Tên hiển thị đúng là «Thầy Huy». Giọng văn cũng nghe hợp lý. Vậy tại sao Bống — chỉ với một cái liếc mắt — lại không tin? Bài này gỡ đúng chỗ mà kẻ lừa đảo dựa vào, và nó không nằm trong máy tính của em.
Giờ ra chơi cuối cùng trước Hội chợ Khoa học, nhóm chat lớp 7A bỗng dưng náo loạn.
Một tin nhắn hiện lên trong nhóm chat lớp, tên hiển thị to rõ ràng: Thầy Huy.
Vài bạn cuống lên, định mở app ngân hàng chuyển ngay — sợ trễ giờ thầy dặn.
Bống nhìn kỹ thêm một giây, rồi giơ tay: "Khoan đã, số điện thoại gửi tin này lạ hoắc, không phải số thầy Huy vẫn nhắn cho lớp mà?"
Cả nhóm chững lại. Có gì đó không khớp, mà không ai chỉ ra được ngay.
Tên hiển thị đúng là "Thầy Huy". Cách viết cũng nghe hợp lý — đúng kiểu thầy hay nhắn, có "các em ơi", có lý do nghe chính đáng (đang họp, không gọi được).
Vậy tại sao một chi tiết nhỏ như "số điện thoại lạ" lại đủ khiến Bống nghi ngờ cả tin nhắn?
Nếu tên hiển thị có thể giả được, thì "trông giống thầy Huy" và "đúng là thầy Huy" hoá ra là hai chuyện hoàn toàn khác nhau.
Nếu kẻ xấu chỉ cần đổi cái tên hiển thị giống người quen, tại sao trò này vẫn lừa được nhiều người đến vậy?
Cả lớp không ai từng nghĩ tới câu hỏi này trước đó — vì ai cũng mặc định: "tên hiện lên là Thầy Huy thì chắc chắn là thầy Huy".
Nhưng nếu điều đó không đúng, thì cái gì mới thật sự đảm bảo một tin nhắn đến từ đúng người nó tự xưng?
Minh giở lại tin nhắn, đọc chậm từng dòng — và nhận ra một điều rất đơn giản.
Tên hiển thị trên tin nhắn hay mạng xã hội hoàn toàn có thể tự đặt tuỳ ý — không có ai đứng ra kiểm tra "tên này có đúng là chủ nhân thật không" trước khi cho phép gửi tin.
Kẻ lừa đảo không cần "hack" được tài khoản thật của thầy Huy — phức tạp và rủi ro hơn nhiều. Chúng chỉ cần tạo một tài khoản mới toanh, đặt tên và ảnh đại diện giống thầy, là đủ đánh lừa người không để ý kỹ.
Kiểu lừa đảo giả làm người/tổ chức quen thuộc để chiếm lòng tin có một cái tên riêng.
Trong tiếng Anh gọi là PHISHING — chơi chữ từ "fishing" (câu cá), vì kẻ lừa đảo thả một "mồi" (tin nhắn/email giả) rồi chờ ai đó cắn câu.
Mục tiêu của phishing luôn là một trong hai: lấy được tiền (như tin nhắn xin chuyển khoản), hoặc lấy được thông tin cá nhân (mật khẩu, mã OTP, số thẻ...).
Phishing không cần phá được thứ gì cả — nó chỉ cần một người bấm nút giúp nó.
Phishing không cần phá được mật khẩu hay hệ thống bảo mật nào — đó là việc của "hack" kỹ thuật, khó hơn nhiều. Phishing chỉ cần lừa chính nạn nhân tự nguyện đưa thông tin ra hoặc tự bấm chuyển tiền.
Cách nó làm điều đó: giả danh một người/tổ chức đáng tin, rồi tạo ra cảm giác khẩn cấp ("trước 5 giờ chiều nay", "tài khoản sắp bị khoá") để nạn nhân không kịp dừng lại kiểm tra.
Phishing nhắm vào sự tin tưởng và tâm lý vội vàng của con người — không phải một lỗ hổng kỹ thuật nào trong máy tính hay ứng dụng. Không có bản vá phần mềm nào "sửa" được sự vội vàng của một người đang hoảng.
Phishing không chỉ có ở tin nhắn nhóm chat lớp.
Một dạng phổ biến hơn nữa: email giả danh "ngân hàng" báo tài khoản bị khoá, kèm một đường link để "xác minh lại thông tin".
Đường link đó dẫn tới một trang web trông giống hệt trang ngân hàng thật — cùng logo, cùng bố cục. Nhưng khi gõ mật khẩu vào ô đăng nhập, mật khẩu đó rơi thẳng vào tay kẻ lừa đảo, không hề tới ngân hàng thật.
Không nhận ra được các dấu hiệu phishing, hậu quả không chỉ dừng ở một người.
Nếu một bạn trong lớp chuyển tiền theo tin nhắn giả đó, bạn ấy mất tiền thật. Nếu nhiều bạn cùng chuyển, cả một khoản học phí Hội chợ Khoa học của lớp có thể "bốc hơi" trong vài phút — không ai lấy lại được.
Đây cũng là lý do phishing thường nhắm vào một nhóm đông (cả lớp, cả trường) thay vì một người — càng nhiều người vội, xác suất có người cắn câu càng cao.
Một khi biết cách nhận diện, em sẽ thấy phishing xuất hiện khá thường xuyên.
Trả lời 3 câu dưới đây — bấm vào ô em nghĩ là đúng.
1. Vì sao "đoán trúng mật khẩu/tên hiển thị" và "đúng là người đó thật" không phải lúc nào cũng là một chuyện?
2. "Trông có vẻ khẩn cấp" trong một tin nhắn xin chuyển tiền là dấu hiệu của điều gì?
3. Vì sao phishing rất khó ngăn chỉ bằng công nghệ (phần mềm diệt virus, v.v.)?
Câu hỏi của em sẽ hiện ở đây, chỉ lưu trên máy của em thôi.
Cuộn nốt xuống dưới nhé — sắp xong trang này rồi!
Câu này đáng nhớ nhất trong cả bài.
Và cuối buổi hôm đó, cả nhóm chat báo cho thầy Huy thật biết — thầy xác nhận: đó đúng là một tài khoản giả, thầy chưa từng nhắn tin đòi chuyển khoản bao giờ.