Kiểm tra email giả mạo trong Gmail: SPF “pass” vẫn chưa đủ kết luận

Với một email đáng ngờ trong Gmail, hãy mở chi tiết người gửi để đối chiếu địa chỉ hiển thị với các miền “Được gửi bởi” và “Được ký bởi”. Tiếp đó, mở bản gốc và đọc SPF, DKIM cùng miền gắn với từng kết quả trong Authentication-Results. Trước khi bấm liên kết, tải tệp hoặc cung cấp thông tin, hãy xác minh yêu cầu bằng ứng dụng chính thức hoặc số điện thoại bạn tự tìm.

Một dòng spf=pass cho biết phép kiểm tra SPF đã đạt đối với một miền cụ thể; nó không chứng minh hóa đơn, đường dẫn hay lời tự xưng trong thư là thật. Cần đọc cả địa chỉ From mà người nhận nhìn thấy, miền được xác thực và việc người gửi đang yêu cầu mình làm.

Xem chi tiết người gửi ngay trong Gmail

Theo hướng dẫn xác thực của Gmail, trên máy tính bạn có thể nhấp mũi tên dưới tên người gửi để xem miền “Được gửi bởi” và “Được ký bởi”; dấu hỏi cạnh tên báo thư chưa được xác thực. Hãy ghi lại địa chỉ email đầy đủ, thay vì chỉ đọc tên hiển thị như “Bộ phận thanh toán”. Một tên quen thuộc có thể khiến thư trông đáng tin dù phần miền phía sau địa chỉ lại khác với nơi bạn định liên hệ.

“Được gửi bởi” cho biết miền liên quan đến việc gửi thư, còn “Được ký bởi” cho biết miền ký thư. Nếu các miền ấy khác địa chỉ From hoặc khác miền của tổ chức mà thư tự nhận đại diện, hãy giữ nguyên sự khác biệt đó để kiểm tra ở bản gốc. Dấu hỏi là lý do để thận trọng, nhưng thư hợp lệ gửi qua danh sách thư đôi khi cũng gặp lỗi xác thực; riêng sự vắng mặt của dấu hỏi cũng không xác nhận nội dung yêu cầu.

Mở bản gốc và tìm đúng dòng kết quả

Trong Gmail trên trình duyệt máy tính, mở thư rồi chọn menu ba chấm cạnh nút Trả lời và chọn “Hiển thị bản gốc” (“Show original”). Theo hướng dẫn xem tiêu đề đầy đủ của Google, bản gốc mở ở cửa sổ mới; bạn cũng có thể sao chép tiêu đề vào Google Admin Toolbox Messageheader để phân tích. Công cụ này giúp trình bày tiêu đề dễ đọc hơn, còn việc xác minh yêu cầu trong thư vẫn cần một bước riêng.

Trong phần tiêu đề, tìm From, Return-Path, Authentication-Results và, nếu có, DKIM-Signature. From là địa chỉ thư thể hiện với người nhận; Return-Path ghi địa chỉ dùng cho đường trả thư. Ở Authentication-Results, đừng dừng tại chữ “pass”: phần theo sau smtp.mailfrom= cho biết miền được dùng trong kết quả SPF, còn header.d= nêu miền gắn với kết quả DKIM. Trường d= trong DKIM-Signature cũng chỉ ra miền ký.

Đọc một ví dụ: hai kết quả “pass” nhưng khác miền From

Đây là ví dụ giả định với các miền mẫu, không phải tiêu đề của một email có thật. Giả sử một thư mang tên hiển thị “Bộ phận thanh toán” và có những dòng đã rút gọn sau:

• From: “Bộ phận thanh toán” <[email protected]>
• Return-Path: <[email protected]>
• Authentication-Results: spf=pass smtp.mailfrom=example.com; dkim=pass header.d=example.com
• DKIM-Signature: d=example.com

Trong ví dụ này, spf=pass gắn với example.com ở smtp.mailfrom. dkim=pass cũng gắn với example.com ở header.d, phù hợp với miền ký d=example.com. Trong khi đó, địa chỉ From dùng example.net. Hai kết quả đạt cho example.com không tự xác thực example.net, càng không chứng minh người mang tên “Bộ phận thanh toán” có quyền yêu cầu bạn thanh toán.

Sự khác biệt giữa các miền là thông tin để điều tra tiếp, chưa đủ để kết luận mọi thư như vậy đều giả mạo. Một tổ chức có thể dùng dịch vụ gửi thư hoặc cách chuyển tiếp khiến các miền trong tiêu đề không giống nhau. Hãy đối chiếu địa chỉ From và miền ký với thông tin liên hệ bạn tự mở từ tổ chức, đồng thời xem thư có yêu cầu việc mà bạn thực sự đang chờ hay không.

Ngay cả khi From, miền gửi và miền ký đều khớp, câu hỏi về nội dung vẫn còn nguyên: người gửi có thể xác thực thư từ miền do chính họ kiểm soát rồi viết nội dung mạo nhận một đơn vị khác. SPF và DKIM giúp xác định quan hệ kỹ thuật giữa thư và miền tham gia gửi hoặc ký; chúng không kiểm tra liệu một khoản phải trả có tồn tại.

Đối chiếu nội dung trước khi bấm liên kết

Trong hướng dẫn nhận diện phishing của FTC, những lời báo tài khoản hoặc thông tin thanh toán có vấn đề, yêu cầu xác nhận dữ liệu cá nhân và hóa đơn không nhận ra đều là tình huống cần cảnh giác. Thư có thể thúc người nhận bấm liên kết hoặc mở tệp đính kèm để “xử lý” ngay. Một tên công ty quen thuộc hay kết quả xác thực đạt không thay thế được việc kiểm tra giao dịch mà thư nhắc tới.

Hãy đọc yêu cầu cụ thể: thư muốn bạn đăng nhập, nhập mật khẩu, cung cấp thông tin thẻ hay chuyển tiền cho hóa đơn nào? Nếu trước đó bạn không thực hiện giao dịch liên quan, sự bất ngờ ấy là lý do để dừng lại. Ngay cả khi bạn có tài khoản với tổ chức được nêu, liên kết, số điện thoại và nút đăng nhập nằm trong chính email đáng ngờ không phải kênh độc lập để xác nhận người gửi.

Xác minh qua kênh bạn tự mở

Với yêu cầu về tài khoản hoặc hóa đơn, hãy tự mở ứng dụng chính thức như thường lệ để tìm thông báo hoặc giao dịch tương ứng. Bạn cũng có thể gọi số điện thoại lấy từ ứng dụng, trang web chính thức do mình tự truy cập hoặc một nguồn tin cậy đã lưu trước đó. Nêu nội dung cần kiểm tra với tổ chức, thay vì làm theo số hay đường dẫn mà email đưa ra.

Nếu tổ chức không xác nhận yêu cầu, đừng cung cấp thông tin, tải tệp hoặc thực hiện thanh toán theo thư. Nếu có việc cần xử lý, hãy hoàn tất trong ứng dụng hoặc trang chính thức bạn tự mở. Cách quyết định là xác định miền nào thực sự đã vượt qua SPF hoặc DKIM, rồi xác minh riêng yêu cầu với bên liên quan qua một kênh độc lập.

Đọc thêm:

• Buzzsprout gửi podcast tới 16 thư mục bằng một lần nhấp, nhưng vẫn cần kiểm tra duyệt
• Claude xử lý 120.000 email/ngày ở Barclays, hiệu quả vẫn chưa rõ
• New Glenn được tìm kiếm tăng mạnh: tên lửa này giữ vai trò gì trong Artemis?