Lừa đảo giả mạo và thao túng tâm lý: nhận diện áp lực, rồi xác minh

Lừa đảo giả mạo và tấn công thao túng tâm lý khác nhau như thế nào?

Tấn công thao túng tâm lý là mọi nỗ lực thao túng một người để họ cung cấp thông tin, tiền hoặc quyền truy cập. Lừa đảo qua email hoặc trang web giả mạo là hình thức phổ biến nhất. CISA cũng nêu tên hình thức lừa đảo qua cuộc gọi là vishing và qua tin nhắn là smishing.

Hãy hình dung một công ty kiến trúc giả định có 30 người, Calloway Partners. Vào một ngày thứ Ba, trợ lý tài chính Leah nhận được ba thứ. Một email từ 'giám đốc điều hành' gửi lúc 7.58am: 'Leah, tôi họp cả ngày, cần bạn thanh toán cho nhà cung cấp trong tệp đính kèm ngay hôm nay, thông tin ngân hàng mới, giữ kín chuyện này giữa chúng ta'. Một tin nhắn: 'Bưu kiện của bạn đang bị giữ, hãy thanh toán phí giao lại £1.45 tại đây'. Và một cuộc gọi từ người tự nhận thuộc đơn vị cung cấp dịch vụ công nghệ thông tin cho công ty, yêu cầu cô đọc mã gồm sáu chữ số mà anh ta vừa gửi 'để sửa hộp thư của bạn'. Mỗi tình huống trông có vẻ khác nhau. Nhưng đều là cùng một thủ đoạn.

Tin nhắn lừa đảo sử dụng những thủ thuật gây áp lực nào?

Tin nhắn lừa đảo sử dụng năm thủ thuật gây áp lực phổ biến mà NCSC liệt kê là viện dẫn thẩm quyền, tạo cảm giác cấp bách, tác động cảm xúc, tạo cảm giác khan hiếm và lợi dụng sự kiện thời sự. Nhận ra thủ thuật đáng tin cậy hơn là tìm lỗi chính tả.

AI đã làm thay đổi hình thức lừa đảo giả mạo như thế nào?

AI đã khiến các tin nhắn lừa đảo trở nên chỉn chu hơn, nên chính tả và ngữ pháp đúng không còn chứng minh được một tin nhắn là thật. Hướng dẫn của CISA hiện đã nêu rõ điều này. Kẻ tấn công cũng có thể viết theo giọng điệu của đồng nghiệp, điều chỉnh tin nhắn cho phù hợp với công việc của bạn hoặc giả giọng người quen trong cuộc gọi. Điều đó khiến danh sách kiểm tra cũ về lỗi chính tả và lời chào bất thường trở nên kém hữu ích hơn, đồng thời khiến việc xác minh chính yêu cầu đó trở nên quan trọng hơn. Mọi yêu cầu chuyển tiền, thay đổi thông tin ngân hàng, chia sẻ mã hoặc bỏ qua quy trình thông thường đều cần được xác minh, dù nghe có thuyết phục đến đâu.

Các bước xác minh một tin nhắn đáng ngờ là gì?

Bạn xác minh một tin nhắn đáng ngờ bằng cách dùng kênh khác: tuyệt đối không sử dụng liên kết, số điện thoại hoặc địa chỉ trả lời trong tin nhắn đó, mà hãy liên hệ với người hoặc tổ chức qua thông tin liên hệ bạn đã tin cậy.

Cách ứng phó kém và tốt khác nhau như thế nào?

Cách ứng phó yếu là tin vào vẻ bề ngoài. Leah thấy tên giám đốc điều hành, trả lời để hỏi khoản thanh toán có thực sự khẩn cấp không, nhận được câu trả lời nhanh 'đúng, hãy làm ngay' từ chính địa chỉ giả mạo đó, rồi thanh toán. Cô bỏ qua tin nhắn nhưng vì muốn giúp đỡ nên đọc mã cho người gọi; người này dùng mã để đăng nhập vào hộp thư của cô.

Cách ứng phó tốt là xác minh yêu cầu. Leah nhận thấy đồng thời có dấu hiệu dựa vào chức quyền, thúc ép về thời gian và yêu cầu giữ bí mật, nên gọi vào số di động của giám đốc điều hành trong danh sách nhân viên; ông không hề gửi gì. Cô xóa tin nhắn về bưu kiện mà không nhấn vào liên kết. Cô nói với người gọi rằng mình sẽ gọi lại cho nhà cung cấp dịch vụ công nghệ thông tin, gác máy rồi gọi cho nhà cung cấp theo số trong hợp đồng của công ty; họ không hề gọi đến. Cô báo cáo cả ba việc cho bộ phận công nghệ thông tin và chuyển tiếp thư đến địa chỉ tiếp nhận báo cáo. Không có khoản tiền nào được thanh toán và không có mã nào bị chia sẻ.

Bạn nên làm gì nếu đã nhấp vào liên kết hoặc trả lời?

Nếu bạn đã bấm, trả lời hoặc chia sẻ điều gì đó, hãy báo ngay cho đầu mối công nghệ thông tin, vì xử lý nhanh giúp hạn chế thiệt hại và không ai đáng bị trách vì báo cáo sự cố. Dùng một thiết bị khác để đổi mật khẩu của mọi tài khoản mà bạn đã nhập thông tin, đồng thời bật xác thực đa yếu tố. Nếu có liên quan đến tiền hoặc thông tin ngân hàng, hãy gọi ngay cho ngân hàng bằng số điện thoại trên trang web của ngân hàng hoặc trên thẻ của bạn.

Những sai lầm thường gặp liên quan đến lừa đảo giả mạo là gì?

Sai lầm phổ biến nhất là trả lời tin nhắn đáng ngờ để xác minh, vì như vậy chỉ là yêu cầu kẻ tấn công tự xác nhận. Những sai lầm khác gồm: tin tên hiển thị hoặc số gọi đến, dựa vào lỗi chính tả để nhận diện, nhấp liên kết hủy đăng ký, đọc mã dùng một lần cho người khác, và im lặng sau khi mắc lỗi vì xấu hổ.

Bài học này nằm ở đâu trên Tosheo.ai?

Bài học này thuộc danh mục an ninh mạng và khóa học an ninh mạng. Trong Tosheo.ai, bài thực hành cung cấp một tập hợp thông điệp giả định, yêu cầu bạn nêu thủ đoạn trong từng thông điệp, viết bước xác minh và soạn báo cáo; bảng tiêu chí sẽ cho biết bạn đã bỏ sót dấu hiệu cảnh báo nào. Đây là đào tạo nâng cao nhận thức cho nhân viên và quản lý, không phải khóa học kỹ thuật bảo mật thư điện tử.

Nguồn và phạm vi

NCSC, cách nhận biết email, tin nhắn hoặc cuộc gọi lừa đảo (đã kiểm tra ngày 19 October 2026) ↗

NCSC, báo cáo email lừa đảo (đã kiểm tra ngày 19 October 2026) ↗

CISA, nhận biết và báo cáo hành vi lừa đảo (đã kiểm tra 19 October 2026) ↗

CISA, tránh các cuộc tấn công thao túng tâm lý và lừa đảo (đã kiểm tra 19 October 2026) ↗