Một trang giải trí trên web an toàn hay không, bạn kiểm được trong chưa tới một phút bằng bốn câu hỏi: tên miền có đúng không, trang có bắt tải tệp cài đặt không, có đòi mã OTP hay mật khẩu tài khoản khác không, và có hứa quà, nạp tiền nhận thưởng không. Càng nhiều ứng dụng giải trí chạy bằng đường dẫn, kẻ gian càng dễ làm ra những trang trông y hệt. Bài này chỉ cách nhận diện từng kiểu lừa hay gặp, bảng kiểm cho cả nhà và việc cần làm ngay nếu lỡ bấm.
Vì sao xu hướng “mở bằng link” cũng là mảnh đất của lừa đảo
Ứng dụng cài từ kho phải qua một vòng duyệt, dù không hoàn hảo. Một trang web thì ai cũng dựng được trong vài giờ, đặt một tên miền na ná, chép giao diện của trang thật và gửi đường dẫn vào nhóm Zalo, Facebook. Người nhận quen với việc “bấm link là dùng được” — chính thói quen tốt đó bị lợi dụng.
Điều cần nhớ: bản thân công nghệ web không kém an toàn hơn ứng dụng cài đặt. Trình duyệt giữ mỗi trang trong một “hộp” riêng: trang không đọc được tin nhắn, danh bạ, ảnh của bạn nếu bạn không tự cho phép. Phần lớn vụ lừa qua web không phá được cái hộp đó, mà lừa chính người dùng tự tay đưa ra thứ quý: mật khẩu, mã OTP, tiền, hoặc tự cài một ứng dụng độc ngoài trình duyệt.
Năm kiểu lừa hay gặp quanh ứng dụng giải trí
1. Trang nhái tên miền
Tên miền sai một chữ, thêm một chữ, đổi đuôi: thêm dấu gạch nối, đổi “.com” thành đuôi lạ, chèn chữ “vn”, “free”, “vip”. Giao diện chép giống hệt. Mục đích thường là lấy thông tin đăng nhập hoặc dẫn sang bước sau.
2. Bắt tải tệp cài đặt
Trang hiện nút “Tải bản đầy đủ”, “Cài bản mượt hơn”, rồi đưa về một tệp .apk trên Android. Đây là dấu hiệu nguy hiểm nhất. Một ứng dụng chạy trên trình duyệt thì không cần tải tệp cài nào cả; “thêm vào màn hình chính” chỉ tạo một lối tắt, không tải tệp .apk. Tệp .apk lạ khi được cài có thể xin quyền đọc tin nhắn, hiển thị đè lên ứng dụng ngân hàng — những quyền mà một trang web không bao giờ có.
3. Đăng nhập giả
Trang hiện một khung “Đăng nhập bằng Facebook” hoặc “bằng Google” trông thật, nhưng thực ra chỉ là hình vẽ trong trang. Khung đăng nhập thật luôn mở sang đúng trang của Facebook hay Google, với tên miền của họ trên thanh địa chỉ. Khung giả bắt bạn gõ mật khẩu ngay tại trang lạ.
4. Xin mã OTP
“Nhập mã vừa gửi về điện thoại để nhận quà.” Mã OTP là chìa khoá của tài khoản ngân hàng, ví điện tử, Zalo. Không có ứng dụng giải trí chính đáng nào cần mã OTP của một dịch vụ khác. Riêng mã đăng nhập do chính ứng dụng gửi qua email thì chỉ nhập vào chính trang đó, không đọc cho ai qua điện thoại hay tin nhắn.
5. Nạp tiền nhận thưởng, quà miễn phí
“Nạp 50.000 đồng nhận vật phẩm trị giá 500.000 đồng”, “Bạn là người may mắn thứ 1.000”. Kiểu này nhắm vào trẻ em và thanh thiếu niên nhiều nhất, thường đi kèm đồng hồ đếm ngược để ép quyết định nhanh.
Bảng kiểm một phút trước khi bấm và dùng
| Kiểm gì | An toàn | Đáng ngờ |
|---|---|---|
| Tên miền trên thanh địa chỉ | Đúng tên bạn biết, gõ thử ra cùng trang | Sai chính tả, thêm gạch nối, đuôi lạ |
| Tệp tải về | Không có; dùng ngay trong trình duyệt | Bắt tải .apk hoặc “cấu hình” |
| Đăng nhập | Mở sang đúng trang của Google, Facebook, hoặc gửi mã vào email của bạn | Bắt gõ mật khẩu tài khoản khác ngay tại trang |
| Mã OTP | Chỉ là mã do chính trang gửi, nhập vào chính trang | Xin mã OTP ngân hàng, ví, Zalo |
| Thông báo | Chỉ hỏi khi bạn bấm một nút liên quan | Vừa mở đã đòi “Cho phép” mới xem được |
| Tiền | Giá rõ, thanh toán qua kênh chính thức | Quà khủng, đếm ngược, nạp thẻ cào nhận thưởng |
Biểu tượng ổ khoá không có nghĩa là trang tốt
Nhiều người được dạy “có ổ khoá là an toàn”. Thật ra HTTPS chỉ đảm bảo đường truyền giữa bạn và trang đó được mã hoá — không ai nghe lén giữa đường. Nó không nói gì về việc trang đó là ai. Trang lừa đảo cũng lấy được chứng chỉ HTTPS miễn phí trong vài phút. Chính vì hiểu lầm này mà Chrome đã thay biểu tượng ổ khoá trên thanh địa chỉ bằng một biểu tượng khác từ năm 2023.
Thứ cần nhìn là tên miền, không phải ổ khoá. Ngược lại, một trang không có HTTPS ngày nay là dấu hiệu xấu: đa số ứng dụng web nghiêm túc đều dùng HTTPS, và nhiều tính năng của trình duyệt như cảm biến, thông báo, chạy khi mất mạng chỉ hoạt động trên HTTPS.
Bật lớp bảo vệ có sẵn trên điện thoại
Bạn không cần cài thêm gì. Mấy việc dưới đây làm một lần là xong:
- Bật Duyệt web an toàn trên Chrome: mở Chrome, bấm ba chấm > Cài đặt > Quyền riêng tư và bảo mật > Duyệt web an toàn, chọn mức Tiêu chuẩn hoặc Nâng cao. Chrome sẽ cảnh báo đỏ khi bạn mở trang đã bị đánh dấu lừa đảo.
- Bật Cảnh báo trang web lừa đảo trên iPhone: Cài đặt > Ứng dụng > Safari (trên iOS cũ là Cài đặt > Safari), bật mục cảnh báo trang web lừa đảo.
- Chặn cài ứng dụng không rõ nguồn gốc trên Android: Cài đặt > Ứng dụng > Quyền truy cập đặc biệt > Cài đặt ứng dụng không rõ nguồn gốc, tắt cho trình duyệt, Zalo, Messenger.
- Dọn quyền thông báo: trong Chrome vào Cài đặt > Cài đặt trang web > Thông báo, xoá những trang bạn không nhớ đã cho phép. Thông báo lạ kiểu “Máy bạn bị nhiễm virus” thường đến từ đây.
Tên mục có thể khác tuỳ phiên bản máy và hãng điện thoại. Nếu không thấy, gõ từ khoá “an toàn”, “lừa đảo” hay “không rõ nguồn gốc” vào ô tìm kiếm của phần Cài đặt.
Lỡ bấm, lỡ nhập rồi thì làm gì
Đừng xấu hổ mà giấu — làm càng sớm càng ít thiệt. Theo thứ tự:
- Lỡ nhập mã OTP hoặc thông tin thẻ ngân hàng: gọi ngay tổng đài ngân hàng theo số in sau thẻ hoặc trên ứng dụng ngân hàng để khoá thẻ, khoá giao dịch trực tuyến. Đây là việc gấp nhất.
- Lỡ nhập mật khẩu Facebook, Google, Zalo: đổi mật khẩu ngay từ trang thật, bật xác minh hai bước, đăng xuất khỏi các thiết bị lạ trong phần bảo mật tài khoản.
- Lỡ cài tệp .apk: bật chế độ máy bay, vào Cài đặt > Ứng dụng tìm ứng dụng lạ vừa cài và gỡ. Nếu không gỡ được vì nó đã giành quyền quản trị thiết bị, mang máy tới cửa hàng của hãng hoặc nơi sửa chữa uy tín.
- Chỉ bấm vào trang mà chưa nhập gì: đóng thẻ, xoá quyền thông báo nếu lỡ cho phép. Nhìn chung không có gì phải lo thêm.
- Báo lại: báo cáo trang lừa đảo qua trang tiếp nhận cảnh báo lừa đảo của Cục An toàn thông tin (canhbao.khonggianmang.gov.vn), và nhắn cho nhóm đã chia sẻ link để người khác không bấm tiếp.
Dạy trẻ ba câu dễ nhớ
Trẻ là nhóm hay bấm nhất và ít nghi nhất, đặc biệt với lời hứa vật phẩm, quà miễn phí. Thay vì cấm hết đường dẫn, dạy con ba câu:
- “Muốn tải gì, hỏi ba mẹ trước.” Bất kỳ nút tải về, cài đặt nào.
- “Mã gửi về điện thoại không đưa cho ai.” Kể cả khi trang hứa quà.
- “Quà to quá là giả.” Không ai cho không đồ đắt chỉ vì bấm một nút.
Với trẻ nhỏ, cách chắc nhất là ba mẹ tự thêm sẵn những ứng dụng đã kiểm vào màn hình chính, để con mở từ đó chứ không mở từ link lạ trong nhóm chat. Ví dụ với Thỏ Dâu, ba mẹ mở trang một lần, thêm vào màn hình chính, rồi con chỉ việc chạm vào biểu tượng.
Những gì một ứng dụng giải trí web tử tế sẽ không làm
Đây cũng là những điều chúng tôi giữ khi làm ứng dụng AppGiaiTri. Bạn có thể dùng nó để đối chiếu với bất kỳ trang nào:
- Không bắt tải tệp cài đặt; mọi thứ chạy trong trình duyệt, muốn tiện thì thêm vào màn hình chính.
- Không hỏi mật khẩu hay mã OTP của dịch vụ khác. AppGiaiTri đăng nhập bằng mã gửi về email của bạn; mã đó chỉ nhập vào chính trang AppGiaiTri.
- Không có hộp quà ngẫu nhiên, không đồng hồ đếm ngược ép mua.
- Không đòi bật thông báo ngay khi vừa mở trang.
Một trang làm ngược lại bất kỳ điều nào trong danh sách trên chưa chắc đã là lừa đảo, nhưng đủ lý do để bạn chậm lại và kiểm kỹ hơn.
Câu hỏi thường gặp
Ứng dụng giải trí trên web có lấy được ảnh, danh bạ trong máy không?
Không, nếu bạn không tự cho phép. Trình duyệt giữ mỗi trang trong một vùng riêng, trang không đọc được ảnh, danh bạ, tin nhắn. Muốn dùng camera hay micro, trang phải hỏi và bạn phải bấm cho phép.
Trang có ổ khoá HTTPS thì có chắc là an toàn không?
Không chắc. HTTPS chỉ mã hoá đường truyền, không xác nhận trang đó là của ai. Trang lừa đảo cũng có HTTPS. Hãy kiểm tên miền trên thanh địa chỉ.
Ứng dụng web có cần tải tệp .apk không?
Không. Ứng dụng chạy trên trình duyệt dùng ngay sau khi mở trang. Thêm vào màn hình chính chỉ tạo lối tắt. Trang nào bắt tải tệp .apk để “dùng bản đầy đủ” là dấu hiệu nguy hiểm.
Lỡ nhập mã OTP vào trang lạ thì làm gì trước tiên?
Gọi ngay tổng đài ngân hàng hoặc ví điện tử liên quan để khoá giao dịch, rồi đổi mật khẩu tài khoản đó. Làm càng sớm thì khả năng chặn được giao dịch càng cao.
Làm sao chặn thông báo rác “máy bị nhiễm virus”?
Những thông báo này thường đến từ một trang web bạn từng cho phép gửi thông báo. Trong Chrome, vào Cài đặt > Cài đặt trang web > Thông báo và xoá trang lạ. Máy của bạn không bị nhiễm gì chỉ vì nhận thông báo đó.
