Nhận biết đường dẫn lừa đảo trên điện thoại: đọc tên miền trước khi bấm

Cách nhanh nhất để biết một đường dẫn có đáng bấm hay không là đọc đúng phần tên miền của nó, theo chiều từ phải sang trái, trước dấu gạch chéo đầu tiên. Ổ khoá cạnh thanh địa chỉ, giao diện đẹp hay lời giới thiệu từ người quen đều không chứng minh được gì. Bài này chỉ cách đọc tên miền trên điện thoại, những dấu hiệu một trang ứng dụng web đang đòi thứ nó không có quyền đòi, và việc cần làm nếu đã lỡ bấm.

Vì sao ứng dụng web là mồi ngon của kẻ gian

Ứng dụng chạy ngay trên trình duyệt có một ưu điểm lớn: bấm vào là dùng, không qua kho ứng dụng. Kẻ gian cũng tận dụng đúng ưu điểm đó. Một trang giả mạo dựng lên trong vài giờ, gửi hàng loạt qua Zalo, Messenger hay tin nhắn SMS, không ai duyệt trước. Đường dẫn trông na ná trang thật, mở ra cũng có logo, có nút đăng nhập, có ô nhập mã.

Điểm khác biệt duy nhất mà kẻ gian không làm giả được là tên miền. Tên miền thật chỉ chủ sở hữu kiểm soát. Trang giả phải nằm ở một tên miền khác, dù khác một chữ. Vì vậy kỹ năng đáng học nhất là đọc tên miền, và đọc cho đúng.

Đọc tên miền trong 10 giây

Một đường dẫn gồm nhiều phần. Bạn chỉ cần quan tâm đoạn nằm giữa https:// và dấu gạch chéo / đầu tiên tiếp theo. Trong đoạn đó, hãy đọc từ phải sang trái:

1. Tìm dấu gạch chéo đầu tiên sau https://. Mọi thứ phía sau nó là đường đi bên trong trang, ai cũng đặt được, bỏ qua.
2. Trong phần còn lại, nhìn đuôi tận cùng bên phải: .com, .vn, .com.vn, .xyz…
3. Từ ngay trước đuôi đó chính là tên thật của chủ trang. Đó là thứ quyết định bạn đang ở đâu.
4. Những gì nằm bên trái tên thật (ngăn cách bằng dấu chấm) là tên phụ do chủ trang tự đặt. Kẻ gian đặt gì vào đây cũng được.

Thử với vài ví dụ dựng sẵn dưới đây. Tất cả đều mượn tên AppGiaiTri để minh hoạ, chỉ hai dòng đầu là thuộc về chúng tôi.

Dòng thứ ba là kiểu lừa hay gặp nhất trên điện thoại. Màn hình nhỏ, thanh địa chỉ chỉ hiện được phần đầu, bạn thấy chữ “appgiaitri.com” và yên tâm. Phần đuôi thật nằm khuất bên phải.

Xem được đường dẫn đầy đủ trên điện thoại

• Trước khi bấm: trong Zalo hay Messenger, nhấn giữ vào đường dẫn, chọn sao chép, rồi dán vào ô ghi chú để đọc trọn vẹn. Tên mục có thể khác tuỳ phiên bản ứng dụng.
• Sau khi đã mở bằng Chrome trên Android: chạm vào thanh địa chỉ, đường dẫn đầy đủ hiện ra và có thể kéo sang hai bên.
• Trên Safari iPhone: chạm vào thanh địa chỉ để thấy đường dẫn đầy đủ. Mặc định Safari chỉ hiện tên miền, việc này lại giúp ích: chữ hiện ra chính là phần tên thật.

Với đường dẫn rút gọn kiểu bit.ly hay các dịch vụ tương tự, bạn không thể biết nó dẫn về đâu cho tới khi mở. Hãy hỏi lại người gửi đường dẫn gốc, hoặc tự gõ tên trang bạn biết vào thanh địa chỉ thay vì bấm.

Ổ khoá và “https” không có nghĩa là an toàn

Nhiều người được dạy rằng thấy ổ khoá là yên tâm. Lời khuyên đó đã cũ. Ổ khoá chỉ cho biết đường truyền giữa máy bạn và trang đó được mã hoá, tức người ngồi giữa không đọc lén được. Nó không nói gì về việc ai đứng sau trang. Chứng chỉ mã hoá ngày nay được cấp miễn phí, tự động trong vài phút, nên trang lừa đảo cũng có ổ khoá như mọi trang khác.

Chính vì người dùng hiểu nhầm, Chrome từ năm 2023 đã thay biểu tượng ổ khoá bằng một biểu tượng điều chỉnh trung tính. Điều ngược lại vẫn đúng: một trang không có https và bị trình duyệt cảnh báo “Không an toàn” thì đừng nhập bất cứ thứ gì vào đó.

Những đòi hỏi mà trang thật không bao giờ đưa ra

Một ứng dụng giải trí chạy trên trình duyệt chỉ cần ba thứ: mạng, màn hình và ngón tay của bạn. Nếu trang đòi những thứ dưới đây, hãy dừng lại, bất kể tên miền trông ra sao.

• Bắt tải tệp .apk để “dùng đầy đủ”. Ứng dụng web chạy trong trình duyệt và thêm vào màn hình chính bằng nút của chính trình duyệt. Nó không bao giờ cần bạn tải và cài một tệp riêng. Tệp .apk từ nguồn lạ là con đường quen thuộc để cài phần mềm điều khiển máy từ xa, đọc tin nhắn, chiếm tài khoản ngân hàng.
• Bắt bật “Cài ứng dụng không rõ nguồn gốc” hoặc cấp quyền Trợ năng trên Android. Quyền Trợ năng cho phép một ứng dụng đọc và bấm thay bạn trên mọi màn hình. Ứng dụng giải trí không có lý do gì cần nó.
• Đòi mã xác nhận đã gửi về điện thoại hay email qua khung chat, qua cuộc gọi. Mã đó dùng để chứng minh bạn là chủ tài khoản; ai có mã là có tài khoản. Không dịch vụ đàng hoàng nào nhờ bạn đọc mã cho nhân viên.
• Đòi số thẻ ngân hàng để “nhận quà”, “xác minh tuổi” hay mở khoá tính năng miễn phí.
• Đòi cài cấu hình hoặc hồ sơ quản lý thiết bị trên iPhone. Hồ sơ loại này có thể điều khiển cách máy kết nối mạng.
• Đếm ngược ép quyết định: “còn 2 phút để nhận thưởng”, “tài khoản sẽ bị khoá trong 24 giờ”. Áp lực thời gian là công cụ để bạn bỏ qua bước đọc tên miền.

Với các ứng dụng của AppGiaiTri, mọi thứ diễn ra trên trình duyệt, một tài khoản dùng chung cho tất cả và không có hộp quà ngẫu nhiên nào để “mở khoá”. Một trang tự xưng là của chúng tôi mà mời bạn tải tệp cài đặt hay nhận hộp quà thì chắc chắn không phải của chúng tôi.

Bật sẵn lớp bảo vệ có trong trình duyệt

Chrome và Safari đều có danh sách trang lừa đảo đã bị phát hiện, cập nhật liên tục, và hiện màn hình cảnh báo đỏ khi bạn mở phải. Lớp này không bắt được trang mới dựng vài giờ, nhưng chặn được phần lớn trang đã bị báo cáo. Kiểm tra xem nó có đang bật không. Tên mục có thể khác tuỳ phiên bản máy.

Chrome trên Android

1. Bấm dấu ba chấm, chọn Cài đặt.
2. Vào Quyền riêng tư và bảo mật, chọn Duyệt web an toàn.
3. Chọn Bảo vệ tiêu chuẩn trở lên. Đừng để “Không bảo vệ”.

Safari trên iPhone

1. Mở Cài đặt, tìm Safari (trên iOS mới nằm trong mục Ứng dụng).
2. Kéo xuống phần Quyền riêng tư và bảo mật, bật Cảnh báo trang web lừa đảo.

Thêm một thói quen nhỏ: với trang bạn dùng thường xuyên, hãy mở bằng biểu tượng trên màn hình chính hoặc dấu trang đã lưu, thay vì bấm vào đường dẫn người khác gửi. Biểu tượng bạn đã tự thêm luôn trỏ về đúng tên miền lúc bạn thêm.

Bảng kiểm trước khi bấm một đường dẫn lạ

Lỡ bấm rồi thì làm gì

Chỉ mở trang thôi thì thường chưa mất gì; rủi ro nằm ở việc bạn đã nhập hay cài gì sau đó. Xử lý theo mức độ:

• Chỉ mở rồi đóng: đóng thẻ đó. Nếu trang kịp xin quyền gửi thông báo và bạn đã bấm cho phép, vào cài đặt trang web của trình duyệt để thu hồi.
• Đã nhập mật khẩu: đổi mật khẩu ngay trên trang thật, gõ địa chỉ bằng tay. Nếu mật khẩu đó dùng ở nơi khác, đổi luôn ở những nơi đó. Đăng xuất khỏi các thiết bị khác nếu dịch vụ có tuỳ chọn này.
• Đã đọc mã xác nhận cho người lạ: coi như tài khoản đã bị chiếm. Đổi mật khẩu, đăng xuất mọi nơi, báo nhà cung cấp dịch vụ.
• Đã nhập thông tin thẻ: gọi ngay tổng đài ngân hàng in sau thẻ để khoá thẻ. Đừng dùng số điện thoại trong tin nhắn.
• Đã cài tệp .apk: bật chế độ máy bay để cắt kết nối, gỡ ứng dụng vừa cài (vào Cài đặt, Ứng dụng). Nếu nó chặn không cho gỡ hoặc đã cấp quyền Trợ năng, mang máy tới nơi bảo hành, và dùng một máy khác để đổi mật khẩu ngân hàng, email.

Bạn có thể báo cáo trang lừa đảo cho Cục An toàn thông tin qua cổng cảnh báo tại canhbao.khonggianmang.gov.vn, để trang bị đưa vào danh sách chặn sớm hơn cho người khác.

Dạy trẻ cùng một quy tắc

Trẻ dùng điện thoại hay gặp đường dẫn mời “nhận vật phẩm miễn phí”, “mở khoá nhân vật”. Không cần giảng giải tên miền cho trẻ nhỏ; một quy tắc đơn giản là đủ: không bấm đường dẫn trong tin nhắn, chỉ mở ứng dụng bằng biểu tượng ba mẹ đã đặt sẵn trên màn hình. Gặp trang nào đòi tải gì hay nhập gì thì mang máy tới hỏi người lớn. Với trẻ lớn hơn, cùng ngồi đọc bảng ví dụ ở trên một lần, để trẻ tự tìm ra đường dẫn nào là giả. Trẻ nhớ lâu hơn khi tự phát hiện.