Một lời khuyên rất phổ biến khi kiểm tra email phishing là:

Hãy kiểm tra địa chỉ người gửi.

Đây là một bước cần thiết, nhưng chưa đủ.

Email phishing hoàn toàn có thể được gửi từ địa chỉ email thật của đồng nghiệp, quản lý, nhà cung cấp, khách hàng hoặc đối tác.

Lý do rất đơn giản:

Hacker có thể đã chiếm được tài khoản email của người đó.

Thay vì tạo một địa chỉ giả, hacker sử dụng chính tài khoản thật để gửi email lừa đảo.

Điều này khiến cuộc tấn công khó nhận biết hơn rất nhiều.

Có.

Nếu hacker chiếm được một tài khoản email hợp lệ, chúng có thể sử dụng tài khoản đó để gửi phishing.

Khi đó, email có thể có:

• Địa chỉ người gửi chính xác 

• Tên miền công ty chính xác 

• Chữ ký email thật 

• Lịch sử trao đổi thật 

• Thông tin khách hàng hoặc công việc chính xác 

Vì vậy, kiểm tra địa chỉ người gửi là quan trọng, nhưng không nên là bước kiểm tra duy nhất.

Nhân viên cũng cần xác minh những yêu cầu bất thường, đặc biệt khi liên quan đến tiền, mật khẩu, dữ liệu quan trọng hoặc thay đổi quy trình.

Để gửi email từ tài khoản thật, hacker trước tiên phải chiếm được tài khoản đó.

Có nhiều cách điều này có thể xảy ra.

1. Mật khẩu đã bị đánh cắp

Một email phishing trước đó có thể đã lừa người dùng nhập tài khoản và mật khẩu vào website giả.

Hacker sau đó sử dụng thông tin này để đăng nhập vào hộp thư thật.

2. Người dùng sử dụng lại mật khẩu

Nhân viên có thể sử dụng cùng một mật khẩu cho nhiều dịch vụ.

Nếu một dịch vụ bị rò rỉ dữ liệu, hacker có thể thử mật khẩu đó với email doanh nghiệp.

Nếu mật khẩu được sử dụng lại, tài khoản có thể bị chiếm.

3. Thiết bị bị nhiễm mã độc

Mã độc trên laptop hoặc máy tính có thể đánh cắp thông tin đăng nhập và dữ liệu phiên đăng nhập.

Hacker sau đó có thể tìm cách truy cập email của người dùng.

4. Người dùng vô tình xác nhận đăng nhập giả

Một số cuộc tấn công cố gắng khiến nhân viên xác nhận một yêu cầu đăng nhập hoặc xác thực mà họ không thực hiện.

Nếu thành công, hacker có thể lấy được quyền truy cập tài khoản.

5. Email của nhà cung cấp hoặc đối tác bị chiếm quyền

Không nhất thiết email của chính doanh nghiệp bạn phải bị hack.

Hacker có thể chiếm tài khoản của:

• Nhà cung cấp 

• Khách hàng 

• Đơn vị kế toán 

• Công ty luật 

• Đối tác kinh doanh 

Sau đó, chúng gửi email cho nhân viên của bạn từ một địa chỉ vốn đã quen thuộc và đáng tin cậy.

Hacker không phải lúc nào cũng tấn công ngay.

Đôi khi chúng âm thầm theo dõi hộp thư.

Chúng có thể tìm hiểu:

• Người này thường trao đổi với ai? 

• Ai có quyền duyệt thanh toán? 

• Công ty đang làm việc với nhà cung cấp nào? 

• Khi nào hóa đơn thường được gửi? 

• Những dự án nào đang diễn ra? 

• Nhân viên thường giao tiếp như thế nào? 

• Cuộc trao đổi nào liên quan đến tiền? 

Sau khi hiểu đủ rõ, hacker mới hành động.

Ví dụ, hacker phát hiện bộ phận Kế toán đang trao đổi với một nhà cung cấp về khoản thanh toán sắp tới.

Chúng chờ đúng thời điểm rồi gửi:

“Bên mình vừa thay đổi tài khoản ngân hàng. Vui lòng chuyển khoản hóa đơn này vào tài khoản mới dưới đây.”

Email được gửi từ tài khoản thật của nhà cung cấp.

Chuỗi email trước đó là thật.

Hóa đơn thậm chí có thể là thật.

Chỉ có thông tin thanh toán mới là giả.

Nhân viên thường được hướng dẫn tìm những dấu hiệu như:

• Địa chỉ người gửi lạ 

• Tên miền sai 

• Lỗi chính tả 

• Người gửi không quen 

• Logo trông bất thường 

Những dấu hiệu này vẫn hữu ích.

Nhưng khi tài khoản thật bị chiếm, nhiều dấu hiệu có thể biến mất.

Nhân viên nhìn thấy tên người quen và nghĩ:

“Đây là email thật nên chắc chắn an toàn.”

Đó chính là niềm tin mà hacker muốn lợi dụng.

Thay đổi tài khoản thanh toán

Email thật của nhà cung cấp gửi:

“Bên mình vừa đổi ngân hàng. Bạn cập nhật tài khoản thanh toán mới giúp nhé.”

Chia sẻ tài liệu giả

Email của đồng nghiệp gửi:

“Bạn xem giúp mình tài liệu này trước cuộc họp nhé.”

Link bên trong lại dẫn đến trang đăng nhập giả.

Yêu cầu giả từ lãnh đạo

Email thật của quản lý gửi yêu cầu chuyển tiền hoặc cung cấp tài liệu quan trọng.

Trả lời trong chuỗi email thật

Hacker tiếp tục một cuộc trao đổi có sẵn:

“Mình gửi lại hóa đơn mới trong file đính kèm.”

Toàn bộ lịch sử phía dưới đều thật nên email rất dễ tạo niềm tin.

Phishing từ email nội bộ

Một tài khoản nhân viên bị chiếm có thể được dùng để gửi phishing cho những người khác trong cùng công ty.

Người nhận thường ít nghi ngờ hơn vì email đến từ chính tên miền nội bộ.

Khi địa chỉ người gửi chính xác, đừng chỉ tập trung vào câu hỏi:

“Ai gửi email này?”

Hãy hỏi thêm:

“Email này đang yêu cầu tôi làm gì?”

1. Yêu cầu xuất hiện bất ngờ

Một người quen đột nhiên yêu cầu bạn:

• Đổi mật khẩu 

• Mở một file lạ 

• Truy cập trang đăng nhập 

• Chuyển tiền 

• Gửi dữ liệu mật 

Hãy kiểm tra xem yêu cầu đó có hợp lý không.

2. Thông tin thanh toán đột nhiên thay đổi

Nhà cung cấp thông báo đổi tài khoản ngân hàng.

Dù địa chỉ email hoàn toàn chính xác, thay đổi này vẫn nên được xác minh qua một kênh khác.

3. Người gửi tạo áp lực bất thường

Ví dụ:

“Làm ngay giúp anh.”

“Đừng gọi lại.”

“Việc này bảo mật.”

“Phải chuyển tiền trong một giờ nữa.”

Sự khẩn cấp có thể được sử dụng để khiến nhân viên bỏ qua bước xác minh.

4. Hành vi khác với bình thường

Quản lý thường chia sẻ tài liệu qua hệ thống nội bộ nhưng hôm nay lại gửi một link đăng nhập lạ.

Nhà cung cấp thường làm theo quy trình thanh toán cố định nhưng đột nhiên yêu cầu thay đổi.

Địa chỉ email vẫn đúng.

Điều bất thường nằm ở hành vi.

5. Email yêu cầu bỏ qua quy trình

Ví dụ:

Quy trình bình thường: Khoản thanh toán cần hai người phê duyệt.

Email: “Anh đang đi công tác, cứ xử lý khoản này trước không cần duyệt.”

Đây là dấu hiệu cần đặc biệt thận trọng.

Khi một người quen gửi yêu cầu bất thường hoặc nhạy cảm, hãy xác minh chính yêu cầu đó.

Bước 1: Chưa tương tác với nội dung đáng ngờ

Không nhấn link, mở file bất ngờ, quét QR hoặc nhập mật khẩu trước khi xác minh.

Bước 2: Kiểm tra bối cảnh

Tự hỏi:

Tôi có đang chờ yêu cầu này không?

Người này có thường yêu cầu như vậy không?

Yêu cầu có đúng quy trình của công ty không?

Bước 3: Xác minh qua một kênh khác

Gọi vào số điện thoại đã biết.

Nhắn qua kênh nội bộ thường sử dụng.

Với nhà cung cấp, sử dụng thông tin liên hệ đã được xác minh từ trước.

Không sử dụng số điện thoại mới xuất hiện trong email đáng ngờ.

Bước 4: Xác minh riêng các thay đổi quan trọng

Đặc biệt kiểm tra khi email liên quan đến:

• Tài khoản ngân hàng 

• Thanh toán 

• Mật khẩu 

• Quyền truy cập 

• Dữ liệu nhạy cảm 

• Tài liệu mật 

Bước 5: Báo cáo nếu phát hiện bất thường

Nếu người gửi xác nhận họ không gửi email đó, hãy báo ngay cho IT hoặc người phụ trách an ninh.

Tài khoản của họ có thể đã bị chiếm và hacker có thể đang gửi email cho nhiều người khác.

Có.

Đây vẫn là bước kiểm tra quan trọng vì rất nhiều email phishing sử dụng địa chỉ giả hoặc tên miền gần giống.

Nhưng đừng áp dụng quy tắc:

“Địa chỉ đúng = Email an toàn.”

Thay vào đó:

“Kiểm tra người gửi + Kiểm tra yêu cầu.”

Đối với những hành động quan trọng, cần xác minh cả hai.

MFA giúp tài khoản khó bị chiếm quyền hơn và nên được sử dụng khi phù hợp.

Tuy nhiên, không có một biện pháp duy nhất có thể loại bỏ hoàn toàn rủi ro.

Hacker vẫn có thể tìm cách đánh cắp phiên đăng nhập, lừa người dùng xác nhận yêu cầu hoặc sử dụng các phương thức khác để truy cập tài khoản.

Vì vậy, doanh nghiệp cần nhiều lớp bảo vệ kết hợp với quy trình xác minh và nhận thức của nhân viên.

Hãy báo ngay cho IT hoặc người phụ trách an ninh.

Doanh nghiệp có thể cần kiểm tra:

• Các phiên đăng nhập bất thường 

• Hoạt động đăng nhập gần đây 

• Email đã được gửi từ tài khoản 

• Các thay đổi trong cài đặt 

• Quy tắc tự động chuyển tiếp email 

• Dữ liệu có thể đã bị truy cập 

• Các tài khoản khác có bị nhắm đến hay không 

Xử lý càng sớm thì khả năng hạn chế thiệt hại càng cao.

Phishing hiện đại ngày càng tập trung vào việc lợi dụng niềm tin.

Tên người gửi quen thuộc chưa đủ.

Tên miền chính xác chưa đủ.

Thậm chí địa chỉ email thật cũng chưa chắc đủ.

Khi nhận một email yêu cầu thực hiện hành động quan trọng, hãy kiểm tra cả hai:

Ai đang yêu cầu?

Yêu cầu này có thực sự hợp lý không?

Một bước xác minh đơn giản qua kênh khác có thể ngăn chặn một sự cố lớn.

Hacker có thể gửi phishing từ tài khoản email thật không?

Có. Nếu hacker chiếm được một hộp thư hợp lệ, chúng có thể sử dụng chính địa chỉ email đó để gửi email lừa đảo.

Làm sao biết tài khoản email thật đã bị hack?

Không phải lúc nào cũng có thể biết chỉ bằng cách nhìn vào email. Hãy chú ý đến yêu cầu bất thường, link hoặc file không mong đợi, thay đổi thông tin thanh toán, sự khẩn cấp bất thường hoặc yêu cầu không đúng quy trình.

Tên miền email đúng thì email có an toàn không?

Không nhất thiết. Tên miền có thể hoàn toàn chính xác nhưng tài khoản của một người dùng trong tên miền đó đã bị chiếm quyền.

Phishing có thể đến từ email nội bộ công ty không?

Có. Hacker có thể chiếm tài khoản của một nhân viên rồi sử dụng tài khoản đó để gửi phishing cho đồng nghiệp trong cùng doanh nghiệp.

Có nên trả lời email để hỏi người gửi có thực sự gửi không?

Với yêu cầu quan trọng, nên xác minh qua một kênh khác. Nếu hacker đang kiểm soát tài khoản, chúng cũng có thể đọc và trả lời email của bạn.

Nhà cung cấp gửi email đổi tài khoản ngân hàng thì nên làm gì?

Không nên thay đổi thông tin thanh toán chỉ dựa trên email. Hãy xác minh với nhà cung cấp bằng thông tin liên hệ đã được xác nhận từ trước và thực hiện đúng quy trình kiểm tra thanh toán của doanh nghiệp.