5 cách nhận biết website giả mạo

Internet có rất nhiều website gian lận, giả mạo – đó là một thực tế đáng buồn. Internet không chỉ thay đổi cách thức chúng ta mua sắm, giao dịch và tương tác mà còn tạo ra những rủi ro bất ngờ mớiđốivới ví tiền của bạn, chủ yếu thông qua gian lận trên mạng (online phishing)

Phishing là gì?

Phishinglà một hình thức gian lận trên mạng nhằm đánh lừa cá nhân/ tổ chức tiết lộ các thông tin nhạy cảm thông qua các hành vi giả mạo chuyên nghiệp của hacker, với nhiều hình thức kết hợp nhằm tạo nên ấn tượng về tính hợp pháp, chẳng hạn như tin tặc gửi email từ một địa chỉ tạo cảm giác chính thức với nội dung cảnh báo “tài khoản của bạn đang bị truy nhập từ nước ngoài, vui lòng cập nhật mật khẩu”. Đây chính là cách John Podesta – giám đốc chiến dịch tranh cử tổng thống của Hillary Clinton bị lộ tài khoản email.

Nội dung email còn có kèm đường dẫn đến webpage được thiết kế rất giống với trang đăng nhập của Google, rất khó phân biệt đối với tay mơ. Dưới đây là một ví dụ về một trang đăng nhập giả mạo PayPal.

Với SSL miễn phí và những thay đổi trong cách cảnh báo của trình duyệt gần đây (có SSL sẽ sẽ hiển thị chỉ dấu “Bảo mật”), webpage này hoàn toàn mang lại cảm giác hợp pháp.

5 cách nhận biết website gian lận, giả mạo

1.) Quansát kỹ URL

Khi truy cập một webpage mới, hãy để ý kỹ URL. Đây là cách nhanh và dễ dàng nhất để nhận biết về webpage và mức độ an toàn của nó. Tin tặc hoàn toàn có thể bắt chước đến mức khó phân biệt giao diện và nội dung của một website và tạo ra các sub-domain gây nhầm lẫn, gần giống với tên miền bị giả mạo.

Tồi tệ hơn, Let’s Encrypt cung cấp SSL miễn phí sẽ khiến cho webpage nhận được chỉ dấu “bảo mật” từ trình duyệt. Với 15.000 chứng thư SSL giả mạo PayPal, ngày nay ngày càng có nhiều người từ bỏ Let’s Encrypt.

Vì vậy, bạn hãy luôn kiểm tra xem mình đang truy cập bằng domain gì, chứ không phải bằng sub-domain gì?

Đừng để bị lừa. Trong ví dụ phía trên, bạn đang truy cập bằng domain “yaraneaftab.”chứ không phải PayPal. Đây là website giả mạo.Let’s Encrypt đã cho họ một công cụ để hiển thị “SECURE”.

2.) Kiểmtra chỉ dấu an ninh kết nối

Sau địa chỉ webpage, giờ bạn hãy nhìn rộng ra toàn thanh địa chỉ – sẽ có một vài chỉ dấu thông báo về mức độ bảo mật của website. Internet được phát triển bằng giao thức mở HTTP, nên tất cả các giao dịch qua giao thức này đều có thế bị đánh cắp, nghe lén, thay đổi. SSL được phát triển để bổ khuyết cho lỗ hổng này, qua đó, HTTP + SSL = HTTPS, với “S” là bảo mật, an toàn. Tóm lại:

HTTP = Xấu
HTTPS = Tốt

Vì vậy, đừng bao giờ cung cấp thông tin cá nhân, nhạy cảm cho các website HTTP!

SSL có một số hiển thị trên thanh địa chỉ như sau

Ổ khoá

hoặc, thanhđịa chỉ hiển thị xanh lá cây

Cả hai biểu tượng này đều là thông báo website đang sử dụng giao thức HTTPS và bạn đang kết nối an toàn, bảo mật với website. Mọi kết nối an toàn đều có biểu tượng ổ khoá, còn một số lại có thanh địa chỉ chuyển màu xanh lá cây.

Địa chỉ xanh lá cây chỉ hiển thị với các website có trang bị EV SSL, là loại chứng thư bảo chứng rằng website này được điều hành bởi một công ty hoạt động hợp pháp trong thế giới “thực”. Các trình duyệt nhấn mạnh điều này bằng cách hiển thị xanh lá cây với chứng thư EV SSL, theo như hình dưới đây:

Một số URL có chứa giao thức HTTPS nhưng không hiển thị ổ kháo. Điều này có nghĩa là chứng thư SSL của website đang gặp lỗi, có một số vấn đề nên bị trình duyệt cảnh báo – cũng đồng nghĩa là kết nối của bạn đến website là không an toàn.

3.) Kiểmtra thuộc tính chứng thư

Nếu một website không hiển thị xanh lá cây, nhưng có ổ khoá thì bạn có thể yên tâm về kết nối an toàn, nhưng, bạn lại không được đảm bảo về đối tượng mình đang kết nối. Các thông tin này có thể hiển thị được, nếu website sử dụng OV SSL, và đây là cách kiểm tra:

Firefox/ Safari/ Chrome:

  • Click biểutượng ổ khoá
  • Click “View Certificate”

Khi đó bạn sẽ có được thông tin về tổ chức quản trị website với thông tin được CA xác thực trước khi cấp phát chứng thư:

OV, EV SSL đều có khả năng hiển thị thông tin tổ chức quản trị website, chỉ duy có DV SSL chỉ hiển thị tên miền. Nói cách khác, CA xác thực bạn đang kết nối đến chính tên miền bạn đang kết nối. Các CA thương mại, uy tín như GlobalSign có các biện pháp tự động để kiểm tra mức độ xác thực tên miền nên DV SSL của họ vẫn rất uy tín. Let’s Encrypt thì không!

4.) Kiểm tra Site Seal

Các website uy tín thường mua thêm các chỉ dấu bảo chứng về website của họ như hình bên dưới. Bạn có thể tìm kiếm trên website mình đang truy cập, thường thì các chỉ dấu này nằm ở trang chủ, trang đăng nhập, trang checkout và được cấp phát bởi các tổ chức đánh giá tín nhiệm

Hoặc chính các CA cũng có chỉ dấu bảo chứng về chứng thư của họ, như hình dưới:

5.) Tham vấn Google

Bạn có thể tham vấn Google thông qua đường link:

https://transparencyreport.google.com/safe-browsing/search

Qua các thuật toán của mình, Google sẽ có đánh giá về mức độ an toàn của website.

Vĩ thanh

Có thể đọc xong bài viết này, bạn sẽ thấy xác định một website giả mạo thật không dễ dàng. Đây không phải là mục đích khi chúng tôi viết bài. Internet mang lại nhiều điều tuyệt vời, thực sự là một bước tiến hoá lớn, nhưng đi kèm với Internet vẫn còn 1 số rủi ro, và bạn phải cảnh giác để bảo vệ chính mình. 5 cách trên giúp bạn an toàn hơn với Internet, giúp chủ website tạo uy tín cho website của mình. Bạn vẫn còn có những cách khác không tốn kém như:

  • Lưu tâm đến cảnh báo của trình duyệt.
  • Thiết kế giao diện chuyên nghiệp và chính xác trong chính tả để tạo nên hình ảnh uy tín, chuyên nghiệp.
  • Kiểm tra WHOIS của tên miền;
  • Đăng tải và tham khảo các chính sách bán hàng, giao hàng, thanh toán tường minh.

Cùng tiến hoá với Internet!