Google Cảnh Cáo Chiêu Thức Lừa Đảo Mới Qua Email

Trong kỷ nguyên số, nơi email là một phần không thể thiếu của cuộc sống cá nhân và công việc, nguy cơ từ những cuộc tấn công giả mạo ngày càng gia tăng với hình thức tinh vi hơn. Một trong những mối đe dọa bảo mật đang khiến hàng triệu người dùng toàn cầu trở nên hoang mang chính là hình thức tấn công mới có tên "no-reply phishing" phương thức lừa đảo giả mạo địa chỉ email của Google để chiếm đoạt quyền kiểm soát tài khoản.

1. Nhấp chuột vào link đính kèm trên email, bạn có thể bị mất luôn tài khoản

Theo báo cáo mới nhất từ EasyDMARC, một nền tảng chuyên về bảo mật email và ngăn chặn giả mạo, các tin tặc đang triển khai hình thức tấn công giả mạo bằng cách gửi email từ địa chỉ gần giống như thật: no-reply@accounts.google.com. Đây là địa chỉ khiến hầu hết người dùng không cảnh giác, vì “no-reply” thường được hiểu là thư tự động không cần phản hồi, một dấu hiệu cho thấy tính hợp pháp. Chính sự quen thuộc này khiến nhiều người bị sập bẫy.

Các email mạo danh thường mang nội dung cảnh báo mang tính khẩn cấp nhằm đánh vào tâm lý hoảng loạn của người nhận. Những dòng tiêu đề như “Phát hiện đăng nhập bất thường trên tài khoản của bạn”, “Tài khoản sẽ bị khóa nếu không xác minh”, hay “Có người đang cố truy cập tài khoản của bạn từ thiết bị lạ” được sử dụng một cách tinh vi để kích hoạt phản xạ phòng vệ của người dùng. Tất nhiên, đi kèm với đó là một đường link được trình bày giống như đường dẫn chính thức đến trang đăng nhập của Google.

Khi người dùng nhấp vào liên kết này, họ sẽ được dẫn đến một trang web được thiết kế giống y hệt với trang đăng nhập của Google từ màu sắc, logo, đến bố cục trường nhập liệu. Bất kỳ ai thiếu cảnh giác sẽ tin rằng đây là một trang web hợp pháp và điền tên đăng nhập cùng mật khẩu. Ngay khi người dùng nhập thông tin và nhấn “Tiếp theo”, dữ liệu sẽ lập tức được gửi về máy chủ của kẻ tấn công. Từ thời điểm đó, hacker có thể chiếm quyền điều khiển tài khoản email, truy cập vào các dịch vụ liên kết như Google Drive, YouTube, Google Photos và thậm chí là cả tài khoản ngân hàng hoặc các hệ thống thanh toán nếu chúng được kết nối qua Gmail.

Điều đáng báo động là các cuộc tấn công này không chỉ dừng lại ở việc chiếm đoạt tài khoản. Hacker có thể sử dụng tài khoản bị đánh cắp để tiếp tục phát tán email lừa đảo cho bạn bè, người thân, đối tác làm ăn, tạo ra một chuỗi tấn công lan rộng trong mạng lưới xã hội và công việc.

Google đã nhiều lần phát đi cảnh báo về hình thức tấn công này. Họ khẳng định không bao giờ gửi email yêu cầu người dùng đăng nhập lại tài khoản thông qua bất kỳ đường link nào trong thư điện tử. Trong một khuyến cáo chính thức, Google cho biết: “Đôi khi, tin tặc sẽ sao chép các email xác minh danh tính hoặc cảnh báo đăng nhập của Google để lừa người dùng. Nhưng email chính thức từ Google sẽ không bao giờ yêu cầu bạn nhập lại mật khẩu hay mã xác minh dưới bất kỳ hình thức nào qua email, cuộc gọi hay tin nhắn.”

Bất kỳ email nào yêu cầu bạn nhập thông tin cá nhân, mật khẩu hoặc mã xác thực hai yếu tố đều nên được xem là đáng ngờ. Ngay cả khi email trông rất thuyết phục, có đầy đủ logo, chữ ký, định dạng chuẩn, bạn vẫn nên hoài nghi và kiểm tra kỹ.

Nếu nhận được một email có nội dung cảnh báo khẩn cấp liên quan đến bảo mật tài khoản, hãy đóng email đó lại, truy cập trực tiếp vào trang https://myaccount.google.com hoặc ứng dụng Gmail chính thức để kiểm tra thông báo thực tế. Tuyệt đối không được nhấp vào bất kỳ đường link nào trong email trừ khi bạn đã xác minh nguồn gốc.

Sự nguy hiểm của no-reply phishing nằm ở chỗ nó đánh trúng vào phản ứng bản năng của con người khi gặp cảnh báo rủi ro. Dù bạn là người dùng có kinh nghiệm, chỉ một giây bất cẩn một cú nhấp chuột theo phản xạ cũng có thể khiến toàn bộ thông tin số của bạn bị xâm phạm, tài khoản bị khóa, dữ liệu bị đánh cắp và danh tính bị giả mạo.

2. Cần làm gì để tự bảo vệ bản thân khỏi bẫy lừa đảo

Tấn công mạo danh đặc biệt là mạo danh các thương hiệu lớn như Google, Amazon, Apple hay các ngân hàng đang trở thành vấn đề toàn cầu. Theo thống kê từ Cục Điều tra Liên bang Mỹ (FBI), chỉ trong vòng hai tuần qua, một chiến dịch lừa đảo mạo danh Amazon đã tăng đột biến với hơn 5.000% số vụ báo cáo. Điều đó cho thấy quy mô, tốc độ lan truyền và mức độ phổ biến của các cuộc tấn công phishing đang vượt xa những gì người dùng thông thường có thể kiểm soát.

Từ các dịch vụ chuyển phát, nền tảng thương mại điện tử cho đến các công ty công nghệ hàng đầu, mục tiêu cuối cùng của tin tặc luôn là chiếm đoạt thông tin đăng nhập, cửa ngõ dẫn đến danh tính số, tài khoản ngân hàng, tài sản kỹ thuật số và thông tin cá nhân của người dùng.

Tuy nhiên, điều đáng mừng là không phải tất cả đều vô vọng. Theo báo cáo của EasyDMARC, hầu hết các cuộc tấn công phishing kể cả các hình thức tinh vi như no-reply phishing đều có thể bị ngăn chặn nếu người dùng có kiến thức cơ bản và duy trì một mức độ cảnh giác nhất định khi sử dụng email.

Các chuyên gia an ninh mạng đồng tình rằng sự hiểu biết và kỷ luật trong thao tác sử dụng email có thể là tấm khiên vững chắc nhất. Cụ thể, người dùng nên tập thói quen kiểm tra kỹ địa chỉ người gửi trước khi nhấp vào bất kỳ liên kết nào trong email. Trong nhiều trường hợp, địa chỉ chỉ khác chữ hoặc dấu chấm nhưng chính sự khác biệt nhỏ bé này lại là mấu chốt của lừa đảo.

Một trong những nguyên tắc quan trọng nhất là: nếu bạn không chắc chắn 100% về nguồn gốc của email, tuyệt đối không nhấp vào bất kỳ liên kết nào bên trong. Điều này áp dụng ngay cả khi email đó có vẻ như đến từ bạn bè, đồng nghiệp hay cơ quan quen biết. Hãy liên hệ trực tiếp để xác minh thông tin nếu nội dung email khiến bạn nghi ngờ.

Tương tự, việc tải về các tệp đính kèm trong email cũng nên được xem xét cẩn trọng. Những tệp có định dạng lạ, đến từ địa chỉ không quen thuộc hoặc có dung lượng lớn bất thường đều có thể chứa mã độc hoặc phần mềm gián điệp. Việc nhấp mở các tệp này có thể cài đặt một phần mềm theo dõi vào thiết bị, từ đó ghi lại mật khẩu, lịch sử duyệt web, hay thậm chí là quay lén webcam.

Một lớp bảo vệ đặc biệt hiệu quả hiện nay là xác thực hai yếu tố (2FA). Đây là cơ chế bảo vệ buộc người dùng phải cung cấp thêm một mã xác thực thứ hai ngoài mật khẩu, thường được gửi qua điện thoại hoặc ứng dụng bảo mật. Ngay cả khi kẻ tấn công có được mật khẩu của bạn, việc không có mã 2FA sẽ khiến chúng không thể đăng nhập được. Đây được xem là “bức tường cuối cùng” trong bảo mật tài khoản cá nhân.

Ngoài ra, người dùng nên thường xuyên kiểm tra nhật ký đăng nhập trên tài khoản Google để phát hiện sớm các truy cập lạ, đồng thời cập nhật phần mềm diệt virus và trình duyệt web để được bảo vệ khỏi các liên kết độc hại.

Không nên bỏ qua việc đăng ký với các dịch vụ kiểm tra email như Google Advanced Protection Program hoặc sử dụng các tiện ích mở rộng trên trình duyệt để cảnh báo khi người dùng truy cập các trang có dấu hiệu giả mạo.

Trên hết, người dùng cần xây dựng một thói quen an toàn khi tương tác với môi trường số. Đừng để sự tiện lợi làm bạn đánh mất cảnh giác. Hãy dành vài giây để kiểm tra địa chỉ email, xem lại cấu trúc liên kết, cân nhắc mức độ hợp lý của nội dung email trước khi nhấp chuột. Đôi khi, chính một giây thận trọng đó lại là thứ cứu bạn khỏi một thảm họa dữ liệu.