Kiểm tra website lừa đảo: ổ khóa HTTPS không chứng minh người bán là thật

Trước khi đăng nhập, chuyển tiền hoặc tải tệp từ một trang lạ, hãy kiểm tra tên miền trên thanh địa chỉ, tra cảnh báo Safe Browsing và đối chiếu người bán qua một kênh độc lập. Nếu địa chỉ sai hoặc thông tin người bán không khớp, hãy dừng giao dịch. Một kết nối HTTPS vẫn có thể dẫn bạn tới trang của người khác.

Hướng dẫn của Bộ Khoa học và Công nghệ giải thích HTTPS mã hóa dữ liệu trao đổi, đồng thời cảnh báo trang lừa đảo có thể dùng lời đe dọa, thông báo trúng thưởng và chuyển hướng để lấy dữ liệu cá nhân hoặc dẫn tới mã độc. Vì vậy, biểu tượng kết nối an toàn, nếu trình duyệt hiển thị, chỉ trả lời câu hỏi về kết nối. Nó không cho biết người vận hành trang có phải bên bạn định giao dịch hay không.

Nhìn đúng tên miền trong địa chỉ

Logo, tên cửa hàng và dòng chữ lớn trên trang đều do người vận hành trang đưa lên. Địa chỉ trong thanh trình duyệt mới cho biết nơi bạn đang kết nối. Trên điện thoại, hãy mở rộng thanh địa chỉ để đọc đủ ký tự; nếu liên kết đến từ tin nhắn hoặc quảng cáo, hãy xem địa chỉ trước khi mở và so với tên miền tìm được từ kênh chính thức mà bạn tự truy cập.

Ví dụ giả định, cuahang.example và cuahang.example.trangkhac.example trông giống nhau ở phần đầu. Nhưng địa chỉ thứ hai nằm dưới trangkhac.example, không phải dưới cuahang.example. Một chữ bị thay, dấu nối được thêm vào hoặc phần đuôi khác đi cũng đủ để biến địa chỉ thành một nơi khác. Đừng suy ra chủ sở hữu từ vài chữ quen mắt ở đầu đường dẫn.

Một cách đặt địa chỉ khác còn dễ gây nhầm hơn: trong ví dụ giả định https://[email protected]/, tên miền mà trình duyệt kết nối là trangkhac.example. Phần đứng trước dấu @ không biến nó thành website của cửa hàng. Khi đường dẫn phức tạp hoặc bị rút gọn khiến bạn khó xác định đích đến, cách đơn giản hơn là tự nhập địa chỉ đã biết, thay vì đoán ý nghĩa của chuỗi ký tự.

HTTPS bảo vệ điều gì?

HTTPS giúp bảo vệ dữ liệu trên đường truyền giữa trình duyệt và website mà bạn thực sự mở. Nếu bạn mở nhầm một trang giả có HTTPS, kết nối vẫn có thể được mã hóa, nhưng dữ liệu bạn tự điền sẽ được gửi tới chính trang đó. Vì thế, kiểm tra HTTPS chỉ có ích sau khi bạn đã xác định đúng tên miền; nó không thay thế việc xác minh người bán hay mục đích của biểu mẫu đăng nhập.

Cũng cần phân biệt biểu tượng của trình duyệt với hình ổ khóa do website tự đặt trong nội dung trang. Hình trong trang, logo thương hiệu và lời khẳng định “đã xác thực” có thể được sao chép. Nếu trình duyệt cảnh báo kết nối không riêng tư, đừng nhập mật khẩu hoặc thông tin thanh toán. Nếu trình duyệt không cảnh báo, bạn vẫn cần kiểm tra địa chỉ và chủ thể giao dịch bằng những bước tiếp theo.

Tra Safe Browsing, nhưng đọc đúng phạm vi cảnh báo

Google Safe Browsing cung cấp công cụ Site Status trong Transparency Report để xem dịch vụ hiện có xác định nội dung nguy hiểm trên một địa chỉ hay không. Hãy tra đúng địa chỉ bạn được gửi, thay vì chỉ tra tên thương hiệu. Nếu địa chỉ bị gắn cờ nguy hiểm, đừng tiếp tục mở trang, tải tệp hoặc cung cấp dữ liệu.

Kết quả không bị gắn cờ có phạm vi hẹp hơn một lời bảo đảm an toàn: nó cho biết Safe Browsing chưa xác định nội dung nguy hiểm trên địa chỉ ấy tại lúc tra. Công cụ này không xác nhận tên pháp lý của người bán, khả năng giao hàng hay người sở hữu tài khoản nhận tiền. Trang mới xuất hiện hoặc lời mời chuyển khoản gian dối vẫn có thể vượt ngoài điều mà kết quả Site Status trả lời.

Đó là lý do thứ tự kiểm tra có ý nghĩa. Tra cứu một đường dẫn gần giống địa chỉ thật mà không đọc kỹ tên miền có thể khiến bạn bỏ qua sự giả mạo; thấy kết quả không cảnh báo rồi nhập ngay mã xác thực cũng là kết luận vượt quá chức năng của công cụ. Hãy dùng cảnh báo để nhận diện nguy cơ đã được phát hiện, rồi kiểm tra riêng bên đang yêu cầu dữ liệu hoặc thanh toán.

Đối chiếu người bán trên cổng thương mại điện tử

Với website bán hàng tại Việt Nam, hãy tìm tên đơn vị vận hành và địa chỉ website mà trang công bố, sau đó đối chiếu tên miền trên hệ thống quản lý hoạt động thương mại điện tử tại online.gov.vn. Tài liệu của Bộ Công Thương nêu rằng danh sách website bán hàng đã thông báo được công khai trên hệ thống. Hãy tìm đúng tên miền đang mở; việc thấy một doanh nghiệp có tên na ná tên cửa hàng chưa đủ để nối website đó với doanh nghiệp.

Logo “đã thông báo” ở chân trang là dấu hiệu để tra tiếp, không phải kết quả tra cứu. Bạn có thể tự mở cổng bằng địa chỉ đã biết, tìm bản ghi của tên miền rồi so tên chủ thể và thông tin liên hệ với những gì website đang hiển thị. Nếu biểu tượng trên trang dẫn tới một trang có địa chỉ lạ, đừng dùng trang đích ấy làm căn cứ xác minh.

Bản ghi công khai giúp đối chiếu thông tin của website đã thông báo; nó không đánh giá từng món hàng hay bảo đảm một yêu cầu chuyển khoản cụ thể. Nếu người nhận tiền, số liên hệ hoặc tên đơn vị trên trang khác với thông tin bạn tìm được, hãy hỏi qua kênh liên hệ độc lập trước khi thanh toán. Nếu chưa tìm thấy bản ghi, hãy làm rõ loại website và thông tin người bán thay vì tự suy ra rằng mọi trang vắng mặt đều lừa đảo.

Quyết định trước khi đăng nhập, trả tiền hoặc tải tệp

Một lượt kiểm tra ngắn có thể thực hiện theo thứ tự sau:

1. Đọc trọn địa chỉ và đối chiếu tên miền với địa chỉ chính thức tìm được độc lập. Nếu khác tên miền, dừng tại đây.
2. Tra địa chỉ bằng Site Status. Nếu có cảnh báo nguy hiểm, không mở tiếp, tải tệp hoặc nhập thông tin.
3. Với trang bán hàng, đối chiếu tên miền và đơn vị vận hành trên hệ thống thương mại điện tử; xác minh qua kênh liên hệ độc lập khi thông tin chưa khớp.
4. Chỉ cân nhắc đăng nhập hoặc thanh toán khi yêu cầu phù hợp với giao dịch bạn chủ động thực hiện và người nhận tiền đã được làm rõ.

Lời dọa khóa tài khoản, thông báo trúng thưởng hoặc yêu cầu tải tệp “xác minh” là lý do để tạm dừng, nhất là khi trang đòi mật khẩu, mã xác thực hay thông tin thẻ. Đừng nhập thử một phần dữ liệu để xem bước kế tiếp. Hãy tự mở ứng dụng hoặc website chính thức để kiểm tra yêu cầu đó; nếu cần hỏi người bán, dùng số liên hệ bạn tìm được ngoài trang đang nghi ngờ.

Khi các dấu hiệu cho kết quả trái nhau, hãy giữ lại tiền và thông tin đăng nhập cho đến khi xác minh được bên nhận qua kênh khác. Một địa chỉ đúng, kết nối HTTPS và kết quả Safe Browsing không cảnh báo giải đáp những câu hỏi khác nhau. Quyết định giao dịch còn phụ thuộc vào việc website và người nhận tiền có đúng là bên bạn chủ định làm việc cùng hay không.

Đọc thêm:

• WhatsApp có nhiều “chìa khóa”: dùng sai lớp vẫn có thể mất tài khoản
• Thông báo website bán hàng: nhầm với đăng ký là hồ sơ đi sai từ đầu
• Linear hay Jira: công cụ nhanh hơn có thể thua khi quy trình cần kiểm soát