Chấm rủi ro đường dẫn theo dấu hiệu: đọc URL trước khi lỡ tay bấm vào
Dán một đường dẫn đáng ngờ, công cụ bóc nó thành từng thành phần rồi đối chiếu với hơn mười lăm dấu hiệu quen thuộc của trang lừa đảo: ký tự trông giống chữ Latin, nhãn punycode, thương hiệu nằm ở tên miền con, địa chỉ IP thay tên miền, cổng lạ, tham số chứa một địa chỉ khác và ký tự a còng trong phần máy chủ. Mỗi dấu hiệu có điểm và lời giải thích riêng. Toàn bộ chạy bằng luật trong trình duyệt, không gọi dịch vụ ngoài và không mở liên kết.
Tính năng nổi bật
- Bóc URL thành lược đồ, phần trước dấu a còng, máy chủ, cổng, đường dẫn, tham số và mảnh neo
- Tách đúng tên miền đăng ký được khỏi phần tên miền con, có xử lý các đuôi hai phần kiểu com.vn và co.uk
- Nhận diện ký tự Kirin, Hy Lạp và Latin mở rộng trông giống chữ thường, chỉ rõ ký tự nào bắt chước chữ nào
- Cảnh báo nhãn punycode bắt đầu bằng xn hai gạch, kiểu nhãn khiến thanh địa chỉ hiện ra khác hẳn tên miền thật
- So khớp danh sách thương hiệu hay bị mượn danh, phân biệt rõ thương hiệu nằm ở tên miền chính, ở tên miền con hay chỉ ở đường dẫn
- Bắt địa chỉ IP dùng thay tên miền, cổng nằm ngoài nhóm thông dụng và đường dẫn trỏ thẳng tới tệp thực thi
- Phát hiện tham số mang theo một địa chỉ khác, tức khuôn mẫu của lỗ hổng chuyển hướng mở
- Nhận ra dịch vụ rút gọn liên kết và nói rõ khi đó bạn đang chấm cái vỏ chứ không phải đích đến
- Tổng hợp thành mức rủi ro kèm khuyến nghị hành động, hiển thị URL dạng chữ thuần chứ không biến thành liên kết bấm được
Vì sao nên đọc URL bằng mắt kỹ thuật thay vì bằng cảm giác
Phần lớn người dùng đánh giá một liên kết bằng cách lướt qua và tìm chữ quen thuộc. Kẻ tấn công biết rõ điều đó nên toàn bộ nghề của họ là dựng những chuỗi ký tự chứa chữ quen thuộc ở đúng chỗ mắt người dừng lại, còn phần quyết định thật sự thì đặt ở chỗ ít ai nhìn. Một địa chỉ có chữ tên ngân hàng ngay đầu, có chữ bảo mật ở giữa và có dấu gạch chéo trông rất chuẩn vẫn có thể dẫn tới máy chủ của một người hoàn toàn xa lạ, bởi phần quyết định chỉ là hai nhãn cuối cùng ngay trước dấu gạch chéo đầu tiên. Trên điện thoại, tình hình còn tệ hơn vì thanh địa chỉ hẹp và phần đuôi bị cắt. Công cụ này làm đúng việc mà mắt người hay bỏ sót: tách URL thành từng phần theo đúng cách trình duyệt hiểu nó, chỉ ra phần nào là tên miền thật, phần nào chỉ là chữ trang trí, rồi đối chiếu với các khuôn mẫu lừa đảo đã biết. Nó không thay bạn ra quyết định, nhưng nó dịch một chuỗi ký tự rối rắm thành những câu hỏi cụ thể mà bạn tự trả lời được trong vài giây.
Lợi ích khi sử dụng
- Biết ngay phần nào trong URL là tên miền thật, phần nào chỉ là chữ dựng lên cho giống thương hiệu
- Nhìn ra thủ thuật ký tự giả dạng và nhãn punycode mà mắt thường gần như không phân biệt được
- Mỗi dấu hiệu đều kèm lời giải thích nên bạn học được cách tự đọc URL, không phụ thuộc vào công cụ
- Không mở liên kết, không tải nội dung trang, nên kiểm tra mà không để lộ việc bạn đã mở thư
- Chạy hoàn toàn trong trình duyệt nên dùng được cả khi mạng nội bộ chặn các dịch vụ bên ngoài
Cách kiểm tra một URL đáng ngờ
- 1Chép liên kết mà không bấm vào nó: trên máy tính bấm chuột phải rồi chọn sao chép địa chỉ liên kết, trên điện thoại nhấn giữ rồi chọn sao chép.
- 2Dán vào ô nhập trên trang, kết quả hiện ra ngay khi bạn dán, không cần bấm nút nào.
- 3Đọc dòng tên miền đăng ký được trong bảng bóc tách, đây mới là nơi bạn thật sự tới, mọi chữ khác chỉ là trang trí.
- 4Xem lần lượt từng dấu hiệu và phần giải thích, chú ý các dấu hiệu bị đánh dấu nặng như ký tự a còng, ký tự giả dạng và địa chỉ IP thay tên miền.
- 5Nếu đó là liên kết rút gọn, hãy giãn nó về địa chỉ gốc trước rồi mang địa chỉ đầy đủ về đây chấm lại.
- 6Với kết quả từ trung bình trở lên, đừng bấm và đừng đăng nhập, hãy đối chiếu thêm bằng dịch vụ chuyên trách và tự gõ tên miền chính thức vào thanh địa chỉ nếu cần kiểm tra tài khoản.
Đọc một URL theo đúng cách trình duyệt đọc nó
Trình duyệt phân tích một địa chỉ theo thứ tự cố định. Trước tiên là lược đồ, phần đứng trước dấu hai chấm, cho biết dùng giao thức nào. Tiếp theo là phần thẩm quyền, nằm giữa hai dấu gạch chéo và dấu gạch chéo tiếp theo. Bên trong phần thẩm quyền có thể có một đoạn thông tin người dùng đứng trước dấu a còng, rồi tới tên máy chủ, rồi tới cổng nếu có. Sau đó mới tới đường dẫn, tham số sau dấu hỏi và mảnh neo sau dấu thăng. Điều quan trọng nhất mà rất nhiều người hiểu ngược là: tên miền đọc từ phải sang trái theo mức độ quan trọng. Nhãn cuối cùng là đuôi tên miền, nhãn kế cuối cùng với đuôi tạo thành tên miền đăng ký được, và chỉ tổ chức nắm tên miền đó mới kiểm soát mọi thứ đứng trước nó. Nghĩa là trong một địa chỉ có nhiều dấu chấm, thứ bạn cần tìm không phải chữ đầu tiên mà là hai nhãn ngay trước dấu gạch chéo đầu tiên. Với các đuôi hai phần như com.vn hay co.uk thì lấy ba nhãn cuối. Nắm chắc quy tắc này là bạn đã tự phòng được phần lớn các mẫu URL giả dạng, vì gần như mọi thủ thuật còn lại chỉ nhằm kéo sự chú ý của bạn ra khỏi đúng vị trí đó.
Homograph và punycode: khi hai tên miền trông giống hệt nhưng khác hẳn nhau
Hệ thống tên miền ngày nay cho phép dùng ký tự ngoài bảng chữ Latin cơ bản, nhờ vậy mới có tên miền tiếng Việt có dấu hay tên miền chữ Nhật. Cơ chế đằng sau là mã hóa punycode: tên miền chứa ký tự đặc biệt được chuyển thành một chuỗi chỉ gồm chữ Latin bắt đầu bằng xn hai gạch, và trình duyệt dịch ngược lại khi hiển thị. Vấn đề nằm ở chỗ nhiều bảng chữ có ký tự vẽ gần giống hệt chữ Latin. Chữ a trong bảng Kirin, chữ o trong bảng Hy Lạp và chữ o Latin nhìn bằng mắt thường là một, nhưng với máy tính chúng là ba ký tự hoàn toàn khác nhau và tạo ra ba tên miền khác nhau. Kẻ tấn công đăng ký một tên miền chỉ khác tên miền thật đúng một ký tự loại này, dựng bản sao giao diện, và người dùng dù nhìn kỹ thanh địa chỉ cũng không phát hiện ra. Các trình duyệt hiện đại đã có biện pháp phòng vệ: khi tên miền trộn nhiều bảng chữ, chúng hiện thẳng dạng xn hai gạch thay vì dạng đẹp. Nhưng biện pháp này không phủ hết mọi trường hợp, đặc biệt khi toàn bộ nhãn dùng cùng một bảng chữ. Vì vậy khi công cụ báo có ký tự giả dạng hoặc có nhãn punycode, hãy coi đó là cảnh báo nặng: một tên miền thương mại bình thường không có lý do gì trộn chữ Kirin vào giữa các chữ Latin.
Thương hiệu đặt ở tên miền con, ở đường dẫn, hay ghép chữ vào tên miền chính
Đây là nhóm thủ thuật phổ biến nhất và cũng dễ hiểu nhầm nhất. Trường hợp thứ nhất là thương hiệu nằm ở tên miền con, ví dụ tên ngân hàng đứng trước một tên miền lạ. Ai sở hữu một tên miền cũng tạo được tên miền con tùy ý, không tốn thêm đồng nào và không cần xin phép ai, nên đây là cách dựng địa chỉ giả rẻ nhất. Trường hợp thứ hai là ghép thêm chữ vào chính nhãn tên miền, kiểu tên thương hiệu nối với chữ bảo mật hoặc chữ xác minh bằng dấu gạch nối. Kiểu này tốn tiền đăng ký tên miền nên ít gặp hơn, nhưng nhìn thuyết phục hơn nhiều, và đôi khi lại là tên miền thật của một đại lý hoặc một chiến dịch chính thức, nên công cụ chỉ cảnh báo chứ không kết luận. Trường hợp thứ ba là thương hiệu chỉ xuất hiện trong đường dẫn phía sau tên miền, chỗ mà chủ trang tự đặt gì cũng được, nên nó gần như không nói lên điều gì và bị chấm điểm rất nhẹ. Cách kiểm chứng duy nhất đáng tin là mở một tab mới rồi tự gõ tên miền chính thức mà bạn đã biết, hoặc tra tên miền công bố trên ứng dụng ngân hàng, tuyệt đối không dựa vào chữ nhìn thấy trong liên kết được gửi tới.
Chuyển hướng mở, liên kết rút gọn và những cái vỏ hợp lệ
Có một lớp thủ thuật không dựa vào tên miền giả mà dựa vào tên miền thật. Chuyển hướng mở là khi một trang uy tín có sẵn chức năng nhận một địa chỉ trong tham số rồi tự đẩy người dùng sang đó, thường dùng cho việc quay lại trang trước sau khi đăng nhập. Nếu chức năng đó không giới hạn địa chỉ đích, kẻ tấn công gửi cho bạn một liên kết mang đúng tên miền uy tín, bạn kiểm tra thấy tên miền quen nên bấm, và trang uy tín đó lịch sự đẩy bạn sang trang giả. Bộ lọc theo tên miền cũng bị qua mặt vì tên miền trong liên kết hoàn toàn sạch. Dấu hiệu nhận biết là trong phần tham số có một chuỗi bắt đầu bằng http hoặc chuỗi được mã hóa dạng phần trăm chứa dấu hai chấm và hai dấu gạch chéo. Liên kết rút gọn là lớp che khác: toàn bộ địa chỉ đích biến mất, chỉ còn tên dịch vụ và một mã ngắn. Bản thân việc rút gọn hoàn toàn hợp lệ và cực kỳ phổ biến, vấn đề là khi gặp nó thì mọi dấu hiệu khác trong bảng đều vô nghĩa, vì bạn đang chấm cái vỏ chứ không phải đích đến. Cách xử lý đúng là giãn liên kết về địa chỉ gốc bằng một công cụ riêng, rồi mang địa chỉ đầy đủ quay lại chấm.
Giới hạn của cách chấm theo dấu hiệu, và làm gì tiếp sau khi có kết quả
Cần nói thẳng công cụ này không làm được gì. Nó không mở liên kết nên không biết trang đó đang hiển thị nội dung gì. Nó không tra cứu cơ sở dữ liệu nào nên không biết tên miền có đang nằm trong danh sách chặn hay không. Nó không tra DNS nên không biết tên miền được đăng ký hôm qua hay mười năm trước, dù tuổi tên miền là một trong những tín hiệu mạnh nhất trong nghề. Hệ quả là hai kiểu sai sót đều có thật. Bỏ sót xảy ra khi trang lừa đảo được đặt trên một tên miền hoàn toàn sạch, hoặc trên một website hợp lệ vừa bị chiếm quyền, khi đó URL không có bất kỳ dấu hiệu bề mặt nào và công cụ chấm mức thấp. Báo động nhầm xảy ra với trang nội bộ chạy trên cổng lạ, với liên kết chiến dịch mang chuỗi tham số dài và mã hóa dày đặc, hoặc với tên miền hợp lệ chẳng may dùng đuôi nằm trong danh sách hay bị lạm dụng. Vì vậy quy trình hợp lý là dùng kết quả ở đây để sàng lọc nhanh, sau đó đối chiếu bằng dịch vụ chuyên trách về an toàn thông tin và hỏi bộ phận kỹ thuật của tổ chức bạn khi có nghi ngờ. Với các việc liên quan tới đăng nhập hay tiền bạc, nguyên tắc bất biến vẫn là không bấm liên kết được gửi tới, mà tự mở ứng dụng chính thức hoặc tự gõ địa chỉ đã biết vào thanh địa chỉ.
Câu hỏi thường gặp (FAQ)
Công cụ có mở đường dẫn tôi dán vào không?
Không. Nó chỉ đọc chuỗi ký tự và đối chiếu với bộ luật viết sẵn, không tải nội dung trang, không đi theo chuyển hướng, không tra DNS và không gọi bất kỳ dịch vụ nào bên ngoài. Kết quả cũng được hiển thị dạng chữ thuần chứ không biến thành liên kết bấm được, để bạn không lỡ tay mở nó trong lúc kiểm tra.
Trong một địa chỉ nhiều dấu chấm thì nhìn vào đâu để biết mình sắp tới đâu?
Nhìn hai nhãn cuối cùng ngay trước dấu gạch chéo đầu tiên, với đuôi hai phần như com.vn thì lấy ba nhãn cuối. Đó là tên miền đăng ký được và là phần duy nhất nói lên chủ sở hữu. Mọi chữ đứng trước nó chỉ là tên miền con do chủ tên miền tự đặt, và mọi chữ đứng sau dấu gạch chéo cũng vậy.
Địa chỉ có tên ngân hàng ở đầu thì sao lại bị chấm rủi ro cao?
Vì tên đó nằm ở phần tên miền con chứ không phải tên miền chính. Bất kỳ ai sở hữu một tên miền cũng tạo được tên miền con mang tên bất kỳ thương hiệu nào, không tốn tiền và không cần xin phép. Hãy đọc dòng tên miền đăng ký được trong bảng bóc tách, đó mới là nơi trình duyệt thật sự kết nối tới.
Dấu a còng nằm giữa địa chỉ có ý nghĩa gì?
Trình duyệt bỏ qua toàn bộ phần đứng trước dấu a còng trong phần thẩm quyền và chỉ kết nối tới phần sau nó. Kẻ tấn công đặt tên thương hiệu quen thuộc ở phía trước để mắt bạn dừng lại ở đó. Đây là một trong số ít dấu hiệu gần như không bao giờ xuất hiện ở liên kết hợp lệ, nên nó được chấm điểm nặng nhất.
Vì sao tên miền có xn hai gạch lại đáng ngại?
Vì đó là dạng mã hóa của tên miền chứa ký tự ngoài bảng Latin cơ bản, và trình duyệt thường hiển thị lại thành chữ có dấu. Nghĩa là thứ hiện trên thanh địa chỉ có thể trông khác hẳn tên miền thật đang được kết nối tới. Tên miền tiếng Việt hợp lệ cũng dùng cơ chế này, nên hãy giải mã nhãn đó ra rồi đối chiếu với tên miền chính thức.
Vì sao đuôi tên miền lại ảnh hưởng tới điểm rủi ro?
Vì một số đuôi đăng ký rất rẻ hoặc miễn phí và ít bị kiểm duyệt, nên xuất hiện dày đặc trong các chiến dịch dựng hàng loạt tên miền dùng một lần rồi bỏ. Nhưng vô số trang hoàn toàn hợp lệ cũng dùng chính các đuôi đó, vì vậy điểm cộng cho dấu hiệu này cố ý để thấp và nó chỉ có ý nghĩa khi đi cùng dấu hiệu khác.
Trang có ổ khóa và https thì có an toàn không?
Không liên quan. Chứng chỉ chỉ chứng minh dữ liệu được mã hóa trên đường truyền và tên miền đúng là tên miền ghi trong chứng chỉ, nó không nói gì về việc chủ trang lương thiện hay không. Chứng chỉ miễn phí cấp trong vài phút, nên gần như mọi trang lừa đảo hiện nay đều có ổ khóa. Ổ khóa vắng mặt là dấu hiệu xấu, nhưng ổ khóa có mặt không phải bằng chứng tốt.
Tôi gặp liên kết rút gọn thì kiểm tra thế nào?
Chấm một liên kết rút gọn tại đây gần như vô nghĩa vì địa chỉ đích bị che hoàn toàn, bạn đang chấm cái vỏ. Hãy giãn nó về địa chỉ gốc trước bằng công cụ mở rộng liên kết, rồi mang địa chỉ đầy đủ quay lại đây chấm. Công cụ này chỉ báo cho bạn biết đang gặp dịch vụ rút gọn chứ không tự giãn được, vì nó không mở kết nối nào.
Tham số chứa một địa chỉ khác nghĩa là gì?
Đó là khuôn mẫu của lỗ hổng chuyển hướng mở: bạn bấm vào một liên kết mang tên miền uy tín, trang đó đọc địa chỉ trong tham số rồi tự đẩy bạn sang trang khác. Vỏ ngoài hợp lệ nên bộ lọc theo tên miền không bắt được. Hãy đọc kỹ phần địa chỉ nằm trong tham số, đó mới là nơi bạn thật sự tới.
URL của công ty tôi bị chấm mức cao, có phải công cụ sai không?
Rất có thể là báo động nhầm. Trang nội bộ chạy trên cổng lạ, liên kết chiến dịch mang chuỗi tham số dài, hay tên miền hợp lệ dùng đuôi nằm trong danh sách hay bị lạm dụng đều tạo ra điểm cao. Công cụ chấm theo hình thức chứ không biết ngữ cảnh, nên hãy đọc từng dấu hiệu để tự đánh giá thay vì chỉ nhìn con số tổng.
Danh sách thương hiệu và trọng số điểm lấy từ đâu?
Do chúng tôi tự tổng hợp từ các mẫu lừa đảo hay gặp tại Việt Nam, không phải danh sách chính thức của tổ chức nào. Chúng được đặt thành hằng số có ghi chú rõ trong mã nguồn để chủ site rà lại và bổ sung theo thực tế. Hệ quả là một URL mạo danh thương hiệu chưa nằm trong danh sách sẽ không bị dấu hiệu này bắt.
Kết quả mức thấp thì tôi bấm vào được chưa?
Chưa chắc. Mức thấp chỉ nghĩa là URL trông bình thường về hình thức. Trang lừa đảo đặt trên tên miền sạch hoặc trên một website hợp lệ vừa bị chiếm quyền sẽ cho kết quả y hệt. Với việc đăng nhập hay giao dịch, hãy tự mở ứng dụng chính thức hoặc tự gõ địa chỉ đã biết vào thanh địa chỉ thay vì bấm liên kết được gửi tới.
Công cụ có thay thế được phần mềm diệt virus hay dịch vụ quét liên kết không?
Không. Đây là bước sàng lọc bề mặt, chạy bằng luật và không có cơ sở dữ liệu danh tiếng, không biết tuổi tên miền, không biết nội dung trang. Các dịch vụ chuyên trách quét thật nội dung và đối chiếu danh sách đen theo thời gian thực. Hãy dùng kết quả ở đây làm bước đầu rồi đối chiếu tiếp, chứ đừng coi là kết luận cuối cùng.
Chép liên kết mà không bấm vào nó thì làm thế nào?
Trên máy tính, bấm chuột phải vào liên kết rồi chọn sao chép địa chỉ liên kết. Trên điện thoại, nhấn giữ liên kết cho tới khi hiện bảng chọn rồi chọn sao chép. Nếu liên kết nằm trong ảnh hoặc trong nút bấm, hãy rê chuột lên và đọc địa chỉ hiện ở góc dưới trình duyệt, hoặc mở bản gốc của thư để lấy địa chỉ dạng chữ.
Từ khóa liên quan
- kiểm tra url lừa đảo
- phishing url checker
- cách nhận biết link giả mạo
- link lừa đảo ngân hàng
- tên miền giả mạo thương hiệu
- homograph attack là gì
- punycode xn-- là gì
- tên miền con giả mạo
- open redirect là gì
- chuyển hướng mở nguy hiểm
- link rút gọn có an toàn không
- dấu @ trong url
- url dùng địa chỉ ip
- đuôi tên miền hay lừa đảo
- https có an toàn không
- kiểm tra link trước khi bấm
- cách đọc url đúng cách
- tên miền đăng ký được là gì
- chấm điểm rủi ro url
- công cụ kiểm tra link an toàn miễn phí
- phòng chống lừa đảo qua tin nhắn
