7 dấu hiệu nhận biết email lừa đảo phishing để bảo vệ bản thân trên mạng

Bạn có biết rằng 91% các cuộc tấn công mạng bắt đầu từ một email lừa đảo? Con số này theo báo cáo Verizon DBIR và không hề giảm trong 5 năm qua. Đáng lo hơn: năm 2026, các công cụ AI giúp tội phạm mạng tạo ra email giả mạo hoàn hảo, không lỗi chính tả, đúng tên người nhận, bắt chước y hệt thương hiệu thật. Tỷ lệ người bị lừa nhấp vào link trong email AI-generated lên đến 54%, so với chỉ 12% của email thủ công trước đây.

Dưới đây là 7 dấu hiệu giúp bạn nhận ra email lừa đảo, dù nó được viết bởi người hay AI.

1. Địa chỉ email người gửi trông “gần giống” nhưng không phải thật

Đừng chỉ nhìn tên hiển thị, hãy kiểm tra địa chỉ email thực sự phía sau. Một email hiện tên “VCB Internet Banking” nhưng gửi từ [email protected] là phishing rõ ràng. Kẻ tấn công hay dùng các biến thể gần giống: thay chữ o thành số 0, thêm từ như -secure, -support, -verify vào tên miền. Domain hợp lệ luôn trùng với website chính thức của tổ chức đó.

2. Tạo cảm giác khẩn cấp, đe dọa

VNCyberS tổng hợp từ: “Tài khoản của bạn sẽ bị khóa trong 24 giờ”, “Xác minh ngay để tránh mất tiền”, “Thanh toán thất bại, hành động ngay”. Đây là chiêu cũ nhưng vẫn hiệu quả nhất. Sự khẩn cấp giả tạo khiến bạn mất bình tĩnh và nhấp vào link mà không kịp suy nghĩ. Nguyên tắc vàng: công ty hợp pháp không bao giờ đe dọa đóng tài khoản qua email với thời hạn vài giờ.

3. Link dẫn đến nơi khác với những gì hiển thị

Trước khi nhấp, hãy di chuột qua link (không nhấp), URL thực sẽ hiện ở góc dưới trình duyệt hoặc ứng dụng email. Các dấu hiệu URL độc hại:

• Domain lạ: secure-login.xyz/vietcombank thay vì vietcombank.com.vn
• Subdomain đánh lừa: vietcombank.secure-login.xyz, domain thật là secure-login.xyz
• Link rút gọn không rõ nguồn: bit.ly/abc123
• Ký tự giống nhau nhưng khác bảng mã (homoglyph): chữ а Cyrillic trông giống a Latin

4. File đính kèm không mong đợi

Bạn không đặt hàng gì mà nhận email kèm file hoa-don.zip? Không nộp hồ sơ mà nhận ket-qua.docm? Đây là dấu hiệu nguy hiểm. Đặc biệt từ năm 2025, file .svg (chứa JavaScript nhúng) và .pdf (chứa link phishing) tăng đột biến như là vector tấn công mới. Không mở bất kỳ file đính kèm nào từ email không xác định.

5. Yêu cầu thông tin nhạy cảm

Không có tổ chức hợp pháp nào, ngân hàng, ví điện tử, mạng xã hội, yêu cầu bạn cung cấp mật khẩu, số OTP, số thẻ tín dụng hoặc CCCD qua email. Nếu email dẫn đến form điền thông tin kiểu này, 100% là lừa đảo.

6. Nội dung chung chung, không đúng tên bạn

Email từ ngân hàng hay dịch vụ bạn đang dùng thường gọi đúng tên bạn. Nếu email bắt đầu bằng “Kính gửi Quý khách” hoặc “Dear User”, đó là dấu hiệu email được gửi hàng loạt, không biết bạn là ai, tức là rất có thể là phishing.

7. Bố cục, logo hoặc giọng văn bất thường

So sánh với email thật bạn từng nhận từ tổ chức đó. Kẻ tấn công bắt chước nhưng không hoàn hảo: logo bị mờ, màu sắc lệch, font chữ khác, giọng văn đột nhiên quá trang trọng hoặc quá thân mật. Nếu email “trông không quen”, hãy cẩn thận.

Bị nghi ngờ thì làm gì?

1. Không nhấp vào link trong email, vào thẳng website bằng cách gõ URL tay hoặc dùng bookmark
2. Không mở file đính kèm nếu không chắc chắn về người gửi
3. Gọi điện xác nhận với tổ chức liên quan qua số hotline chính thức (không dùng số trong email)
4. Báo cáo email đáng ngờ cho bộ phận IT (nếu là email công ty) hoặc mark as spam
5. Bật xác thực 2 bước (2FA), ngay cả khi bị lừa mất mật khẩu, tài khoản vẫn được bảo vệ

CaptainDNS, PCWorld, Microsoft Security, Verizon DBIR 2024, Cập nhật tháng 4/2026