Tin nhắn và email lừa đảo viết bằng AI là những thông điệp giả danh ngân hàng, nhà mạng, cơ quan thuế, đơn vị giao hàng hay chính sếp của bạn, được chatbot soạn sẵn nên câu chữ trơn tru, đúng chính tả, đúng giọng hành chính. Mẹo cũ "thấy sai chính tả là lừa" không còn dùng được. Thay vào đó, bạn soi năm thứ mà AI không che được: người gửi, đường dẫn, yêu cầu, áp lực thời gian và kênh xử lý.
Bài này dành cho người dùng điện thoại và nhân viên văn phòng nhận hàng chục tin nhắn, email mỗi ngày. Mục tiêu không phải là đọc kỹ từng chữ, mà là có một phản xạ ba giây trước khi bấm vào bất cứ thứ gì đòi bạn đăng nhập, xác minh hay chuyển tiền.
Vì sao lỗi chính tả không còn là dấu hiệu
Trước đây, nhiều tin nhắn lừa được soạn vội, dịch máy từ tiếng nước ngoài hoặc do người viết kém, nên sai dấu, sai từ, xưng hô lộn xộn. Người dùng quen nhận ra chúng nhờ cảm giác "đọc không giống ngân hàng". Chatbot thay đổi điều đó: chỉ cần mô tả một tình huống, nó trả về đoạn văn đúng ngữ pháp, đúng giọng thông báo, có cả lời chào, mã tham chiếu và câu kết lịch sự.
AI còn giúp kẻ gian cá nhân hoá. Thay vì gửi cùng một mẫu cho hàng nghìn người, chúng có thể ghép tên bạn, tên công ty bạn, chức danh lấy từ mạng xã hội nghề nghiệp vào thư, và điều chỉnh giọng cho hợp từng nhóm: giọng thân mật với sinh viên, giọng hành chính với kế toán, giọng gấp gáp với chủ cửa hàng. Một email mạo danh sếp gửi kế toán có thể nhắc đúng tên dự án đang chạy nếu thông tin ấy từng được đăng công khai.
Hệ quả là bạn phải chuyển sự chú ý từ "câu chữ có đẹp không" sang "thông điệp này đòi mình làm gì, qua kênh nào". Câu chữ là thứ rẻ nhất để làm giả; cấu trúc của yêu cầu thì khó giấu hơn nhiều.
Năm điểm cần soi thay cho lỗi chính tả
Mỗi khi một tin nhắn hay email khiến bạn muốn bấm ngay, đi qua năm điểm dưới đây. Chỉ cần một điểm sai là đủ lý do dừng lại.
| Điểm soi | Câu hỏi tự đặt | Dấu hiệu lừa thường gặp |
|---|---|---|
| Người gửi | Địa chỉ email, tên hiển thị, số gửi có đúng là của tổ chức không? | Tên hiển thị đúng nhưng địa chỉ thật lạ; tên miền na ná với một chữ thay đổi |
| Đường dẫn | Đường dẫn dẫn tới đâu nếu nhìn kỹ phần tên miền? | Tên miền dài, ghép chữ, đuôi lạ, rút gọn che mất đích |
| Yêu cầu | Tin nhắn muốn mình làm việc gì cụ thể? | Đăng nhập, nhập OTP, cài ứng dụng, chuyển tiền, gửi ảnh giấy tờ |
| Thời gian | Có hạn chót ngắn kèm hậu quả nặng không? | Khoá tài khoản trong 24 giờ, phạt nếu không cập nhật hôm nay |
| Kênh xử lý | Tổ chức thật có làm việc này qua tin nhắn không? | Ngân hàng xin OTP, cơ quan thuế yêu cầu chuyển khoản qua đường dẫn |
Điểm "kênh xử lý" thường bị bỏ qua nhất. Ngân hàng không hỏi mã OTP qua bất kỳ kênh nào; cơ quan nhà nước không thu tiền qua đường dẫn gửi trong tin nhắn cá nhân; nhà mạng không yêu cầu bạn cài ứng dụng lạ để giữ số. Biết trước tổ chức thật làm việc thế nào giúp bạn nhận ra yêu cầu sai bất kể câu chữ hay đến đâu.
Những mẫu tin nhắn hay gặp (ví dụ giả định)
Ngân hàng báo giao dịch lạ. "Tài khoản của Quý khách vừa phát sinh giao dịch 4.800.000 VND tại nước ngoài. Nếu không phải Quý khách thực hiện, vui lòng xác nhận huỷ tại đường dẫn sau." Cú đánh vào nỗi sợ mất tiền khiến người đọc bấm ngay để "huỷ", và trang mở ra là trang đăng nhập giả.
Đơn vị giao hàng báo sai địa chỉ. "Đơn hàng của bạn không thể giao do thiếu thông tin. Cập nhật địa chỉ và thanh toán phí lưu kho trong hôm nay." Kiểu này nhắm vào người mua hàng trực tuyến thường xuyên, vốn luôn có đơn đang chờ.
Thông báo điểm thưởng, quà tặng hết hạn. "Điểm tích luỹ của bạn sẽ hết hạn vào 23:59 hôm nay, đổi quà ngay." Giọng vui vẻ, không doạ nạt, nhưng cũng dẫn tới trang đòi thông tin thẻ.
Email nội bộ giả. Một email mang tên phòng nhân sự gửi "bảng lương điều chỉnh", đính kèm tệp yêu cầu bật nội dung hoặc đăng nhập để xem. AI giúp email này đúng giọng công ty, có cả chữ ký mô phỏng.
Tin nhắn từ "sếp" qua ứng dụng chat. "Em đang họp, xử lý giúp anh khoản thanh toán cho đối tác, chiều anh ký bổ sung." Đây là phiên bản tin nhắn của email giả mạo lãnh đạo; quy trình chống ở cấp công ty được bàn trong mục Bảo mật cho doanh nghiệp nhỏ.
Tin nhắn chen vào luồng thương hiệu thật
Một hiện tượng khiến nhiều người mất cảnh giác là tin nhắn lừa xuất hiện ngay trong luồng tin nhắn có tên thương hiệu của ngân hàng hay nhà mạng, nằm dưới những thông báo thật trước đó. Kỹ thuật phía sau thường là thiết bị phát sóng giả bắt sóng điện thoại trong một khu vực rồi đẩy tin nhắn có tên người gửi giả. Bạn không cần hiểu cách làm; bạn chỉ cần biết rằng tên người gửi trên tin nhắn không phải bằng chứng tuyệt đối.
Vì vậy nguyên tắc ở đây là: tin nhắn có tên thương hiệu vẫn phải qua năm điểm soi như mọi tin khác. Nếu nội dung có đường dẫn đòi đăng nhập hay xác minh, hãy bỏ qua đường dẫn và mở ứng dụng chính thức của ngân hàng mà bạn đã cài sẵn. Mọi thông báo thật về tài khoản đều có thể kiểm tra được trong ứng dụng hoặc qua tổng đài in trên thẻ.
Với email, quy tắc tương tự: tên hiển thị có thể là tên giám đốc, tên ngân hàng, nhưng địa chỉ thật phía sau mới đáng xem. Trên điện thoại, bạn thường phải chạm vào tên người gửi để thấy địa chỉ đầy đủ. Đó là một thao tác mất hai giây và đáng làm với mọi thư đòi tiền hoặc đòi đăng nhập.
Phản xạ ba giây trước khi bấm
Biến bốn bước sau thành thói quen, đặc biệt khi đang vội hoặc đang dùng điện thoại ngoài đường, lúc khả năng đọc kỹ thấp nhất.
- Dừng tay trước mọi đường dẫn, tệp đính kèm, mã QR trong tin nhắn không do bạn chủ động yêu cầu.
- Tự hỏi: tổ chức này có thật sự cần mình làm việc đó qua tin nhắn không? Nếu câu trả lời là không chắc, coi như không.
- Mở ứng dụng hoặc trang chính thức bằng cách bạn vẫn dùng hằng ngày, không qua đường dẫn trong tin. Kiểm tra xem có thông báo tương ứng không.
- Nếu vẫn nghi, gọi tổng đài theo số in trên thẻ, trên hoá đơn hoặc trong ứng dụng, không theo số ghi trong tin nhắn.
Bốn bước này không đòi kiến thức kỹ thuật và áp dụng được cho cả người lớn tuổi. Điểm mấu chốt là bước ba: thay vì đi theo con đường kẻ gian vẽ sẵn, bạn tự đi bằng con đường của mình.
Nếu bạn hay giúp cha mẹ xử lý điện thoại, có thể rút gọn thành một câu dễ nhớ: tin nhắn nào có đường dẫn mà nói chuyện tiền hay tài khoản thì không bấm, chụp màn hình gửi con xem trước. Câu dặn ngắn này không đòi người lớn tuổi phải phân biệt tên miền hay địa chỉ email, nhưng chặn được phần lớn tình huống nguy hiểm, và cho bạn cơ hội nhìn thấy những mẫu lừa mới đang nhắm vào gia đình mình.
Dùng chatbot để kiểm một tin nhắn đáng ngờ, và giới hạn của cách đó
Bạn có thể dán nội dung một tin nhắn đáng ngờ vào chatbot và hỏi: "Tin nhắn này có những dấu hiệu nào thường gặp ở tin lừa đảo? Liệt kê từng dấu hiệu và giải thích ngắn." Chatbot thường chỉ ra được các điểm như áp lực thời gian, yêu cầu đăng nhập, đường dẫn lạ. Cách này hữu ích khi bạn cần một góc nhìn thứ hai, hoặc khi giải thích cho người nhà vì sao không nên bấm.
Tuy vậy có ba giới hạn. Một, chatbot không biết tin nhắn có thật sự từ ngân hàng không, vì nó không có quyền truy cập hệ thống của ngân hàng; nó chỉ đánh giá câu chữ. Hai, nó có thể trả lời tự tin nhưng sai, nhất là với tin nhắn được viết khéo. Ba, trước khi dán, hãy xoá số tài khoản, số điện thoại, họ tên, mã giao dịch và mọi thông tin cá nhân khỏi đoạn văn, vì bạn không cần chúng để hỏi về dấu hiệu lừa.
Vai trò hợp lý của chatbot ở đây là người góp ý, không phải người phán quyết. Quyết định cuối cùng vẫn dựa vào bước tự mở ứng dụng chính thức hoặc gọi tổng đài. Cách dùng AI để phòng thủ rộng hơn được bàn trong mục AI giúp phòng thủ.
Nếu đã lỡ bấm vào đường dẫn
Bấm vào một đường dẫn chưa chắc đã mất gì. Mức độ nghiêm trọng tuỳ vào việc bạn làm gì sau đó. Dưới đây là những việc nên làm ngay theo từng trường hợp.
- Mới mở trang, chưa nhập gì: đóng trang, không quay lại. Theo dõi tài khoản vài ngày, không cần hoảng.
- Đã nhập tên đăng nhập và mật khẩu: đổi mật khẩu ngay trong ứng dụng chính thức, và đổi ở mọi nơi bạn dùng cùng mật khẩu đó.
- Đã nhập mã OTP hoặc thông tin thẻ: gọi ngay tổng đài ngân hàng để khoá thẻ, khoá giao dịch trực tuyến; đây là trường hợp cần làm trong vài phút.
- Đã cài một ứng dụng theo hướng dẫn trong tin: tắt dữ liệu di động và Wi-Fi, gỡ ứng dụng, liên hệ ngân hàng; nếu điện thoại có dấu hiệu lạ, nhờ người có chuyên môn kiểm tra.
- Đã gửi ảnh giấy tờ tuỳ thân: ghi nhớ thời điểm gửi, để ý các khoản vay, tài khoản lạ mở bằng tên mình, và báo cho ngân hàng.
Các bước chi tiết khi tiền đã mất hoặc tài khoản đã bị chiếm nằm ở mục Khi bị lừa, bị hack, lộ dữ liệu.
Câu hỏi thường gặp
Tin nhắn có tên ngân hàng ở dòng người gửi thì có tin được không?
Không nên tin chỉ vì tên người gửi. Đã có trường hợp tin nhắn giả chen vào luồng tin có tên thương hiệu thật thông qua thiết bị phát sóng giả. Hãy xét nội dung: nếu tin đòi bấm đường dẫn để đăng nhập, xác minh hay nhận tiền, bỏ qua và mở ứng dụng chính thức của ngân hàng để kiểm.
Làm sao xem đường dẫn thật trước khi bấm?
Trên máy tính, rê chuột lên đường dẫn để xem địa chỉ thật ở góc màn hình. Trên điện thoại, nhấn giữ đường dẫn để xem trước mà không mở. Chú ý phần tên miền ngay trước dấu gạch chéo đầu tiên; các chữ phía trước có thể chứa tên ngân hàng để đánh lừa.
Email đúng địa chỉ của công ty nhưng nội dung lạ thì sao?
Có thể tài khoản email của người gửi đã bị xâm nhập, nên địa chỉ đúng mà người viết là kẻ khác. Với yêu cầu chuyển tiền, đổi số tài khoản nhận hay gửi dữ liệu, hãy xác nhận lại bằng cuộc gọi hoặc gặp trực tiếp, không trả lời ngay trong chuỗi email đó.
Mã QR trong tin nhắn có nguy hiểm như đường dẫn không?
Có. Mã QR thực chất chỉ là một cách khác để chứa đường dẫn, và nó còn khó kiểm hơn vì bạn không đọc được bằng mắt. Khi quét, hầu hết điện thoại hiển thị địa chỉ trước khi mở; hãy đọc địa chỉ đó và áp dụng cùng quy tắc như với đường dẫn thường.
Có nên trả lời tin nhắn lừa để cho kẻ gian biết là mình biết không?
Không nên. Trả lời chỉ xác nhận số điện thoại hay địa chỉ email của bạn đang hoạt động và có người đọc, khiến bạn nhận thêm tin lừa khác. Hãy báo cáo tin nhắn theo chức năng của ứng dụng hoặc nhà mạng, chặn người gửi rồi xoá.
Bộ lọc thư rác có chặn được thư lừa viết bằng AI không?
Bộ lọc của các dịch vụ email lớn chặn được phần lớn thư hàng loạt, nhưng thư được cá nhân hoá, gửi số lượng nhỏ, từ tài khoản thật bị chiếm thì vẫn có thể lọt vào hộp thư chính. Bộ lọc là lớp bảo vệ đầu tiên chứ không phải lớp cuối cùng.