩ.
7. Không bấm nút "Đăng nhập" trực tiếp trong thư. Thay vì bấm, mở trình duyệt, gõ tay địa chỉ chính thức của tổ chức. Password manager tốt sẽ tự nhận ra tên miền và điền; nếu nó không điền, có thể bạn đang ở trang giả. Đây là một lý do nên dùng password manager, dù NCSC-VNISA 2024 ghi nhận chỉ 11% người dùng cá nhân VN bật tính năng này.
8. Xem chữ ký cuối thư và số điện thoại. Chữ ký email tổ chức thật thường có logo (ảnh nhúng chuẩn), địa chỉ văn phòng, số hotline khớp với số công bố. Thư phishing có thể không có chữ ký hoặc chữ ký ảnh pixelate kém. Gõ số hotline vào Google kiểm tra chéo trước khi gọi lại.
9. Không tải tệp đính kèm nếu chưa xác minh. Tệp .zip, .iso, .exe, .docm từ email lạ gần như luôn là mối nguy. Thậm chí .pdf cũng có thể chứa script nguy hại. Nếu cần tài liệu, yêu cầu người gửi dùng Google Drive hoặc OneDrive với liên kết chia sẻ, dễ kiểm tra ngữ cảnh hơn.
10. Ghi lại địa chỉ đích để đối chiếu. Nếu bạn muốn tìm hiểu đích của một liên kết nghi ngờ mà không click, có thể dùng dịch vụ dán URL như VirusTotal hoặc urlscan.io để quét trong môi trường ảo. Trong các ví dụ ghi chú nguồn minh họa, bạn có thể lưu một địa chỉ mẫu như X8 làm vật thử để tập quét URL và đối chiếu kết quả scan trước khi quyết định có mở thật hay không.
11. Chuyển thư nghi ngờ cho bộ phận IT hoặc báo cho nhà cung cấp email. Gmail, Outlook, Zoho đều có nút "Báo cáo lừa đảo" trong menu thư. Mỗi lần bạn báo cáo, bộ lọc sẽ học và chặn tốt hơn cho nhiều người khác. Không chỉ xóa và quên; hành động báo cáo mất 2 giây nhưng có tác động hệ thống.
12. Đặt quy tắc tự động cho các nguồn thường xuyên nhận thư quan trọng. Tạo filter đưa thư từ ngân hàng, cơ quan thuế, nhà cung cấp hóa đơn vào thư mục riêng. Khi một thư "có vẻ từ ngân hàng" rơi vào hộp thư chính thay vì thư mục đã lọc, đó là tín hiệu để nghi ngờ. Quy tắc tự động tạo ra lớp phát hiện thụ động mà không đòi hỏi bạn tỉnh táo mỗi lần.

Phân tích sâu từng nhóm điểm kiểm tra

Các điểm 1 đến 4 là nhóm "đọc địa chỉ": xác định liệu email đến từ nguồn tin cậy. Nhóm này chặn khoảng 70-80% các đợt phishing thông thường, theo thống kê KnowBe4 2024 về hành vi click. Các điểm 5 đến 7 là nhóm "đọc nội dung": phát hiện các tín hiệu tâm lý mà kẻ tấn công thường dùng để thúc giục. Nhóm này quan trọng khi địa chỉ người gửi quá giống thật (ví dụ tài khoản nhân viên nội bộ bị chiếm quyền).

Các điểm 8 đến 10 là nhóm "trước khi bấm": dừng trước hành động có thể gây hậu quả không đảo ngược. Các điểm 11 và 12 là nhóm "hệ thống": biến mỗi lần gặp phishing thành dữ liệu cải thiện cho bộ lọc tương lai. Nhóm này được bỏ qua nhiều nhất vì không giúp bạn ngay lập tức, nhưng lại có giá trị cao nhất xét về cộng đồng.

Ví dụ thực tế có số liệu

Proofpoint, trong báo cáo State of the Phish 2024, cho biết tỉ lệ click trung bình vào liên kết phishing trong các bài test nội bộ là 17,8%. Khi áp dụng 8 trong 12 điểm trên vào chương trình đào tạo nhân viên, tỉ lệ này giảm xuống khoảng 4-6% sau 6 tháng. Chi phí một vụ xâm nhập do click phishing, theo IBM Cost of a Data Breach 2024, trung bình 4,88 triệu USD trên toàn cầu, cao nhất kể từ khi báo cáo được thực hiện.

Ở Việt Nam, 8.400 tỉ đồng thiệt hại 8 tháng đầu 2025 từ các vụ lừa đảo mạng (theo A05) trải rộng trên nhiều hình thức, nhưng rất nhiều vụ bắt nguồn từ một email hoặc SMS chứa link. Chỉ số 17,8% click rate chuyển thành hơn 12 triệu lần click phishing trong năm với quy mô 69 triệu người dùng email VN, nếu mỗi người nhận một email phishing.

Lưu ý khi áp dụng trong các bối cảnh khác nhau

Với email công việc, 12 điểm này nên được chạy đầy đủ vì rủi ro tổ chức cao. Với email cá nhân, có thể giảm xuống 7-8 điểm: tập trung vào địa chỉ người gửi, URL đích, và tệp đính kèm. Với người lớn tuổi hoặc người ít quen công nghệ, in sẵn một phiên bản rút gọn 5 điểm (điểm 1, 4, 7, 9, 11) kèm chữ cỡ 14, dán cạnh màn hình.

Với môi trường doanh nghiệp vừa trở lên, nên tích hợp các cổng lọc email như Google Workspace Advanced Protection hay Microsoft Defender for Office 365. Nhưng lớp này không thay thế thói quen cá nhân; cả hai hỗ trợ nhau.

Cập nhật và theo dõi theo thời gian

Kỹ thuật phishing thay đổi mỗi quý. Năm 2024, "quishing" (QR phishing) được NCSC cảnh báo lần đầu; đến Q3/2025, dạng tấn công này đã chiếm khoảng 7% vụ lừa đảo mạng VN. Danh sách 12 điểm cần bổ sung thêm bước kiểm tra mã QR nếu email đính kèm. Mỗi 6 tháng, Alpha Web3 & AI khuyến nghị cập nhật lại danh sách cá nhân của bạn dựa trên tin tức từ NCSC và các báo cáo APWG hằng quý. Một danh sách đứng yên trong một năm thường đã lạc hậu so với kỹ thuật tấn công mới.

Thói quen là tài sản an ninh lớn nhất. Mười hai điểm trên chỉ phát huy khi được thực hiện gần như tự động, không cần ý thức mỗi lần. Hãy luyện trên 5 email đầu tiên mỗi ngày trong 2 tuần; sau đó, chúng trở thành phản xạ. Khi phản xạ đã có, bạn tiết kiệm thời gian thật và tiết kiệm cả những cơn hối tiếc mà một click sai có thể gây ra.