Liên kết này có an toàn không? Cách nhận biết trước khi bạn nhấp

Câu trả lời ngắn gọn: Một liên kết an toàn khi nó đến từ người gửi đáng tin cậy, trỏ đến đúng tên miền bạn mong đợi, dùng HTTPS và không có dấu hiệu hối thúc hay lừa dối nào. Khi bạn không chắc chắn, đừng nhấp. Thay vào đó, hãy kiểm tra URL thủ công hoặc mở nó trong một môi trường cô lập nơi không gì có thể chạm tới thiết bị của bạn.

Hướng dẫn này chỉ cho bạn cách đọc một URL và nhận ra các dấu hiệu nguy hiểm — trước khi con trỏ chuột của bạn đến gần nó.

Vì sao liên kết là con đường tấn công phổ biến nhất

Mọi chiến dịch lừa đảo, phát tán mã độc và đánh cắp thông tin đăng nhập đều bắt đầu theo cùng một cách: ai đó nhấp vào một liên kết. Liên kết chính là phương tiện chuyển giao. Việc của kẻ tấn công là làm cho nó trông đủ bình thường để bạn không suy nghĩ hai lần.

Việc của bạn là chậm lại hai giây và đọc kỹ những gì thực sự nằm ở đó.

Những dấu hiệu cảnh báo trong chính URL

Bạn không cần công cụ chuyên dụng để phát hiện một liên kết đáng ngờ. Hầu hết các dấu hiệu nguy hiểm đều hiện rõ nếu bạn biết cần tìm gì.

Tên miền giả mạo và tên miền đánh máy nhầm

Kẻ tấn công đăng ký các tên miền thoạt nhìn giống hệt thương hiệu uy tín. Các thủ thuật thường gặp:

Thay thế ký tự: paypa1.com (chữ cái l bị thay bằng số 1), arnazon.com
Thêm từ khóa: amazon-secure-login.com, apple-id-verify.net
Sai đuôi tên miền (TLD): netflix.com.co, google.com.ph khi bạn sống ở nơi khác và không hề mong đợi một chuyển hướng theo khu vực

Hãy đọc kỹ tên miền, từ trái sang phải. Phần nằm ngay trước dấu gạch chéo đơn đầu tiên mới là máy chủ thực sự.

Tên miền phụ gây nhầm lẫn

Đây là một trong những thủ thuật hiệu quả nhất và cũng bị bỏ qua nhiều nhất. Hãy xem:

paypal.com.login-verify.net

Tên miền thực ở đây là login-verify.net. Phần paypal.com chỉ là một tên miền phụ. Nghe thì có vẻ đáng tin. Nhưng không phải. Trình duyệt hiển thị đầy đủ URL — mắt bạn có xu hướng dừng lại ở tên thương hiệu quen thuộc và bỏ qua phần còn lại.

Quy tắc: đọc từ bên phải của tên miền ngược về dấu chấm quan trọng đầu tiên.

Dịch vụ rút gọn URL che giấu điểm đến

bit.ly/x7Kq2, t.co/abc123, tinyurl.com/something — hoàn toàn bình thường trong bối cảnh mạng xã hội, nhưng hoàn toàn mù mờ về nơi chúng dẫn tới. Một liên kết rút gọn trong email hoặc tin nhắn bất ngờ là dấu hiệu cảnh báo đáng để bạn lưu tâm nghiêm túc.

Bạn có thể mở rộng hầu hết các liên kết rút gọn mà không cần nhấp: dán URL rút gọn vào một dịch vụ như CheckShortURL hoặc thêm dấu + vào cuối một liên kết Bit.ly (bit.ly/x7Kq2+) để xem trang xem trước. Sẽ nói thêm về điều đó ở phần tiếp theo.

Punycode và ký tự đồng hình

Unicode cho phép các ký tự từ những bảng chữ cái không phải Latin trông giống hệt chữ cái Latin. аmazon.com và amazon.com có thể trông y hệt nhau trong nội dung tin nhắn — một cái dùng chữ "а" trong bảng Kirin. Trình duyệt thường hiển thị chúng dưới dạng punycode (xn--mazon-3ve.com), nhưng các ứng dụng nhắn tin và trình khách email có thể hiển thị bản giả trông giống thật.

Nếu một liên kết trông có vẻ đúng nhưng cảm giác không ổn, hãy sao chép tên miền vào thanh địa chỉ của trình duyệt và đọc xem nó thực sự dẫn tới đâu.

HTTP so với HTTPS — và vì sao ổ khóa là chưa đủ

HTTPS có nghĩa là kết nối được mã hóa. Nó không có nghĩa là trang web ở đầu bên kia đáng tin cậy. Các trang lừa đảo thường xuyên dùng HTTPS và hiển thị biểu tượng ổ khóa. Lấy một chứng chỉ TLS không tốn kém và chỉ mất vài phút.

Điều HTTPS cho bạn biết: dữ liệu bạn gửi đi được truyền dưới dạng mã hóa. Điều nó không cho bạn biết: ai là chủ sở hữu máy chủ đang nhận dữ liệu đó.

Một liên kết HTTP (không có ổ khóa) là dấu hiệu cảnh báo bổ sung, đặc biệt với bất cứ điều gì yêu cầu bạn đăng nhập hay nhập thông tin thanh toán. Nhưng chỉ riêng một ổ khóa thì không phải là đèn xanh.

Chuyển hướng quá mức và tham số theo dõi

Các URL dài nhồi nhét tham số redirect=, url= hay r= có thể chuyển qua nhiều điểm đến trước khi dừng lại ở đâu đó. Mỗi bước nhảy là một cơ hội để che giấu điểm đến cuối cùng. Một URL đọc như một chuỗi theo dõi — nhất là khi kết thúc ở một tên miền bạn không nhận ra — đáng để soi kỹ.

Mồi hối thúc trong nội dung tin nhắn kèm theo

URL chỉ là một phần của bức tranh. Tin nhắn mang theo nó cũng quan trọng. Những dấu hiệu kinh điển:

"Tài khoản của bạn sẽ bị đình chỉ trong 24 giờ"
"Bạn có một đơn hàng đang chờ — xác nhận ngay"
"Phát hiện đăng nhập bất thường — xác minh ngay lập tức"

Sự hối thúc làm ngắn mạch tư duy cẩn trọng. Đó chính là mục đích. Khi tin nhắn gây áp lực lên sự cảnh giác của bạn, hãy chậm lại.

Cách kiểm tra một liên kết mà không nhấp vào nó

Di chuột để xem trước

Trên máy tính, hãy di chuột lên trên một siêu liên kết mà không nhấp. URL đích thực sẽ xuất hiện trên thanh trạng thái ở cuối trình duyệt hoặc trình khách email. Hãy so sánh nó với những gì văn bản neo ghi. Nếu văn bản hiển thị ghi "Nhấp vào đây để đăng nhập ngân hàng của bạn" nhưng URL lại trỏ đến một nơi chẳng liên quan, thì đó là một sự bất khớp rõ ràng.

Mở rộng các URL rút gọn

Trước khi nhấp bất kỳ liên kết rút gọn nào:

Dùng một công cụ mở rộng liên kết rút gọn để lộ ra điểm đến đầy đủ.
Đọc URL đã mở rộng theo cùng cách bạn đọc bất kỳ URL nào khác — nhìn vào tên miền thực, kiểm tra các thủ thuật kể trên.
Nếu điểm đến đã mở rộng vẫn trông xa lạ, hãy coi nó là đáng ngờ.

Kiểm tra xem liên kết đến từ đâu

Bối cảnh là bằng chứng. Hãy tự hỏi:

Bạn có mong đợi tin nhắn này từ người này không?
Bạn có thực hiện hành động nào có thể tạo ra liên kết này không (đặt lại mật khẩu, một đơn giao hàng, một biên nhận)?
Địa chỉ email hoặc số điện thoại của người gửi có đúng là cái bạn lưu trong danh bạ không?

Một liên kết bất ngờ từ một người quen vẫn đáng để soi kỹ — tài khoản có thể bị xâm phạm, và kẻ tấn công có thể giả mạo địa chỉ người gửi.

Giới hạn của các trình quét URL tĩnh

Các trình quét URL như VirusTotal hay Google Safe Browsing đối chiếu một liên kết với cơ sở dữ liệu các trang web độc hại đã biết. Chúng hữu ích và đáng dùng. Nhưng chúng cũng có một điểm yếu về bản chất: chúng dựa vào dữ liệu danh tiếng vốn luôn tụt lại phía sau các mối đe dọa thực tế.

Một tên miền lừa đảo được đăng ký sáng nay chưa có danh tiếng gì cả. Nó sẽ không xuất hiện trong bất kỳ danh sách chặn nào. Một trình quét kiểm tra nó ngay lúc này sẽ trả về kết quả sạch — không phải vì nó an toàn, mà vì nó còn mới.

Để hiểu sâu hơn vì sao các trình quét tĩnh không đủ và bạn nên làm gì thay thế, hãy đọc hướng dẫn kiểm tra liên kết an toàn trên Tempbrowser. Nó trình bày toàn cảnh cách lừa đảo né tránh việc phát hiện dựa trên danh tiếng và một lần kiểm tra động thực sự cho bạn thấy điều gì.

Lựa chọn rủi ro bằng không: mở nó trong trình duyệt đám mây dùng một lần

Khi bạn đã kiểm tra thủ công mà vẫn không chắc chắn — hoặc khi liên kết đến từ một nơi khiến bạn thực sự bất an — nước đi an toàn nhất là mở nó trong một môi trường không phải là thiết bị của bạn.

Tempbrowser là một trình duyệt dùng một lần trên đám mây. Bạn dán URL vào. Nó mở bên trong một máy tính ảo tạm thời, được truyền phát lên màn hình của bạn. Trang chạy ở đó, không phải ở đây. Không có mã nào chạm vào máy tính của bạn.

Trình phân tích của Tempbrowser bổ sung thêm một lớp: nó chụp ảnh màn hình khi trang tải, để bạn có thể thấy nó thực sự làm gì — nó hiển thị ra sao, có chuyển hướng ngay lập tức không, có hiện một biểu mẫu đăng nhập giả mạo thành thứ gì khác không — mà không có bất kỳ hoạt động nào diễn ra trên máy của bạn.

Khi phiên kết thúc, toàn bộ môi trường sẽ bị xóa sạch. Không lịch sử. Không cookie. Không dấu vết.

Gói Free không yêu cầu đăng ký và không cần thẻ tín dụng. Bạn có ba lần mở trong mỗi 24 giờ với các phiên kéo dài vài phút — quá đủ để thấy một liên kết đáng ngờ thực sự làm gì. Nếu bạn cần phiên dài hơn hoặc mở không giới hạn, gói Pro có giá $4.99 mỗi tháng thanh toán theo năm với các phiên 60 phút.

Nó rất hợp với việc hiểu trình duyệt dùng một lần thực chất là gì — nếu khái niệm này còn mới với bạn, bài viết đó giải thích cơ chế hoạt động.

FAQ

Điều gì xảy ra nếu tôi nhấp vào một liên kết lừa đảo?

Còn tùy vào việc trang đó làm gì. Một số trang lừa đảo thuần túy là biểu mẫu thu thập thông tin đăng nhập — chúng chỉ gây hại nếu bạn nhập tên đăng nhập và mật khẩu. Số khác cố khai thác lỗ hổng trình duyệt để tự động cài mã độc (gọi là tải xuống không mong muốn). Rủi ro thay đổi tùy trường hợp, nhưng giả định an toàn nhất là: nhấp vào một liên kết lạ trên thiết bị thật của bạn mang rủi ro thực sự.

Chỉ mở một liên kết có thể lây nhiễm cho điện thoại của tôi không?

Có, điều đó có thể xảy ra. Trình duyệt di động không miễn nhiễm với các cuộc tấn công dựa trên khai thác lỗ hổng. Trên thực tế, hầu hết lừa đảo nhắm vào điện thoại đều hướng đến đánh cắp thông tin đăng nhập qua các trang đăng nhập giả hơn là cài mã độc — nhưng các khai thác không cần nhấp và tải xuống không mong muốn cho trình duyệt di động vẫn tồn tại, đặc biệt với những thiết bị chưa được vá lỗi. Cập nhật hệ điều hành và trình duyệt là tuyến phòng thủ cơ bản.

Các công cụ kiểm tra liên kết có chính xác không?

Các công cụ kiểm tra liên kết dựa trên danh tiếng chính xác với các mối đe dọa đã biết và vô dụng với những mối đe dọa mới. Một tên miền đăng ký vài giờ trước sẽ vượt qua mọi trình quét một cách sạch sẽ. Điều đó không khiến nó an toàn. Hãy dùng trình quét như một tín hiệu trong nhiều tín hiệu, chứ không phải là phán quyết cuối cùng.

Làm cách nào để kiểm tra một liên kết trên điện thoại?

Trên di động việc này khó hơn. Không có tính năng di chuột xem trước, và giữ lâu để sao chép một liên kết mất một chút thời gian. Các bước hữu ích:

Giữ lâu vào liên kết và chọn "Sao chép liên kết" thay vì chạm vào nó.
Dán vào một ứng dụng ghi chú và đọc kỹ toàn bộ URL.
Đưa nó qua một công cụ mở rộng liên kết rút gọn nếu đó là liên kết rút gọn.
Nếu vẫn không chắc, hãy mở tempbrowser.app/vi/analyzer trên trình duyệt điện thoại của bạn, dán URL vào đó, và để hộp cát tải nó thay cho thiết bị của bạn.

Nếu liên kết trông ổn nhưng email vẫn khiến tôi thấy sai sai thì sao?

Hãy tin vào cảm giác đó. Vệ sinh URL là một tín hiệu; bối cảnh là một tín hiệu khác. Nếu tin nhắn đến bất ngờ, dùng ngôn ngữ khác thường, hoặc yêu cầu bạn làm điều gì đó bất thường, hãy xác minh qua một kênh riêng — gọi cho người gửi, tự đăng nhập trực tiếp vào dịch vụ bằng cách gõ URL, hoặc liên hệ bộ phận hỗ trợ. Đừng dùng bất kỳ thông tin liên hệ nào được cung cấp trong chính tin nhắn đáng ngờ đó.

Kết luận

Đọc một URL mất hai giây. Khắc phục một tài khoản bị xâm phạm hay một thiết bị bị nhiễm thì không. Hãy chậm lại, kiểm tra tên miền, kiểm tra bối cảnh, và khi tín hiệu còn mơ hồ — hãy mở nó ở một nơi không phải là máy tính của bạn.

Một cú nhấp chuột. Dùng một lần. Hãy thử Trình phân tích của Tempbrowser — không cần đăng ký.