8 lưu ý và cách nhận diện tên miền giả mạo tổ chức uy tín

Một tin nhắn báo tài khoản sắp bị khóa có thể khiến bạn vội bấm vào đường dẫn đi kèm. Trang vừa mở có đúng logo, màu sắc và giao diện quen thuộc. Trước khi nhập thông tin, hãy nhìn lên thanh địa chỉ: bạn đang truy cập website nào, và trang đó đang yêu cầu bạn làm gì?

Đó là hai việc cần kiểm tra khi gặp một website có dấu hiệu mạo danh. Cảm giác quen thuộc dễ khiến người dùng bỏ qua những khác biệt trong tên miền.

Tên miền giả mạo đánh lừa người dùng như thế nào?

Tên miền giả mạo được dùng để khiến người truy cập tưởng đang giao dịch với một tổ chức uy tín. Từ sự nhầm lẫn đó, kẻ gian có thể lấy mật khẩu, thông tin thẻ, mã xác thực hoặc dụ người dùng cài phần mềm.

Tuy vậy, chỉ thấy tên doanh nghiệp hoặc chữ “bank” trong địa chỉ thì chưa đủ kết luận lừa đảo. Điều đáng lo là website tự nhận thuộc tổ chức ấy, đưa thông tin gây hiểu nhầm rồi yêu cầu người dùng cung cấp dữ liệu hoặc thực hiện giao dịch.

Ngày 25/03/2026, Vietcombank cảnh báo tin nhắn giả thông báo điểm thưởng sắp hết hạn, dẫn người nhận đến vcb-rewards[.]com. Trang giả yêu cầu số điện thoại, tên chủ thẻ, số thẻ, ngày hết hạn và CVV để “xác minh nhận điểm”.

Trong tình huống này, có ba điểm cần chú ý: lời nhắc điểm thưởng sắp hết hạn thúc giục người nhận hành động; tên miền ghép chữ viết tắt của ngân hàng với “rewards” tạo cảm giác quen thuộc; còn yêu cầu nhập thông tin thẻ là lúc người dùng phải dừng lại. Hãy kiểm tra chương trình qua ứng dụng hoặc kênh chính thức của ngân hàng trước khi cung cấp dữ liệu.

Đọc đúng địa chỉ trước khi đánh giá website

Các ví dụ dưới đây giả sử một tổ chức dùng tên miền nganhanga.example. Đuôi .example dành cho tài liệu minh họa; những địa chỉ này không phải website giao dịch thật.

Với địa chỉ https://dangnhap.nganhanga.example/khach-hang?ref=sms, hãy tách các thành phần trước khi đọc cả chuỗi như một tên gọi duy nhất.

Vị trí của tên thương hiệu trong URL rất quan trọng. Cùng xuất hiện chữ nganhanga.example, nhưng chưa chắc bạn đang truy cập cùng một tên máy chủ:

Ở ví dụ có dấu @, phần đứng trước dấu này không phải tên máy chủ. Đây là một thành phần trong cú pháp URL có thể bị dùng để gây nhầm lẫn; cách hiển thị hoặc chấp nhận còn tùy phần mềm. Bạn không cần mở thử địa chỉ để kiểm tra.

Đọc các nhãn tên miền từ phải sang trái sẽ giúp nhận ra cấu trúc, nhưng không phải lúc nào cũng lấy hai cụm cuối. Các hậu tố như .com.vn và .co.uk có nhiều cấp. Nếu chưa chắc đâu là phần tên miền đăng ký, hãy dùng công cụ tra cứu thay vì đoán.

Những kiểu tên miền dễ khiến người dùng nhìn nhầm

Thay một ký tự hoặc thêm bớt một chữ

Nếu địa chỉ đã xác minh là nganhanga.example, các tên như nganhangaa.example, nganhang4.example hoặc ngan-hanga.example là những địa chỉ khác.

Những thay đổi nhỏ này dễ bị bỏ qua khi đọc lướt hoặc gõ nhầm địa chỉ.

Ghép thương hiệu với từ tạo cảm giác chính thức

Những tên như nganhanga-baomat.example, nganhanga-hotro.example hoặc nganhanga-doithuong.example có thể khiến người đọc tưởng đây là website chuyên dụng của ngân hàng.

Chữ “hỗ trợ”, “xác minh”, “bảo mật”, “dịch vụ công” hay “ưu đãi” không xác nhận quan hệ với tổ chức. Một doanh nghiệp có thể sử dụng nhiều tên miền thật, nhưng cần có thông tin công bố để đối chiếu.

Đổi đuôi tên miền

Giữ nguyên phần tên nhưng đổi đuôi vẫn tạo ra một địa chỉ khác. Một tổ chức dùng tên miền .vn không có nghĩa các phiên bản .com, .net hay đuôi khác đều thuộc về họ.

Cũng không nên kết luận chỉ từ đuôi tên miền: đuôi ít quen chưa chắc là lừa đảo, còn .vn không bảo đảm mọi nội dung đều an toàn. Cổng phản ánh của VNNIC tiếp nhận lạm dụng ở cả tên miền .vn và tên miền quốc tế.

Dùng ký tự nhìn giống nhau

Hai ký tự a và а có thể trông gần như giống nhau, nhưng ký tự đầu thuộc bảng chữ Latin, ký tự sau thuộc bảng chữ Cyrillic.

Kiểu giả mạo bằng ký tự đồng hình khai thác sự giống nhau này. Để hạn chế nhầm lẫn, trình duyệt có thể hiển thị một số tên miền quốc tế hóa dưới dạng Punycode, bắt đầu bằng xn--.

Dù vậy, tên miền có dấu hoặc có xn-- vẫn có thể hợp pháp. Cần đối chiếu địa chỉ thực tế, thay vì chỉ dựa vào hình dáng ký tự để phán đoán.

Những dấu hiệu dễ tạo cảm giác an toàn

HTTPS và giao diện chuyên nghiệp

HTTPS bảo vệ kết nối đến website đang mở. Nếu website do kẻ gian vận hành, dữ liệu của bạn vẫn có thể được mã hóa khi gửi đến chính kẻ gian.

Google cũng khuyến nghị kiểm tra tên website trên thanh địa chỉ, kể cả khi kết nối được đánh giá là an toàn. Logo, con dấu hay dòng chữ “đã bảo mật” trong nội dung trang không thay thế được bước này.

Một trang giả có thể sao chép giao diện rất sát bản thật. Đừng chờ nhìn thấy lỗi chính tả hoặc thiết kế cẩu thả mới bắt đầu nghi ngờ.

Vị trí đầu Google và quảng cáo

Đứng đầu kết quả tìm kiếm chưa đủ xác nhận một website là chính chủ. FBI đã cảnh báo việc kẻ gian mua quảng cáo bằng tên miền gần giống thương hiệu, đưa người dùng đến trang sao chép giao diện để lấy thông tin hoặc phát tán mã độc.

Khi tìm ngân hàng, ví điện tử hay phần mềm, hãy xem địa chỉ trang đích trước khi cung cấp dữ liệu. Cả liên kết quảng cáo lẫn kết quả tự nhiên đều cần bước kiểm tra này.

Link rút gọn và mã QR

Link rút gọn có thể che địa chỉ đích. Mã QR cũng dễ khiến người dùng mở liên kết mà chưa kịp đọc tên miền. Hai hình thức này đều có ứng dụng hợp pháp, nhưng không chứng minh trang đích thuộc về ai.

Với mã QR bất ngờ nhận được qua tin nhắn hoặc email, FTC khuyến nghị xem URL trước khi mở, nhất là khi thông điệp thúc giục xác minh tài khoản hay xử lý sự cố. Bạn có thể kiểm tra yêu cầu bằng ứng dụng chính thức thay vì tiếp tục theo liên kết.

Trình duyệt chưa hiện cảnh báo

Nếu trình duyệt báo nguy hiểm, hãy dừng truy cập. Còn khi chưa thấy cảnh báo, bạn vẫn cần tự kiểm tra địa chỉ và yêu cầu của trang.

Cách kiểm tra trước khi đăng nhập hoặc chuyển tiền

Xem website đang yêu cầu điều gì?

Một liên kết bất ngờ yêu cầu mật khẩu, OTP, thông tin thẻ, tải ứng dụng, chia sẻ màn hình hoặc chuyển tiền đều cần được xác minh trước khi làm theo.

Lý do đưa ra có hợp lý không? Một trang nhận quà đòi CVV, hay người tự nhận nhân viên hỗ trợ yêu cầu bạn đọc OTP, là những tình huống phải dừng lại để kiểm tra.

OTP có thể xuất hiện trong giao dịch hợp lệ do bạn chủ động thực hiện. Hãy đọc rõ mã dùng cho hành động nào, trên dịch vụ nào và có đúng ý định của bạn không.

Xem địa chỉ đầy đủ mà không đăng nhập thử

Trên máy tính, đưa con trỏ lên liên kết để xem địa chỉ đích. Trên điện thoại, có thể sao chép địa chỉ liên kết để đọc riêng.

Nếu đã mở trang, xem lại thanh địa chỉ trước khi thao tác tiếp, nhất là sau khi website chuyển sang địa chỉ khác. Không dùng mật khẩu thật, OTP hay thông tin thẻ để đăng nhập thử.

Xác minh qua một kênh độc lập

Hãy mở ứng dụng đã cài từ trước, dùng bookmark đã xác minh hoặc tự nhập địa chỉ chính thức mà bạn biết chắc.

Khi cần gọi hỗ trợ, lấy số trong ứng dụng, trên mặt sau thẻ hoặc từ nguồn chính thức đã biết. Gọi số ngay trên website nghi vấn có thể khiến bạn tiếp tục nói chuyện với người đang mạo danh.

Tìm kiếm trên Google có thể bổ sung thông tin, nhưng vẫn cần xác nhận với tổ chức qua kênh độc lập.

Nếu chưa xác minh được, hãy dừng giao dịch. Bạn không cần chứng minh đầy đủ một trang là lừa đảo mới được quyền từ chối cung cấp dữ liệu.

Tra cứu dữ liệu tên miền để đối chiếu

Tại Việt Nam, tracuutenmien.gov.vn hỗ trợ đối chiếu loại tên miền, chủ thể đăng ký và nhà đăng ký theo dữ liệu hệ thống cung cấp. Kết quả tra cứu giúp kiểm tra nguồn thông tin; nó không phải chứng nhận website không có lừa đảo.

Với tên miền quốc tế được hỗ trợ, có thể dùng ICANN Lookup. Một số dữ liệu đăng ký được ẩn để bảo vệ thông tin cá nhân, nên không thấy tên chủ thể công khai cũng chưa đủ kết luận lừa đảo.

Khi tra cứu một địa chỉ như vietcombank.com.vn, hãy nhập đúng phần tên miền rồi đọc các trường dữ liệu được trả về. Nếu có tên chủ thể, đối chiếu với tên pháp nhân ngân hàng công bố qua kênh đã xác minh. Chủ thể đăng ký và nhà đăng ký là hai vai trò khác nhau: nhà đăng ký cung cấp dịch vụ tên miền, không phải bằng chứng website thuộc về ngân hàng.

Tên miền mới đăng ký trong khi website tự nhận hoạt động lâu năm là điểm cần hỏi thêm. Nhưng tên miền lâu năm cũng không bảo đảm nội dung hiện tại an toàn.

Những tình huống cần kiểm tra kỹ hơn

Tên miền thật vẫn có thể chứa nội dung bị xâm nhập. Google ghi nhận tin tặc có thể chiếm quyền website hợp pháp, sửa nội dung hoặc thêm trang để lừa lấy thông tin. Tương tự, một dịch vụ lưu trữ hay biểu mẫu hợp pháp không bảo đảm mọi nội dung người dùng tạo trên đó đều đáng tin.

Màn hình cấp quyền thật vẫn có thể phục vụ một yêu cầu nguy hiểm. Trong cảnh báo ngày 01/09/2026, FBI mô tả cách kẻ gian đưa nạn nhân đến màn hình cấp quyền của nhà cung cấp hợp pháp, rồi dụ cho ứng dụng độc hại truy cập tài khoản. Vì vậy, cần đọc cả tên ứng dụng và quyền được yêu cầu, chẳng hạn đọc email hoặc truy cập tệp.

Ngay cả việc đăng nhập thành công hay nhập OTP xong cũng không chứng minh website là chính chủ. Microsoft đã phân tích các chiến dịch phishing trung gian đánh cắp phiên đăng nhập dù nạn nhân sử dụng một số hình thức xác thực nhiều yếu tố.

Nếu đã bấm vào liên kết hoặc nhập thông tin

Chỉ mở trang khác với đã nhập mật khẩu, cung cấp thông tin thẻ hoặc cài phần mềm. Cách xử lý cần bám vào việc bạn thực sự đã làm.

NCSC phân biệt trường hợp chỉ bấm liên kết với trường hợp đã cung cấp dữ liệu, tải tệp hoặc cài phần mềm. Google hướng dẫn rà soát sự kiện bảo mật, thiết bị và các thay đổi bất thường; Vietcombank khuyến cáo khóa thẻ khẩn cấp khi đã nhập thông tin thẻ vào trang giả.

Nếu đã cấp quyền cho ứng dụng lạ, hãy thu hồi quyền trong phần bảo mật của dịch vụ. Đổi mật khẩu có thể chưa chấm dứt quyền truy cập đã cấp cho ứng dụng.

Giữ lại tin nhắn, địa chỉ website, thời điểm xảy ra sự việc và chứng từ giao dịch đang có. Nếu đã mất tiền, ưu tiên liên hệ ngân hàng và trình báo cơ quan công an. Đừng chờ điều tra xong website mới xử lý tài khoản.

Báo cáo tên miền giả mạo và giảm nguy cơ gặp lại

Có thể gửi phản ánh qua Cổng tiếp nhận phản ánh lạm dụng tên miền của VNNIC, đồng thời báo cho tổ chức đang bị mạo danh qua kênh chính thức. Khi gửi bằng chứng, che mật khẩu, OTP và thông tin thẻ.

Với các dịch vụ thường dùng, hãy lưu bookmark đã xác minh, đặt mật khẩu riêng cho từng tài khoản và duy trì cập nhật trình duyệt, hệ điều hành.

Trình quản lý mật khẩu cũng giúp bạn kiểm tra thêm một bước. Nếu trang trông quen nhưng công cụ không đề xuất thông tin đăng nhập như mọi lần, hãy xem lại địa chỉ. Tính năng tự điền có thể không hoạt động vì nhiều lý do, nên đây là tín hiệu cần kiểm tra, chưa phải kết luận lừa đảo.

Khi dịch vụ hỗ trợ, ưu tiên passkey hoặc khóa bảo mật FIDO2 để tăng khả năng chống phishing. Xác thực nhiều yếu tố vẫn hữu ích; phương thức chống phishing giúp bảo vệ tốt hơn trước các trang giả đăng nhập.

Trước khi nhập dữ liệu hoặc chuyển tiền, cần làm rõ ba việc: địa chỉ có đúng không, yêu cầu có hợp lý không, và tổ chức có xác nhận qua một kênh độc lập không. Còn điều chưa rõ thì dừng lại để kiểm tra.