Bộ lọc email hiện nay không đọc thư như người. Nó chấm điểm từng lá thư dựa trên nhiều tín hiệu cùng lúc: thư có thật sự đi từ máy chủ của tên miền người gửi không, đường link dẫn tới đâu, tệp đính kèm có hành vi lạ không, người gửi đã từng liên lạc với bạn chưa, và giọng văn có giống hàng triệu thư lừa nó đã thấy không. Điểm vượt ngưỡng thì thư bị đẩy vào mục spam, bị gắn cảnh báo hoặc bị chặn hẳn.
Cách làm này chặn được phần lớn thư rác và thư lừa gửi hàng loạt, nhưng không chặn được tất cả. Thư nào đi từ một tài khoản thật đã bị chiếm, viết riêng cho một người, không có đường link, thì gần như không để lại dấu vết nào cho máy bắt. Bài này giải thích bộ lọc nhìn vào đâu, vì sao vẫn có thư lọt, và vài việc nhỏ giúp hộp thư của bạn lọc chính xác hơn theo thời gian.
Bộ lọc nhìn vào những gì trong một lá thư
Người gửi có đúng là người gửi không. Khi một thư tự xưng đến từ ngân hàng hay công ty giao hàng, máy chủ nhận sẽ kiểm xem thư có đi ra từ máy chủ mà tên miền đó khai báo hay không. Ba cơ chế thường được nhắc là SPF, DKIM và DMARC; bạn không cần nhớ tên, chỉ cần hiểu rằng đây là "giấy tờ tuỳ thân" của lá thư. Thư thiếu giấy tờ hoặc giấy tờ không khớp thì bị trừ điểm nặng.
Đường link dẫn tới đâu. Bộ lọc mở từng đường link trong thư ra để xem: tên miền đó mới đăng ký mấy hôm, có nằm trong danh sách trang lừa đã biết không, trang đích có ô nhập mật khẩu giả giao diện quen thuộc không. Nhiều hệ thống còn kiểm lại đường link lần nữa lúc bạn bấm, vì kẻ gian hay đổi nội dung trang sau khi thư đã vào hộp.
Tệp đính kèm làm gì khi được mở. Tệp văn bản, bảng tính, tệp nén có thể được mở thử trong một môi trường cách ly để xem nó có cố tải thêm thứ gì về, có chạy lệnh ẩn không. Tệp nén có đặt mật khẩu thường bị nghi vì máy không mở ra kiểm được.
Cách lá thư được gửi. Một tài khoản bỗng gửi cùng nội dung cho vài nghìn địa chỉ, hoặc gửi vào giờ khác hẳn thói quen, là tín hiệu mạnh. Mô hình học máy giỏi nhất ở chỗ này: nó thấy được những khuôn mẫu ở quy mô mà con người không thể theo dõi.
Nội dung và giọng văn. Thúc giục, doạ khoá tài khoản, đòi xác minh gấp, nhắc tới tiền và mật khẩu trong cùng một thư. Đây vẫn là tín hiệu, nhưng ngày càng yếu, vì kẻ lừa giờ dùng chính công cụ AI để viết thư trơn tru, đúng chính tả, đúng giọng công sở.
Từ danh sách đen tới học máy: bộ lọc đã thay đổi ra sao
Những bộ lọc thư rác đầu tiên làm việc như người gác cổng cầm danh sách: địa chỉ nào từng gửi rác thì chặn, thư nào có những cụm từ quen thuộc của thư quảng cáo thì đẩy ra ngoài. Kẻ gửi rác chỉ cần đổi địa chỉ, viết sai chính tả có chủ ý, chèn chữ vào ảnh là qua được. Bước tiếp theo là lọc theo xác suất: hệ thống đếm xem một từ, một cụm ký tự xuất hiện trong thư rác nhiều hơn thư thường bao nhiêu lần, rồi cộng dồn thành điểm. Cách này tự thích nghi khi người dùng đánh dấu thư, nên nó học được thói quen của từng hộp thư.
Các dịch vụ email lớn bây giờ dùng mô hình học máy được huấn luyện trên lượng thư khổng lồ, kết hợp hàng trăm tín hiệu chứ không chỉ chữ trong thư. Điểm mạnh là chúng phát hiện được một chiến dịch lừa mới chỉ sau vài phút, khi đủ nhiều người nhận cùng một kiểu thư. Điểm yếu là chúng vẫn học từ quá khứ: một kiểu lừa hoàn toàn mới, gửi ít, nhắm vào đúng một công ty, thì chưa có gì để so.
Sự xuất hiện của các mô hình viết chữ như ChatGPT, Gemini hay Claude làm thay đổi cán cân ở phần nội dung. Ngày trước, thư lừa sai chính tả và câu cú vụng là dấu hiệu dễ thấy; nay kẻ gian có thể viết thư sạch sẽ bằng tiếng Việt chỉ trong vài giây. Vì vậy các bộ lọc dồn trọng tâm sang tín hiệu khó làm giả hơn: nguồn gửi, hạ tầng đứng sau đường link, lịch sử liên lạc giữa hai bên. Bạn cũng nên dịch chuyển theo: đừng coi "thư viết đúng chính tả" là bằng chứng thư thật.
Vì sao thư lừa vẫn lọt qua
Thư lừa lọt vào hộp chính không có nghĩa bộ lọc của bạn kém. Thường là vì lá thư đó được thiết kế để không để lại tín hiệu nào mà máy đo được. Các trường hợp hay gặp:
- Gửi từ tài khoản thật đã bị chiếm. Thư đi đúng máy chủ, có đủ giấy tờ xác thực, người gửi là đối tác bạn liên lạc hằng tuần. Với máy, đây là lá thư bình thường nhất có thể.
- Tên miền nhái gần giống. Thay một chữ cái, thêm một gạch nối, đổi đuôi tên miền. Tên miền mới đăng ký sẽ bị nghi, nhưng kẻ gian có thể mua sẵn rồi để vài tháng cho "nguội".
- Thư không có đường link hay tệp nào. Kiểu lừa giả danh sếp, giả nhà cung cấp chỉ cần một câu: "Anh chị chuyển khoản lô hàng tuần này sang tài khoản mới giúp em". Không có gì để quét.
- Đường link dẫn qua dịch vụ hợp pháp. Trang lừa đặt trên một dịch vụ lưu trữ tài liệu hay biểu mẫu trực tuyến nổi tiếng, nên tên miền trong thư hoàn toàn sạch.
- Gửi số lượng rất ít. Chiến dịch nhắm vào năm nhân viên kế toán của một công ty không tạo ra khuôn mẫu đủ lớn để mô hình nhận ra.
- Nội dung nằm trong ảnh hoặc mã QR. Bộ lọc đọc được chữ trong ảnh ngày càng tốt, nhưng mã QR dẫn người nhận sang điện thoại, nơi không còn lớp lọc của hộp thư.
Điểm chung của các trường hợp này là bộ lọc không còn đủ thông tin để phân biệt. Lớp phòng thủ cuối cùng khi đó là thói quen kiểm chứng của chính bạn.
Hiểu đúng các ngăn và cảnh báo trong hộp thư
Mỗi dịch vụ email đặt tên khác nhau và giao diện đổi theo phiên bản, nhưng về nguyên lý thường có các mức sau. Bạn nên kiểm cách hiển thị trên đúng ứng dụng mình đang dùng.
| Nơi thư nằm | Bộ lọc đang nói gì | Bạn nên làm gì |
|---|---|---|
| Hộp thư chính, không cảnh báo | Không thấy dấu hiệu bất thường | Vẫn kiểm khi thư đòi tiền, mật khẩu, mã xác thực |
| Hộp thư chính, có dải cảnh báo màu | Có một vài tín hiệu đáng ngờ nhưng chưa đủ để chặn | Không bấm link, không mở tệp; liên hệ người gửi qua kênh khác |
| Thư mục spam hoặc thư rác | Điểm rủi ro cao, thường là quảng cáo hàng loạt hoặc lừa đảo | Không trả lời, không bấm "huỷ đăng ký"; nếu là thư thật thì đánh dấu không phải spam |
| Thư mục quảng cáo, cập nhật | Thư hợp lệ nhưng không phải liên lạc cá nhân | Không liên quan tới mức an toàn; thư lừa vẫn có thể nằm ở đây |
| Thư bị chặn, không vào hộp | Rủi ro rất cao hoặc chứa mã độc đã biết | Thường chỉ quản trị viên thấy; người dùng cá nhân không cần làm gì |
Một hiểu lầm phổ biến là thư nằm ở hộp chính thì an toàn. Thực tế, hộp chính chỉ có nghĩa là bộ lọc chưa tìm được lý do để nghi. Ngược lại, thư thật bị lọc nhầm vào spam cũng không hiếm, nhất là hoá đơn, thư mời họp từ tên miền nhỏ, thư từ trường học của con.
Giúp bộ lọc học đúng hộp thư của bạn
Mô hình lọc của các dịch vụ lớn học một phần từ phản hồi của người dùng. Vài thao tác nhỏ, làm đều đặn, giúp hộp thư của bạn chính xác hơn sau vài tuần:
- Khi gặp thư lừa, dùng nút "báo cáo lừa đảo" hoặc "báo cáo phishing" nếu ứng dụng có, thay vì chỉ xoá. Xoá thì bộ lọc không học được gì; báo cáo thì tín hiệu được gộp với hàng nghìn báo cáo khác để chặn cả chiến dịch.
- Phân biệt "spam" với "lừa đảo". Thư quảng cáo bạn không muốn nhận là spam; thư giả ngân hàng đòi đăng nhập là lừa đảo. Đánh dấu đúng loại giúp hệ thống xử lý đúng mức.
- Mỗi tuần liếc thư mục spam một lần. Thư thật bị lọc nhầm thì chọn "không phải thư rác" để kéo về, đồng thời lưu người gửi vào danh bạ.
- Không bấm "huỷ đăng ký" trong thư bạn nghi là lừa. Thao tác đó xác nhận với kẻ gửi rằng địa chỉ của bạn có người đọc.
- Không trả lời thư rác, kể cả để mắng. Thư trả lời cũng là một tín hiệu cho kẻ gửi.
- Nếu dùng email công ty, hỏi người phụ trách IT xem công ty có nút báo cáo riêng hay quy trình chuyển tiếp thư nghi ngờ không, và làm theo quy trình đó.
Doanh nghiệp nhỏ có tên miền riêng: phần việc không thể giao hết cho AI
Nếu cửa hàng hay văn phòng của bạn dùng email theo tên miền riêng, bộ lọc của người nhận sẽ kiểm "giấy tờ tuỳ thân" của thư bạn gửi đi. Khi tên miền chưa khai báo đủ SPF, DKIM và DMARC, hai chuyện xảy ra cùng lúc: thư thật của bạn dễ rơi vào spam của khách hàng, và kẻ gian dễ giả danh tên miền của bạn để lừa chính khách hàng đó. Không bộ lọc AI nào sửa được việc này thay bạn, vì đây là cấu hình nằm trong tay chủ tên miền.
Việc cần làm là nhờ đơn vị cung cấp email hoặc người quản lý tên miền kiểm ba bản ghi đó, rồi bật chế độ báo cáo để biết ai đang gửi thư mạo danh tên miền mình. Bạn có thể dùng một chatbot để giải thích từng bản ghi nghĩa là gì nếu dán vào phần nội dung bản ghi; phần này là thông tin công khai, không chứa bí mật. Nhưng đừng dán mật khẩu quản trị, khoá API hay nội dung thư của khách hàng vào chatbot khi nhờ giải thích.
Ngoài cấu hình, phần lớn thư lừa nhắm vào doanh nghiệp nhỏ là kiểu đổi số tài khoản nhận tiền, giả danh sếp nhờ chuyển gấp. Bộ lọc gần như bất lực với kiểu này, nên quy định nội bộ quan trọng hơn: mọi yêu cầu đổi tài khoản nhận tiền phải được xác nhận lại bằng một cuộc gọi tới số đã lưu từ trước, không dùng số ghi trong thư.
Khi thư đã qua được mọi lớp lọc
Hãy coi bộ lọc như lưới chắn rác trên sông: nó vớt được phần lớn, nhưng thứ đã trôi qua thì bạn phải tự nhìn. Một lá thư đáng kiểm lại là thư hội đủ hai trong ba điều: thúc giục về thời gian, nhắc tới tiền hoặc thông tin đăng nhập, và đến qua một kênh hơi khác thường lệ. Với thư đó, cách kiểm chắc nhất không phải soi chữ mà là đi đường vòng: tự mở ứng dụng ngân hàng thay vì bấm link, tự gọi người gửi bằng số bạn đã lưu thay vì số trong thư.
Bạn cũng có thể nhờ chatbot đọc giúp một lá thư nghi ngờ, với điều kiện xoá trước tên, số tài khoản, mã khách hàng và mọi thông tin riêng. Chatbot giỏi chỉ ra những dấu hiệu thao túng tâm lý trong câu chữ, nhưng nó không biết lá thư có thật sự đi từ ngân hàng của bạn hay không. Kết luận cuối cùng vẫn đến từ việc kiểm chứng qua kênh chính thức.
Nếu lỡ bấm vào link hay nhập mật khẩu, đừng ngại báo ngay cho người quản lý IT hoặc tự đổi mật khẩu và đăng xuất khỏi các thiết bị lạ. Phần xử lý chi tiết khi đã sự cố nằm ở mục "Khi bị lừa, bị hack, lộ dữ liệu" của AI Bảo Mật.
Câu hỏi thường gặp
Thư nằm trong hộp thư chính có nghĩa là đã được AI xác nhận an toàn không?
Không. Hộp thư chính chỉ có nghĩa là bộ lọc chưa tìm thấy đủ tín hiệu để nghi ngờ. Thư gửi từ tài khoản thật bị chiếm, hoặc thư không chứa đường link nào, thường vào thẳng hộp chính. Với thư đòi tiền hay mật khẩu, bạn vẫn nên kiểm qua một kênh khác.
Báo cáo lừa đảo khác gì so với chỉ bấm xoá thư?
Xoá thư chỉ làm sạch hộp của bạn. Báo cáo lừa đảo gửi tín hiệu về hệ thống lọc của nhà cung cấp email; khi nhiều người báo cùng một kiểu thư, hệ thống có thể chặn cả chiến dịch cho những người nhận khác. Vì vậy báo cáo có ích cho cả cộng đồng, không riêng bạn.
Vì sao hoá đơn thật của nhà cung cấp lại hay rơi vào thư mục spam?
Thường vì tên miền gửi hoá đơn chưa khai báo xác thực đầy đủ, gửi từ một hệ thống phần mềm bên thứ ba, hoặc nội dung giống mẫu thư thanh toán mà kẻ lừa hay dùng. Bạn có thể đánh dấu thư đó không phải spam và lưu người gửi vào danh bạ để lần sau bộ lọc nhận ra.
Thư lừa viết bằng AI có khó bị bộ lọc phát hiện hơn không?
Ở phần nội dung thì có, vì câu chữ trơn tru và đúng chính tả. Nhưng bộ lọc hiện đại không dựa chủ yếu vào chữ; nó xét nguồn gửi, hạ tầng đường link và hành vi gửi. Những tín hiệu đó không thay đổi dù thư do người hay máy viết.
Có nên cài thêm tiện ích lọc email của bên thứ ba vào trình duyệt không?
Hãy cân nhắc kỹ. Một tiện ích lọc thư cần quyền đọc toàn bộ hộp thư của bạn, nghĩa là bạn phải tin nhà phát triển ngang với tin nhà cung cấp email. Với đa số người dùng cá nhân, bộ lọc có sẵn của dịch vụ email lớn đã đủ; thêm tiện ích lạ đôi khi mở thêm rủi ro.
Nhận được thư nghi ngờ ở email công ty thì nên chuyển cho ai?
Hãy làm theo quy trình của công ty: nhiều nơi có nút báo cáo riêng hoặc một địa chỉ nội bộ để chuyển tiếp thư nghi ngờ. Nếu công ty nhỏ không có quy trình, báo cho người phụ trách IT hoặc quản lý trực tiếp, kèm thời điểm nhận thư, và đừng chuyển tiếp thư đó cho đồng nghiệp khác.