Thư lừa giả danh nhà xuất bản lộ ra ở ba chỗ: tên miền người gửi và tên miền trong đường dẫn không đúng tên miền thật của nhà xuất bản, trang đăng nhập nằm ở địa chỉ lạ, và đầu thư báo SPF, DKIM hoặc DMARC thất bại. Lỡ nhập mật khẩu thì đổi ngay từ máy khác và báo bộ phận công nghệ thông tin.
Người làm nghiên cứu là mục tiêu ưa thích của kẻ lừa: địa chỉ email công khai trên bài báo, quen nhận thư từ hệ thống nộp bài, và tài khoản trường thường mở vào thư viện điện tử, hệ thống quản lý đề tài, ổ lưu trữ dữ liệu. Thư mạo danh thường giả làm thông báo phản biện, yêu cầu ký thoả thuận bản quyền, nhắc phí xuất bản hay báo tài khoản sắp bị khoá. Bài này tập trung vào dấu hiệu kỹ thuật kiểm được, không bàn chuyện tạp chí săn mồi gửi thư mời viết bài.
Những kịch bản giả danh hay gặp
Kẻ lừa bám vào đúng những việc người làm nghiên cứu vẫn làm hằng tuần.
| Kịch bản | Thư đòi bạn làm gì | Dấu hiệu đáng ngờ |
|---|---|---|
| Mời phản biện | Bấm vào đường dẫn để chấp nhận lời mời, đăng nhập hệ thống | Tạp chí không đúng chuyên ngành, hệ thống đăng nhập ở tên miền lạ |
| Thoả thuận bản quyền | Mở tệp đính kèm hoặc đăng nhập để ký | Tệp nén, tệp Office đòi bật macro, đường dẫn chia sẻ tệp lạ |
| Hoá đơn phí xuất bản | Chuyển tiền vào tài khoản mới | Số tài khoản khác lần trước, giục chuyển gấp |
| Tài khoản sắp bị khoá | Xác minh mật khẩu email trường | Lời lẽ đe doạ, đếm ngược thời gian |
| Thông báo của thư viện | Gia hạn quyền truy cập cơ sở dữ liệu | Trang đăng nhập giống hệt trang trường nhưng tên miền khác |
Soi tên miền: chỗ lộ nhanh nhất
Địa chỉ người gửi thật
Tên hiển thị như “Editorial Office” hay tên một tạp chí có thể đặt tuỳ ý. Bấm vào tên người gửi để xem địa chỉ đầy đủ. Chú ý phần sau dấu @: thư thật từ hệ thống nộp bài thường gửi từ tên miền của nhà xuất bản hoặc của nền tảng nộp bài mà tạp chí dùng. Thư từ địa chỉ Gmail, Outlook miễn phí xưng là ban biên tập một tạp chí lớn là dấu hiệu rất xấu.
Tên miền nhái
Các kiểu nhái thường gặp: thêm chữ vào trước hoặc sau tên thật như tapchi-vidu-review.org, đổi đuôi tên miền, thay chữ l bằng số 1 hay chữ o bằng số 0, dùng tên miền con dài để tên thật nằm ở đầu như tapchividu.org.xacminh-taikhoan.net. Quy tắc đọc: phần tên miền thật là hai phần cuối ngay trước dấu gạch chéo đầu tiên, không phải phần đầu.
Đường dẫn trong thư
Trên máy tính, rê chuột lên đường dẫn và nhìn địa chỉ thật hiện ở góc dưới trình duyệt hoặc trong khung gợi ý của trình đọc thư. Trên điện thoại, nhấn giữ đường dẫn để xem mà không mở. Chữ hiển thị trong thư và địa chỉ thật có thể khác nhau hoàn toàn. Cách an toàn nhất: không bấm, tự gõ địa chỉ tạp chí hoặc mở từ dấu trang đã lưu.
Đọc đầu thư để xem thư có thật từ nơi nó xưng không
Mở đầu thư
Trong Gmail, mở thư, bấm dấu ba chấm, chọn Hiện thư gốc (Show original). Trang mở ra có bảng tóm tắt kết quả SPF, DKIM, DMARC ngay phía trên. Trong Outlook trên web, mở thư, chọn dấu ba chấm, tìm mục xem chi tiết thư (View message details). Trong Outlook trên máy tính, mở thư, vào File, Properties, xem ô Internet headers.
Ba kết quả cần nhìn
SPF cho biết máy chủ gửi có được tên miền kia cho phép gửi không. DKIM kiểm chữ ký số của tên miền gửi. DMARC kết hợp hai cái trên với địa chỉ hiển thị ở ô người gửi. Thư từ một nhà xuất bản lớn mà DMARC báo fail là dấu hiệu mạnh của giả mạo. Ngược lại, pass chỉ chứng minh thư đến từ đúng tên miền ghi trong ô người gửi; nếu tên miền đó là tên miền nhái thì vẫn pass.
Các dòng khác
Reply-To khác hẳn địa chỉ người gửi là dấu hiệu kẻ lừa muốn bạn trả lời về hộp thư của chúng. Return-Path và các dòng Received cho biết thư thật sự đi qua máy chủ nào; tên máy chủ không liên quan gì tới nhà xuất bản là điều đáng ngờ.
Tệp đính kèm và trang đăng nhập giả
Tệp nén có mật khẩu ghi ngay trong thư. Cách để tệp độc lọt qua bộ quét của hệ thống thư. Nhà xuất bản không gửi thoả thuận bản quyền theo cách này.
Tệp Word, Excel đòi bật nội dung hay macro. Đóng tệp, không bấm bật. Thoả thuận thật ngày nay được ký trên hệ thống trực tuyến của nhà xuất bản.
Tệp HTML hoặc tệp có hai phần mở rộng. Tệp HTML đính kèm mở ra trang đăng nhập giả ngay trên máy. Tệp tên dạng hai đuôi như PDF rồi EXE là chương trình chạy được.
Trang đăng nhập giống hệt trang thật. Biểu trưng, màu sắc chép được dễ dàng. Thứ duy nhất không chép được là tên miền trên thanh địa chỉ. Ổ khoá HTTPS chỉ nói kết nối được mã hoá, không nói trang là thật.
Trình quản lý mật khẩu không tự điền. Nếu trình quản lý mật khẩu vẫn tự điền ở trang tạp chí thật mà lần này không điền, rất có thể tên miền khác. Đây là lớp bảo vệ hữu ích, đừng tắt nó đi để tự gõ.
Lỡ nhập mật khẩu: làm ngay theo thứ tự
Tốc độ quan trọng hơn sự hoàn hảo. Kẻ lừa thường dùng mật khẩu trong vòng vài giờ.
- Từ một máy khác hoặc điện thoại, đổi mật khẩu của tài khoản vừa nhập, và mọi tài khoản dùng chung mật khẩu đó.
- Đăng xuất mọi phiên đang mở: Google và Microsoft đều có mục xem thiết bị đã đăng nhập và đăng xuất từ xa.
- Bật xác thực hai lớp nếu chưa bật.
- Kiểm quy tắc chuyển tiếp và bộ lọc thư: kẻ chiếm tài khoản hay tạo quy tắc tự chuyển thư sang địa chỉ ngoài hoặc tự xoá thư cảnh báo.
- Báo bộ phận công nghệ thông tin của trường, kể cả khi đã tự xử lý, để họ kiểm nhật ký đăng nhập và cảnh báo đồng nghiệp.
- Nếu đã mở tệp đính kèm, ngắt mạng máy đó, quét bằng phần mềm diệt mã độc và nhờ kỹ thuật viên kiểm tra trước khi dùng tiếp.
- Nếu tài khoản có quyền vào dữ liệu người tham gia nghiên cứu, ghi lại sự việc và báo người phụ trách đề tài để xem có phải thông báo theo cam kết đạo đức và quy định bảo vệ dữ liệu cá nhân hay không.
Báo cáo thư lừa để người khác không dính
Một cú bấm báo cáo giúp hệ thống lọc học được mẫu thư mới:
- Trong Gmail, mở thư, dấu ba chấm, chọn Báo cáo lừa đảo (Report phishing).
- Trong Outlook, dùng nút Báo cáo (Report) trên thanh công cụ và chọn lừa đảo.
- Chuyển tiếp thư dưới dạng tệp đính kèm cho bộ phận công nghệ thông tin, để giữ nguyên đầu thư phục vụ điều tra.
- Nếu thư giả danh một tạp chí cụ thể, báo cho tạp chí qua địa chỉ liên hệ đăng trên trang chính thức của họ, không trả lời vào thư lừa.
- Cảnh báo trong nhóm nghiên cứu, kèm ảnh chụp thư đã che địa chỉ của bạn.
Thói quen giúp không cần phải soi từng thư
Đăng nhập hệ thống nộp bài bằng dấu trang đã lưu, không bao giờ qua đường dẫn trong thư. Dùng trình quản lý mật khẩu với mật khẩu riêng cho từng hệ thống, để lộ một chỗ không kéo theo chỗ khác. Bật xác thực hai lớp cho email trường, vì email là chìa khoá đặt lại mật khẩu của mọi tài khoản còn lại.
Khi một thư tạo cảm giác gấp gáp, như tài khoản sẽ bị khoá trong 24 giờ, bài sẽ bị rút nếu không ký ngay, hãy dừng lại vài phút. Sự gấp gáp chính là công cụ chính của kẻ lừa. Mở hệ thống bằng đường của mình; nếu yêu cầu là thật, nó sẽ có ở đó.
Câu hỏi thường gặp
Thư có DKIM và SPF đều pass thì có chắc là thư thật không?
Chưa chắc. Pass chỉ chứng minh thư gửi từ đúng tên miền ghi ở ô người gửi. Nếu kẻ lừa dùng tên miền nhái do chúng sở hữu thì kết quả vẫn pass, nên vẫn phải đọc kỹ tên miền.
Xem đầu thư trên điện thoại được không?
Ứng dụng di động thường không hiển thị đầu thư đầy đủ. Mở hộp thư trên trình duyệt máy tính để xem bản gốc, hoặc chuyển tiếp thư dạng tệp đính kèm cho bộ phận công nghệ thông tin kiểm tra.
Chỉ mở thư mà không bấm gì có nguy hiểm không?
Với trình đọc thư được cập nhật, chỉ mở thư thường không gây hại. Nguy cơ nằm ở việc bấm đường dẫn, mở tệp đính kèm hoặc nhập thông tin. Có thể tắt tải ảnh tự động để kẻ gửi không biết bạn đã mở.
Có nên trả lời thư lừa để hỏi lại không?
Không. Trả lời xác nhận địa chỉ của bạn đang hoạt động và mở đường cho các thư tinh vi hơn. Liên hệ tạp chí qua địa chỉ đăng trên trang chính thức của họ.
Thư lừa và thư mời của tạp chí săn mồi khác nhau thế nào?
Thư lừa nhắm lấy mật khẩu, tiền hoặc cài mã độc bằng cách giả danh bên có thật. Thư mời của tạp chí săn mồi thường xưng đúng tên tạp chí của chúng, nhắm thu phí xuất bản.
