Nhận diện web giả mạo Hitclub qua từng ký tự tên miền

Nhà sưu tầm tranh không tin vào vẻ ngoài. Họ lật lại, soi chữ ký, đối chiếu từng nét với bản gốc. Một bức tranh nhái có thể đẹp, nhưng chữ ký luôn là nơi lộ sơ hở. Với trang web, "chữ ký" chính là tên miền. Giao diện giả có thể giống Hitclub đến từng nút bấm, nhưng tên miền thì không thể trùng tuyệt đối, vì mỗi tên miền chỉ thuộc về một chủ. Trên bản đồ tuần của WhizArts, các điểm "đăng nhập nhầm trang" thường bắt đầu từ một lần đọc tên miền quá nhanh. Bài này dạy cách đọc chậm và đúng.

Ảnh: Lucas van Oort / Unsplash

Tên miền gồm những phần nào

Một địa chỉ web có cấu trúc giống một địa chỉ nhà, và phần quan trọng nhất nằm ở giữa, không phải ở đầu. Ví dụ tổng quát: một chuỗi chữ cái ghép bởi nhiều đoạn cách nhau bằng dấu chấm. Hãy phân biệt:

• Đuôi cuối cùng (phần sau dấu chấm cuối): cho biết loại hoặc quốc gia của tên miền.
• Tên miền chính (phần sát ngay trước đuôi): là thứ thật sự xác định chủ sở hữu.
• Tên miền phụ (các đoạn đứng trước): ai mua tên miền chính cũng có thể tự đặt tên phụ tuỳ ý.

Kẻ gian rất thích dồn chữ "hitclub" vào tên miền phụ để đánh lừa, trong khi tên miền chính thuộc về họ. Vì thế mắt cần biết nhìn đúng chỗ.

Kỹ thuật đọc từ phải sang trái

Đây là kỹ thuật quan trọng nhất. Thay vì đọc từ trái sang phải như một câu văn, hãy đọc tên miền theo chiều ngược lại, bắt đầu từ phần trước dấu gạch chéo đầu tiên:

1. Tìm phần địa chỉ nằm trước dấu "/" đầu tiên, bỏ qua mọi thứ phía sau (đường dẫn, tham số).
2. Đọc từ phải sang trái: đuôi cuối cùng trước, rồi tới đoạn ngay bên trái nó. Hai đoạn này ghép lại chính là tên miền chính.
3. So sánh tên miền chính đó với địa chỉ bạn đã xác minh và lưu. Mọi thứ nằm bên trái chỉ là tên miền phụ.
4. Nếu "hitclub" chỉ xuất hiện ở bên trái nhưng tên miền chính là một cái tên khác, đó là trang không phải của Hitclub.

Ví dụ minh hoạ về cấu trúc: nếu một địa chỉ có dạng "tên-thương-hiệu dấu chấm một-tên-lạ dấu chấm đuôi", thì chủ thật sự là "một-tên-lạ", không phải tên thương hiệu ở đầu. Hãy luyện thói quen này vài lần, bạn sẽ đọc được trong một giây.

Ký tự bị đánh tráo

Kẻ làm trang giả không cần đổi cả tên, chỉ cần thay một ký tự mà mắt khó nhận ra. Các kiểu hay gặp:

• Chữ giống chữ: "l" (chữ L thường) với "I" (chữ i hoa), "rn" ghép lại trông giống "m", chữ "o" và số "0".
• Thêm hoặc bớt một ký tự: thừa một chữ, thiếu một chữ, lặp đôi chữ cái.
• Gạch nối và con số: thêm "-" hoặc số vào giữa để trông như một biến thể hợp lệ.
• Ký tự từ bảng chữ cái khác: một số chữ trong bảng chữ cái khác trông gần như giống hệt chữ Latinh. Trình duyệt có thể chuyển các tên này thành dạng mã bắt đầu bằng "xn--". Thấy dạng mã này ở một trang Hitclub là dấu hiệu cần dừng.
• Đuôi lạ: cùng một tên nhưng đổi đuôi, vì kẻ gian đăng ký được đuôi mà chủ thật chưa mua.

Cách chống là đọc từng ký tự, không đọc theo hình dáng cả từ. Khi nghi ngờ, hãy phóng to chữ trên màn hình, hoặc dán địa chỉ vào một ô ghi chú dùng phông chữ khác để các ký tự dễ phân biệt hơn.

HTTPS và ổ khoá không đảm bảo đúng chủ

Nhiều người nghĩ cứ có ổ khoá là an toàn. Thực ra ổ khoá chỉ cho biết đường truyền giữa bạn và trang được mã hoá, không xác nhận trang ấy là của ai. Kẻ gian cũng dễ dàng lấy được chứng chỉ cho tên miền của họ, nên trang giả vẫn có "https" và ổ khoá bình thường. Điều bạn cần kiểm tra vẫn là tên miền chính. Ổ khoá chỉ có ý nghĩa khi tên miền đã đúng.

Lưu dấu trang đã xác minh

Cách phòng thủ bền nhất không phải là soi mỗi lần, mà là tạo một lối vào đáng tin một lần rồi dùng mãi:

1. Lấy địa chỉ từ nguồn chính thức mà bạn tin, ví dụ từ trong ứng dụng, hoặc từ thông tin công bố trong tài khoản.
2. Đọc từng ký tự theo kỹ thuật phải sang trái và đối chiếu.
3. Lưu thành dấu trang với tên dễ nhớ, đặt trong thư mục riêng.
4. Từ nay, chỉ truy cập qua dấu trang này hoặc tự gõ tay địa chỉ đã kiểm tra.
5. Không bấm vào link xuất hiện trong tin nhắn, bình luận, quảng cáo hay email, kể cả khi trông rất giống.

Nếu dùng trình quản lý mật khẩu, hãy để nó tự điền thông tin. Khi vào một trang giả, trình quản lý thường không điền vì tên miền không khớp, và đó là một tín hiệu cảnh báo miễn phí.

Checklist ba giây trước khi đăng nhập

• Tên miền chính có khớp với địa chỉ đã lưu, từng ký tự?
• Đuôi có đúng không, có ký tự lạ, gạch nối hay con số bất thường?
• Mình vào từ dấu trang hay từ một link ai đó gửi?
• Trang có yêu cầu thêm thông tin vượt quá bình thường, như mã OTP trước khi đăng nhập?
• Trình quản lý mật khẩu có tự điền không?

Nếu đã lỡ nhập thông tin

Đổi mật khẩu từ một thiết bị tin cậy, đăng xuất mọi phiên, bật hoặc đặt lại xác thực hai lớp, rà soát email liên kết và báo cho hỗ trợ chính thức kèm mốc thời gian và ảnh chụp trang đã che thông tin cá nhân. Đừng dùng lại mật khẩu đó ở bất kỳ nơi nào khác.

Lưu ý 18+ và chơi có trách nhiệm: Nội dung chỉ dành cho người đủ 18 tuổi và mang tính hướng dẫn an toàn thông tin. Hãy tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí về thời gian và ngân sách, và tự chịu trách nhiệm với quyết định của mình. Khi không thể xác minh một trang web hoặc trạng thái tài khoản, hãy dừng sử dụng cho tới khi chắc chắn.

Tham khảo thông tin tại nhà cái Hitclub.