Nhận diện web giả mạo Hitclub qua từng ký tự tên miền

Trên hành trình dùng Hitclub, trạm kiểm tra đầu tiên nằm ngay ở thanh địa chỉ. Một trang giả mạo có thể sao chép giao diện gần như y hệt, nhưng thứ nó không thể sao chép là tên miền thật. Vấn đề là mắt người đọc nhanh, và chính tốc độ ấy bị kẻ lừa đảo lợi dụng. Bài này hướng dẫn cách đọc chậm lại, từng ký tự, để nhận ra điều bất thường trước khi nhập bất cứ thông tin nào.

Ảnh: Patrick Pahlke / Unsplash

Tên miền gồm những phần nào

Một địa chỉ web có cấu trúc giống địa chỉ nhà: có tên đường, tên phố, tên quận. Với tên miền, phần quan trọng nhất không nằm ở đầu mà nằm ở giữa, ngay trước phần đuôi đầu tiên có dấu gạch chéo. Phần đó gọi là tên miền chính (kèm đuôi như .com hay .com.mx). Mọi thứ đứng trước nó, ngăn cách bằng dấu chấm, là tên miền phụ và có thể do bất kỳ ai sở hữu tên miền chính tự đặt.

Ví dụ minh họa: nếu một địa chỉ có dạng "tên thương hiệu, dấu chấm, một chuỗi lạ, dấu chấm, đuôi", thì chủ nhân thật của địa chỉ là chuỗi lạ ấy, không phải tên thương hiệu đứng đầu. Kẻ lừa đảo rất thích đặt tên thương hiệu làm tên miền phụ để người đọc lướt thấy chữ quen rồi yên tâm.

Kỹ thuật đọc từ phải sang trái

Đây là mẹo đáng nhớ nhất. Thay vì đọc từ trái, hãy bắt đầu từ ngay trước dấu gạch chéo đầu tiên và đọc ngược lại:

1. Tìm dấu gạch chéo đầu tiên sau phần giao thức.
2. Nhìn ngay bên trái nó: đó là đuôi tên miền.
3. Lùi thêm một đoạn tới dấu chấm kế tiếp: phần nằm giữa hai dấu chấm đó cộng với đuôi chính là tên miền chính.
4. Chỉ khi phần này khớp với địa chỉ bạn đã xác minh thì mới đọc tiếp những phần phía trước.

Cách đọc này vô hiệu hóa kiểu giả mạo "đặt tên thương hiệu ở đầu". Chú ý thêm: ký tự "@" trong một địa chỉ có thể khiến phần đứng trước nó bị trình duyệt bỏ qua, và dấu gạch ngang cũng thường được dùng để ghép thêm chữ như "an-toan" hay "official" nhằm tạo vẻ chính thống. Chữ "chính thức" nằm trong tên miền không chứng minh điều gì.

Ký tự đánh tráo: khi mắt bị lừa

Kẻ giả mạo thường chọn những ký tự trông giống nhau. Vài kiểu phổ biến:

• Chữ "l" viết thường thay cho chữ "i" hoa hoặc số "1"; chữ "o" thay cho số "0".
• Ghép "rn" để trông như chữ "m".
• Thêm, bớt hoặc lặp một ký tự, ví dụ thừa một chữ cái ở giữa tên thương hiệu.
• Dùng ký tự Unicode của bảng chữ khác trông giống chữ Latinh, tạo ra tên miền nhìn như thật nhưng thực chất khác.
• Đổi đuôi tên miền sang một đuôi khác nghe cũng "hợp lý".

Cách phòng: đừng chỉ "nhìn", hãy so sánh từng ký tự với địa chỉ đã lưu trong dấu trang. Có thể dán địa chỉ vào một trình soạn thảo văn bản dùng phông chữ rõ nét, nơi các ký tự dễ phân biệt hơn. Nếu số ký tự không khớp, dù chỉ một, dừng lại.

HTTPS không đảm bảo đúng chủ

Biểu tượng ổ khóa là một trong những hiểu lầm lớn nhất. HTTPS chỉ cho biết kết nối giữa bạn và máy chủ được mã hóa. Nó không nói gì về việc máy chủ đó có phải của đơn vị bạn muốn tìm hay không. Một trang giả mạo hoàn toàn có thể có chứng chỉ hợp lệ, vì ai sở hữu tên miền cũng xin được. Cho nên ổ khóa là điều kiện cần, không bao giờ là điều kiện đủ.

Hãy xem ổ khóa như tem niêm phong trên gói hàng: nó cho thấy gói chưa bị mở trên đường đi, chứ không cho biết người gửi có đáng tin hay không. Việc xác minh thật sự vẫn là đối chiếu tên miền, nội dung và kênh hỗ trợ.

Lưu dấu trang đã xác minh và dùng lại mỗi lần

Cách đơn giản và bền nhất: sau khi xác minh kỹ một lần, lưu địa chỉ Hitclub vào dấu trang và chỉ truy cập qua dấu trang ấy. Đừng tìm lại qua kết quả tìm kiếm, quảng cáo, tin nhắn nhóm hay bình luận, vì đó chính là những kênh kẻ lừa đảo hay chèn liên kết giả. Nếu bạn dùng nhiều thiết bị, hãy đồng bộ dấu trang và kiểm tra lại định kỳ rằng nó chưa bị ai (hoặc phần mềm lạ) sửa đổi.

Cũng nên tập một phản xạ: gặp liên kết dẫn tới trang đăng nhập từ nguồn không do mình tự mở, bỏ qua và tự gõ hoặc mở từ dấu trang.

Checklist rà nhanh trước khi đăng nhập

• Đã đọc tên miền từ phải sang trái, phần chính khớp với địa chỉ đã lưu.
• Không có ký tự lạ, thừa, thiếu hay thay thế.
• Không bị chuyển hướng qua địa chỉ khác giữa chừng.
• Không dựa vào ổ khóa HTTPS làm bằng chứng duy nhất.
• Trang không đòi thông tin bất thường như mã xác minh gửi qua tin nhắn ngay từ màn hình đầu.
• Truy cập qua dấu trang, không qua liên kết nhận được.

Rèn quen thao tác này mất vài giây mỗi lần, và vài giây ấy là khoảng cách giữa một hành trình trơn tru với một lần mất tài khoản.

Hitclub là cụm từ người dùng có thể dùng để nhận diện nội dung của dự án này. Bài viết chỉ mang tính hướng dẫn an toàn cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.