Trang web giả mạo và ứng dụng giả là bản sao của trang ngân hàng, sàn thương mại điện tử, ứng dụng dịch vụ công hay ví điện tử, được dựng ra để bạn đăng nhập, nhập thẻ hoặc cài vào điện thoại. AI và các công cụ dựng trang tự động khiến bản giả có giao diện gần như không khác bản thật. Cách kiểm hiệu quả vì thế không dựa vào giao diện, mà vào ba thứ: tên miền chính xác, nguồn tải ứng dụng và những quyền mà ứng dụng đòi.
Hai câu hỏi cần trả lời trước mỗi lần đăng nhập hay cài đặt là: mình đến trang này bằng đường nào, và ứng dụng này đến từ đâu. Nếu câu trả lời là "từ một đường dẫn người lạ gửi" hay "từ một tệp tải về theo hướng dẫn qua điện thoại", thì giao diện đẹp đến mấy cũng không làm thay đổi kết luận.
Vì sao bản giả ngày càng khó phân biệt bằng mắt
Để làm một trang đăng nhập giả, kẻ gian không cần viết lại từ đầu. Công cụ sao chép trang web tải về toàn bộ giao diện của trang thật; AI giúp viết lại phần chữ, dịch sang tiếng Việt trơn tru, sinh ảnh minh hoạ, thậm chí tạo cả trang hỏi đáp và phần đánh giá của "khách hàng". Việc từng mất vài ngày giờ chỉ mất vài giờ, và một kẻ gian có thể dựng hàng chục bản cho hàng chục thương hiệu cùng lúc.
Ổ khoá trên thanh địa chỉ cũng không còn là dấu hiệu an toàn. Ổ khoá chỉ cho biết đường truyền giữa bạn và trang đó được mã hoá, không cho biết trang đó của ai. Chứng chỉ mã hoá cấp miễn phí, tự động, nên trang lừa đảo nào cũng có ổ khoá như trang thật.
Với ứng dụng, bản giả thường giữ đúng biểu tượng, đúng tên, đúng màu của ứng dụng thật. Khác biệt nằm ở chỗ ứng dụng giả không đến từ kho ứng dụng chính thức, và khi cài xong nó đòi những quyền mà ứng dụng thật không cần. Đó là chỗ người dùng có thể chặn được, nếu biết nhìn.
Đọc tên miền như người trong nghề
Đọc từ phải sang trái. Trong một địa chỉ web, phần quyết định là tên miền chính nằm ngay trước đuôi như .vn, .com. Mọi chữ phía trước dấu chấm cuối cùng của phần đó chỉ là tên phụ do chủ trang tự đặt, nên kẻ gian có thể đặt tên ngân hàng vào phần phụ để đánh lừa.
Soi từng ký tự. Kẻ gian hay dùng tên miền khác một chữ: thêm một dấu gạch nối, đổi chữ "o" thành số 0, thêm chữ "vn" hay "online" vào giữa. Ở cỡ chữ điện thoại, những khác biệt này rất dễ trôi qua.
Cảnh giác với đuôi lạ. Ngân hàng, cơ quan nhà nước ở Việt Nam dùng tên miền ổn định nhiều năm. Một đường dẫn có đuôi lạ, tên miền dài, ghép chữ tuỳ tiện thì không nên được tin chỉ vì giao diện quen.
Đường dẫn rút gọn che mất đích. Các dịch vụ rút gọn đường dẫn biến một địa chỉ dài thành chuỗi ngắn, không đọc được nơi sẽ tới. Với yêu cầu đăng nhập, nhập thẻ, chỉ nên đi qua địa chỉ bạn tự gõ hoặc đã lưu trong dấu trang.
Kết quả tìm kiếm có quảng cáo đứng đầu. Kẻ gian có lúc mua quảng cáo để trang giả hiện trên cùng khi bạn tìm tên ngân hàng hay ứng dụng. Chú ý nhãn quảng cáo và ưu tiên dấu trang đã lưu hoặc ứng dụng chính thức.
Ứng dụng giả cài ngoài kho: kịch bản thường gặp (ví dụ giả định)
Ông Tùng ở Cần Thơ nhận cuộc gọi tự xưng cán bộ, nói hồ sơ định danh của ông chưa đồng bộ, cần cài lại ứng dụng dịch vụ công để tránh bị khoá. Người gọi gửi qua Zalo một đường dẫn, hướng dẫn ông tải tệp về, bấm "cho phép cài từ nguồn không xác định", rồi mở ứng dụng có biểu tượng giống hệt ứng dụng thật.
Ứng dụng mở ra một màn hình yêu cầu cấp quyền trợ năng với lý do "để hỗ trợ người cao tuổi thao tác". Sau đó nó xin ông nhập mật khẩu ngân hàng "để liên kết thanh toán lệ phí" và quét khuôn mặt. Trong khi ông chờ màn hình "đang đồng bộ", điện thoại đã bị điều khiển từ xa.
Ba điểm mấu chốt trong kịch bản: ứng dụng không cài từ kho chính thức, có bước bật cài đặt từ nguồn lạ, và đòi quyền trợ năng. Chỉ cần dừng ở một trong ba bước đó là kịch bản đổ vỡ. Đặc biệt, cơ quan nhà nước không gọi điện hướng dẫn người dân cài ứng dụng qua đường dẫn gửi trong tin nhắn; ứng dụng dịch vụ công chính thức tải được từ kho ứng dụng của điện thoại.
Quyền ứng dụng: khi nào hợp lý, khi nào đáng ngờ
Khi cài ứng dụng, điện thoại sẽ hỏi bạn cấp quyền. Bảng dưới gom những quyền hay bị lạm dụng nhất trong các vụ ứng dụng giả.
| Quyền | Ứng dụng nào thật sự cần | Đáng ngờ khi |
|---|---|---|
| Trợ năng | Phần mềm hỗ trợ người khiếm thị, một số công cụ chuyên dụng | Ứng dụng ngân hàng, dịch vụ công, mua sắm xin quyền này |
| Đọc tin nhắn SMS | Ứng dụng nhắn tin mặc định | Ứng dụng không liên quan nhắn tin xin đọc SMS, nơi chứa mã OTP |
| Hiển thị trên ứng dụng khác | Trình ghi chú nổi, ứng dụng gọi video | Ứng dụng mới cài xin ngay sau khi mở lần đầu |
| Quản trị thiết bị | Phần mềm quản lý điện thoại của công ty | Ứng dụng cá nhân xin, khiến bạn khó gỡ ra |
| Cài ứng dụng khác | Kho ứng dụng, trình quản lý tệp | Một ứng dụng vừa cài xin quyền cài thêm ứng dụng khác |
Quyền trợ năng đặc biệt nhạy cảm vì nó cho phép ứng dụng đọc màn hình và thao tác thay bạn. Nếu một ứng dụng không phải công cụ hỗ trợ người khuyết tật mà đòi quyền này, hãy từ chối và gỡ ứng dụng.
Trình tự kiểm trước khi đăng nhập hoặc cài đặt
Áp dụng trình tự dưới đây mỗi khi bạn sắp đăng nhập tài khoản tiền bạc hoặc cài một ứng dụng mới theo lời giới thiệu của người khác.
- Tự hỏi bạn đến trang hoặc ứng dụng này bằng đường nào. Nếu là đường dẫn người khác gửi, quay lại và tự mở bằng dấu trang hoặc ứng dụng đã có.
- Với trang web, đọc kỹ tên miền chính, so với tên miền bạn đã biết từ thẻ, hoá đơn hay ứng dụng chính thức.
- Với ứng dụng, chỉ cài từ kho ứng dụng mặc định của điện thoại. Xem tên nhà phát triển, số lượt tải, ngày cập nhật; bản giả trong kho thường có nhà phát triển lạ.
- Giữ tắt tuỳ chọn cài ứng dụng từ nguồn không xác định. Nếu ai đó hướng dẫn bạn bật nó lên, dừng lại.
- Khi ứng dụng xin quyền, đối chiếu với bảng ở trên. Từ chối mọi quyền không liên quan đến chức năng chính.
- Bật tính năng quét ứng dụng có sẵn của điện thoại và cập nhật hệ điều hành định kỳ; menu khác nhau theo phiên bản, hãy kiểm trong phần cài đặt bảo mật của máy bạn.
Nếu lỡ cài một ứng dụng lạ đã có quyền trợ năng, ưu tiên ngắt mạng điện thoại trước, sau đó gỡ ứng dụng và liên hệ ngân hàng từ một máy khác. Việc xử lý tiếp theo nằm ở mục Khi bị lừa, bị hack, lộ dữ liệu.
Cửa hàng trực tuyến giả và trang "chính hãng" dựng bằng AI
Ngoài trang đăng nhập, kẻ gian còn dựng cả cửa hàng trực tuyến: ảnh sản phẩm do AI sinh hoặc chép từ trang khác, mô tả viết bằng chatbot, hàng trăm đánh giá năm sao cũng do AI soạn với tên người mua ngẫu nhiên. Giá thấp hơn thị trường rõ rệt và chỉ nhận chuyển khoản trước.
Dấu hiệu dễ thấy là đánh giá giống nhau về giọng, cùng độ dài, đăng dồn trong vài ngày, không có ảnh thật từ người mua. Trang không có địa chỉ cửa hàng kiểm chứng được, không có chính sách đổi trả rõ ràng, chỉ có một số tài khoản ngân hàng cá nhân để nhận tiền. Tên miền mới đăng ký gần đây cũng là dấu hiệu đáng lưu ý, dù không phải bằng chứng.
Cách an toàn là mua qua sàn thương mại điện tử có cơ chế giữ tiền tới khi nhận hàng, hoặc qua kênh chính thức của thương hiệu mà bạn tự tìm được. Với trang lạ, nếu buộc phải mua, hãy chọn thanh toán khi nhận hàng và chấp nhận rằng giá rẻ bất thường thường có lý do.
Những hiểu lầm khiến người dùng mất cảnh giác
Hiểu lầm: trang có giao diện giống hệt là trang thật. Thực tế: giao diện là thứ dễ sao chép nhất. Logo, màu sắc, phông chữ, thậm chí cả thông báo cookie đều có thể chép nguyên. Thứ không chép được là tên miền chính, vì tên miền thật đã có chủ.
Hiểu lầm: chỉ người lớn tuổi mới bị trang giả lừa. Thực tế: người trẻ dùng điện thoại nhanh, bấm theo thói quen, mở đường dẫn trong lúc đang làm việc khác, nên cũng hay sập bẫy. Trang giả nhắm vào sinh viên thường giả trang tuyển dụng, trang nhận học bổng, trang đăng nhập email trường.
Hiểu lầm: điện thoại có phần mềm diệt virus thì không lo ứng dụng giả. Thực tế: phần mềm quét phát hiện được nhiều mẫu đã biết, nhưng ứng dụng giả mới tạo, hoặc ứng dụng mà chính bạn cấp quyền trợ năng, vẫn có thể hoạt động. Không có lớp bảo vệ nào thay được việc từ chối cài từ nguồn lạ.
Hiểu lầm: đã có xác thực khuôn mặt nên kẻ gian không chuyển tiền được. Thực tế: trong nhiều kịch bản, ứng dụng giả dụ chính bạn quét mặt với lý do xác minh, hoặc dụ bạn tự thực hiện giao dịch. Sinh trắc học là một lớp bảo vệ tốt, nhưng nó bảo vệ bạn khỏi người lạ chứ không bảo vệ bạn khỏi chính thao tác của mình khi bị dẫn dắt.
Câu hỏi thường gặp
Trang web có ổ khoá trên thanh địa chỉ có phải là trang an toàn?
Không. Ổ khoá chỉ cho biết kết nối được mã hoá, không xác nhận ai sở hữu trang. Trang lừa đảo cũng dễ dàng có ổ khoá vì chứng chỉ mã hoá được cấp miễn phí và tự động. Thứ cần kiểm vẫn là tên miền chính có đúng của tổ chức bạn định truy cập không.
Ứng dụng trong kho chính thức có chắc chắn là thật không?
Kho chính thức có kiểm duyệt nên an toàn hơn nhiều so với tệp tải ngoài, nhưng vẫn có lúc ứng dụng giả lọt vào. Hãy xem tên nhà phát triển có đúng là tổ chức đó không, số lượt tải và lịch sử cập nhật. Tốt nhất là tìm đường dẫn tới ứng dụng từ trang chính thức của tổ chức.
Điện thoại iPhone có bị cài ứng dụng giả như Android không?
iPhone hạn chế cài ứng dụng ngoài kho hơn, nên kiểu cài tệp lạ ít gặp hơn. Tuy vậy người dùng iPhone vẫn có thể bị dẫn tới trang web giả, bị mời cài cấu hình lạ hoặc ứng dụng thử nghiệm. Quy tắc chung không đổi: không cài gì theo hướng dẫn của người lạ qua điện thoại.
Làm sao biết một tên miền mới đăng ký hay đã lâu?
Có các dịch vụ tra cứu thông tin tên miền cho biết ngày đăng ký. Tên miền mới vài ngày, vài tuần mà tự nhận là trang chính thức của ngân hàng hay sàn lớn là dấu hiệu rất đáng ngờ. Dù vậy, tên miền cũ cũng có thể bị mua lại để lừa, nên chỉ dùng đây như một tín hiệu.
Đã đăng nhập vào trang giả nhưng chưa thấy mất tiền thì có cần làm gì không?
Có. Đổi mật khẩu tài khoản đó ngay trong ứng dụng chính thức, đổi ở mọi nơi dùng cùng mật khẩu, bật xác thực hai lớp nếu chưa có, và báo ngân hàng nếu đó là tài khoản tài chính. Kẻ gian có thể chờ một thời gian rồi mới dùng thông tin đã lấy.
Có nên dùng chatbot để kiểm một trang web có thật hay không?
Chatbot có thể giải thích cách đọc tên miền hoặc chỉ ra các dấu hiệu đáng ngờ khi bạn mô tả, nhưng nó không xác nhận được trang có thuộc về tổ chức nào hay không và đôi khi trả lời sai. Đối chiếu với tên miền trên thẻ, hoá đơn hay ứng dụng chính thức vẫn là cách đáng tin hơn.