Cách Nhận Biết Email Lừa Đảo (Phishing) Trong 10 Giây

Email lừa đảo (phishing) là một trong những cửa ngõ phổ biến nhất của các cuộc tấn công vào doanh nghiệp

Hãy hình dung: giám đốc một công ty nhận email có vẻ từ ngân hàng, yêu cầu xác nhận một giao dịch lớn. Ông bấm vào liên kết, nhập mật khẩu Internet Banking, và ít lâu sau tài khoản công ty bị rút. Email đó là phishing, và có thể nhận ra trong 10 giây nếu biết 6 dấu hiệu dưới đây. Đây là tình huống minh họa do chúng tôi dựng lên, không phải hồ sơ của một khách hàng cụ thể.

Chúng tôi chưa kiểm chứng được nguồn của các tỷ lệ thường được trích về phishing tại Việt Nam, nên bài này không dùng chúng. Xem thêm bài của chúng tôi về email yêu cầu chuyển khoản lừa đảo, dựa trên cảnh báo của FBI và hướng dẫn phòng thủ nhiều lớp của NCSC (Anh). Đối với chủ doanh nghiệp, một cú bấm sai có thể gây thiệt hại lớn.

Tin tốt: phishing có những dấu hiệu rất rõ — chỉ cần biết cách nhìn.

Email lừa đảo (phishing) là gì?

Email lừa đảo, hay phishing, là email giả mạo gửi từ "ngân hàng", "đối tác", "cơ quan thuế" hoặc "nhà cung cấp" — nhằm lừa người đọc click vào link độc hại hoặc cung cấp thông tin nhạy cảm như mật khẩu, số tài khoản. Mục đích cuối cùng: đánh cắp tiền, đánh cắp dữ liệu, hoặc cài ransomware vào hệ thống công ty.

Phishing không cần kỹ thuật cao. Hacker chỉ cần soạn 1 email trông giống thật và gửi cho 10,000 nhân viên — chỉ 1% click là đã thành công.

6 Dấu Hiệu Nhận Biết Email Lừa Đảo Trong 10 Giây

Dấu hiệu 1: Địa chỉ email người gửi — kiểm tra kỹ ký tự

Đây là cách kiểm tra nhanh nhất. Hacker thường tạo địa chỉ email khác email thật chỉ 1 ký tự.

Ví dụ phishing thường gặp tại Việt Nam:

Email thật	Email giả
[email protected]	[email protected]
[email protected]	[email protected]
[email protected]	[email protected]
[email protected]	[email protected]

Cách kiểm tra trong 5 giây: Click vào tên người gửi, xem ĐẦY ĐỦ địa chỉ email (không chỉ tên hiển thị). Trên Gmail, click mũi tên xuống bên cạnh tên. Trên Outlook, di chuột qua tên người gửi.

Dấu hiệu 2: Lời chào không cá nhân hóa

Email thật từ ngân hàng/đối tác sẽ chào bạn bằng tên: "Kính gửi anh Nguyễn Văn A". Email phishing thường dùng lời chào chung chung:

• "Kính gửi quý khách"
• "Dear Customer"
• "Kính gửi chủ tài khoản"

Lý do: hacker gửi 1 email cho hàng nghìn người, không biết tên cụ thể.

Lưu ý: Phishing cao cấp (gọi là "spear phishing") có thể có tên bạn — vì hacker đã nghiên cứu trước. Đừng chỉ dựa vào dấu hiệu này.

Dấu hiệu 3: Tạo cảm giác khẩn cấp — "trong vòng 24 giờ"

Email phishing thường có các cụm từ tạo áp lực thời gian:

• "Tài khoản của quý khách sẽ bị khóa trong 24 giờ"
• "Xác minh ngay hoặc mất quyền truy cập"
• "Giao dịch khẩn cấp cần xác nhận"
• "Hóa đơn quá hạn — thanh toán trong 12 giờ"

Mục đích: làm bạn hoảng loạn, click ngay không suy nghĩ. Quy tắc: ngân hàng và cơ quan nhà nước Việt Nam KHÔNG BAO GIỜ yêu cầu hành động khẩn cấp qua email. Họ sẽ gọi điện, gửi SMS, hoặc thư bảo đảm.

Dấu hiệu 4: Link không khớp với chữ hiển thị

Đây là dấu hiệu kỹ thuật nhưng rất dễ kiểm tra. Đừng click — chỉ DI CHUỘT qua link để xem URL thật.

Ví dụ:

Email hiển thị: "Vui lòng đăng nhập tại www.vietcombank.com.vn"
URL thật khi di chuột: http://vietcombank-secure.xyz/login

Trên điện thoại: nhấn giữ ngón tay vào link để xem URL trước khi mở.

Pro tip: Nếu bạn cần đăng nhập ngân hàng, KHÔNG bao giờ click link trong email. Mở trình duyệt mới, gõ trực tiếp địa chỉ ngân hàng.

Dấu hiệu 5: File đính kèm yêu cầu "Enable Macros" hoặc đuôi lạ

Email phishing thường gửi file Word/Excel/PDF chứa mã độc. Khi mở:

• File yêu cầu "Enable Editing" → "Enable Macros" — KHÔNG BAO GIỜ click Enable Macros
• File có đuôi lạ: .exe, .zip, .iso, .bat, .scr, .vbs
• File có 2 đuôi: bao_cao.pdf.exe (Windows ẩn đuôi .exe mặc định)

Quy tắc an toàn: Nếu không chắc chắn 100% người gửi và lý do, KHÔNG mở file đính kèm. Gọi điện xác nhận trước.

Dấu hiệu 6: Lỗi chính tả, ngữ pháp, dấu câu lộn xộn

Phishing thường được dịch máy hoặc viết bởi người không phải tiếng Việt bản ngữ:

• "Quý khách có giao dich cần xác nhân" (thiếu dấu)
• "Tài Khoản Của Bạn Đã Bị Khoá" (viết hoa lung tung)
• "Vui lòng click vào đây để mở khóa tài khoãn" (sai chính tả)
• Dùng từ Hán-Việt cứng: "khẩn yếu", "tức thì xác nhận"

Email thật từ ngân hàng/đối tác lớn sẽ qua biên tập kỹ. Lỗi chính tả là red flag mạnh.

Bảng Checklist 10 Giây

Khi nhận email khả nghi, kiểm tra 6 điểm sau:

#	Câu hỏi	Có	Không
1	Địa chỉ email người gửi có chính xác từng ký tự không?	✅	❌
2	Có chào bằng tên cụ thể của tôi không?	✅	❌
3	Email không tạo cảm giác khẩn cấp?	✅	❌
4	Link trong email trỏ đến đúng domain?	✅	❌
5	File đính kèm an toàn (đúng đuôi, không yêu cầu macros)?	✅	❌
6	Tiếng Việt đúng chính tả, ngữ pháp?	✅	❌

Có 1 dấu ❌ → nghi ngờ. Có 2+ dấu ❌ → chắc chắn là phishing, xóa ngay.

Khi Đã Click Phải Email Phishing — Phải Làm Gì?

Hành động trong 30 phút đầu quyết định mức độ thiệt hại:

Nếu đã nhập mật khẩu:

1. Đổi mật khẩu ngay lập tức — không chỉ tài khoản đó mà tất cả tài khoản dùng cùng mật khẩu
2. Bật xác thực 2 yếu tố (2FA) — xem hướng dẫn 7 quy tắc mật khẩu an toàn
3. Kiểm tra lịch sử đăng nhập — xem có thiết bị lạ đăng nhập không
4. Thông báo IT và đồng nghiệp — để tránh lây lan

Nếu đã mở file đính kèm:

1. Ngắt kết nối mạng ngay — rút dây LAN, tắt Wi-Fi
2. KHÔNG TẮT máy tính — bộ nhớ RAM có thể chứa thông tin quan trọng cho điều tra
3. Gọi IT khẩn cấp — người phụ trách IT của bạn hoặc Vietify theo số +84 236 363 5252
4. Báo cho nhân viên khác trong công ty — kiểm tra xem có ai khác bị tấn công không

Nếu đã chuyển tiền:

1. Gọi ngay ngân hàng để khoá giao dịch — số hotline trên thẻ
2. Trình báo công an cấp xã/phường — có 12 giờ vàng để truy vết
3. Hỏi đơn vị có thẩm quyền về kênh báo cáo sự cố an ninh mạng chính thức (bài này chưa kiểm chứng số hotline nào nên không nêu)

Bài Học Từ Một Kịch Bản Chuyển Tiền Giả Mạo

Đây là kịch bản minh họa do chúng tôi dựng lên, không phải hồ sơ của khách hàng cụ thể.

Một email giả mạo "kế toán" yêu cầu chuyển một khoản lớn cho một "nhà cung cấp nước ngoài". Người duyệt chi làm theo vì đã quen quy trình và email trông giống thật. Việc truy vết tiền sau đó thường chậm và không chắc thu hồi được.

Bài học (là khuyến nghị của chúng tôi): với bất kỳ giao dịch chuyển tiền lớn nào, hãy xác nhận bằng điện thoại với người gửi qua số bạn đã có sẵn, không qua email. FBI mô tả thủ đoạn này là business email compromise và cũng khuyến nghị dùng kênh thứ hai để xác minh yêu cầu đổi thông tin tài khoản. Chi tiết, kèm checklist 60 giây, nằm trong bài email yêu cầu chuyển khoản lừa đảo.

3 Biện Pháp Phòng Chống Phishing Cho Toàn Công Ty

Sau khi nhân viên biết 6 dấu hiệu trên, doanh nghiệp cần thêm 3 biện pháp kỹ thuật:

1. Bật bộ lọc phishing trên email server

Microsoft 365 và Google Workspace có tính năng chống phishing tích hợp; quản trị viên cần kiểm tra và bật các tùy chọn phù hợp. Chúng tôi không nêu tỷ lệ chặn vì không có số liệu đã kiểm chứng.

2. Đào tạo nhân viên định kỳ — mô phỏng phishing

Mỗi quý 1 lần, gửi email phishing GIẢ cho nhân viên (tự gửi để thử). Nhân viên bấm vào thì chuyển đến trang hướng dẫn. Theo dõi xem tỷ lệ bấm có giảm theo thời gian không; chúng tôi không nêu mức giảm cụ thể vì không có số liệu đã kiểm chứng.

3. Quy trình xác nhận tài chính 2 bước

Mọi giao dịch >100 triệu phải xác nhận qua 2 kênh: email + điện thoại. Mọi giao dịch >500 triệu cần chữ ký giấy + xác nhận qua điện thoại với người gửi.

Vietify hỗ trợ thiết lập 3 biện pháp trên trong gói bảo mật IT cho doanh nghiệp từ 1.5 triệu/tháng.

Kiểm Tra Ngay: Email Công Ty Có Đủ Bảo Mật?

Đặt lịch đánh giá IT miễn phí với Vietify — chúng tôi sẽ kiểm tra toàn bộ thiết lập email công ty bạn (SPF, DKIM, DMARC, anti-phishing) trong 30 phút và đề xuất các điểm cần khắc phục. Báo cáo PDF gửi trong 24 giờ, hoàn toàn miễn phí.

Kết Luận

Email phishing là một trong những cửa ngõ phổ biến của ransomware và đánh cắp dữ liệu. Tin tốt: phần lớn email phishing có dấu hiệu nhận ra được nếu bạn biết 6 dấu hiệu trên và dành vài giây kiểm tra, và một buổi đào tạo ngắn cho nhân viên giúp ích rõ rệt.

Hành động quan trọng nhất hôm nay: forward bài viết này cho toàn bộ nhân viên và yêu cầu mọi người đọc. Đây là khóa đào tạo bảo mật miễn phí có ROI cao nhất.

---

Đọc tiếp trong cùng chủ đề:

• 7 Quy Tắc Đặt Mật Khẩu An Toàn Cho Doanh Nghiệp
• Máy Tính Công Ty Bị Virus: Quy Trình Xử Lý Trong 60 Phút
• Dịch Vụ Bảo Mật IT Cho Doanh Nghiệp Đà Nẵng

---

Vietify IT Services — Đội ngũ IT chuyên nghiệp cho doanh nghiệp vừa và nhỏ tại Đà Nẵng. Cập nhật lần cuối: Tháng 5 năm 2026 | Tác giả: Thanh Nguyen, Founder, Vietify IT Services