Smishing là gì? Cách nhận biết và phòng tránh lừa đảo qua tin nhắn SMS

"[Viettel Post] Bưu phẩm của bạn không thể giao do địa chỉ không chính xác. Xác nhận tại đây: [link]" — Bạn đã từng nhận được tin nhắn như vậy chưa? Nếu đang chờ hàng, bạn có thể bấm vào link mà không suy nghĩ. Đó chính là smishing.

Tại Việt Nam, lừa đảo qua tin nhắn SMS và Zalo ngày càng tinh vi. Chỉ một cú nhấp có thể khiến bạn mất thông tin cá nhân hoặc tiền trong tài khoản.

Smishing là gì

Smishing là từ ghép của SMS và Phishing (lừa đảo trực tuyến). Đây là hình thức tấn công mạng sử dụng tin nhắn văn bản để dụ nạn nhân nhấp vào link độc hại hoặc cung cấp thông tin cá nhân.

Kẻ tấn công giả mạo các tổ chức uy tín — ngân hàng, công ty vận chuyển, cơ quan nhà nước — với mục đích đánh cắp thông tin đăng nhập, dữ liệu tài chính, hoặc cài đặt phần mềm độc hại trên thiết bị của bạn.

Các hình thức smishing phổ biến

Giả mạo thông báo giao hàng

"[GHN] Đơn hàng của bạn đang chờ xác nhận địa chỉ giao hàng. Chi tiết: [link]"

Đây là hình thức smishing phổ biến nhất tại Việt Nam. Giả mạo GHN, Viettel Post, J&T Express, Shopee Express — đặc biệt vào các dịp sale lớn như 11/11, 12/12.

Giả mạo ngân hàng

"[Vietcombank] Phát hiện giao dịch bất thường trên tài khoản. Xác minh ngay: [link]"

Giả mạo các ngân hàng lớn như Vietcombank, Techcombank, BIDV, MB Bank hoặc ví điện tử MoMo, ZaloPay. Sử dụng nỗi sợ bị mất tiền để khiến bạn hành động vội vàng.

Giả mạo cơ quan thuế

"[Tổng cục Thuế] Bạn có khoản hoàn thuế cần nhận. Đăng ký tại: [link]"

Cơ quan nhà nước không gửi tin nhắn có link yêu cầu nhập thông tin cá nhân. Mọi thủ tục thuế đều thực hiện qua cổng thông tin chính thức.

Giả mạo trúng thưởng

"Chúc mừng! Bạn đã trúng thưởng 50 triệu đồng từ Viettel. Nhận thưởng: [link]"

Nếu bạn không tham gia chương trình nào, bạn không trúng thưởng.

Giả mạo Zalo/Mạng xã hội

"Tài khoản Zalo của bạn đăng nhập bất thường. Xác minh ngay: [link]"

Zalo là ứng dụng nhắn tin phổ biến nhất Việt Nam, nên giả mạo Zalo đặc biệt hiệu quả.

Cách nhận biết tin nhắn smishing

Kiểm tra số gửi

Tin nhắn smishing thường đến từ số điện thoại lạ hoặc số nước ngoài. Nếu tự xưng là ngân hàng nhưng gửi từ số di động thông thường, đó không phải ngân hàng.

Chú ý ngôn ngữ cấp bách

"Ngay lập tức", "trong 24 giờ", "khẩn cấp", "tài khoản sẽ bị khóa" — những cụm từ này nhằm khiến bạn hoảng sợ và hành động mà không suy nghĩ.

Kiểm tra link

Dấu hiệu nguy hiểm	Ví dụ
Tên miền giả mạo	vietcombank-verify.com (chính thức: vietcombank.com.vn)
Đuôi tên miền lạ	techcombank.xyz
Dùng địa chỉ IP	http://203.xxx.xxx.xx/verify
Subdomain thừa	momo.pay.com.fake-site.net

Chú ý lỗi chính tả

Tin nhắn chính thức của các tổ chức uy tín luôn được kiểm duyệt kỹ. Nếu có lỗi chính tả, dấu câu bất thường, hoặc cách diễn đạt lạ, đó là dấu hiệu cảnh báo.

Khi nhận được tin nhắn nghi ngờ

1. Không nhấp vào link. Kể cả để "xem thử".
2. Không trả lời. Trả lời xác nhận số của bạn đang hoạt động.
3. Báo cáo tin nhắn. Gửi phản ánh đến tổng đài 156 hoặc cơ quan công an.
4. Chặn số gửi. Sử dụng tính năng chặn trên điện thoại.
5. Liên hệ trực tiếp tổ chức liên quan. Qua app chính thức hoặc hotline chính thức.

Nếu đã nhấp vào link

1. Đổi mật khẩu ngay — đặc biệt các tài khoản liên quan.
2. Bật xác thực hai lớp.
3. Liên hệ ngân hàng nếu đã nhập thông tin tài chính.
4. Kiểm tra xem có ứng dụng lạ được cài trên điện thoại không, quét virus.
5. Kiểm tra lịch sử giao dịch trên tài khoản ngân hàng và ví điện tử.
6. Trình báo cơ quan công an nếu nghi ngờ thông tin cá nhân bị lộ.

Checklist phòng tránh smishing

• Không nhấp link trong tin nhắn không mong đợi
• Xác minh tin nhắn bằng cách liên hệ trực tiếp qua app hoặc website chính thức
• Cài đặt phần mềm bảo mật trên điện thoại
• Bật lọc tin nhắn rác (cả iOS và Android đều có)
• Chỉ tải ứng dụng từ Google Play hoặc App Store
• Không cho phép cài đặt ứng dụng từ nguồn không xác định
• Bật xác thực hai lớp cho tất cả tài khoản quan trọng

Chia sẻ link an toàn

Khi cần chia sẻ thông tin nhạy cảm qua Zalo — mật khẩu, link riêng tư, ghi chú bảo mật — hãy sử dụng công cụ được thiết kế cho việc chia sẻ an toàn. LOCK.PUB cho phép tạo link được bảo vệ bằng mật khẩu, người nhận luôn truy cập qua tên miền lock.pub đã xác minh.

Khác với link smishing che giấu mục đích thực, link LOCK.PUB không yêu cầu thông tin cá nhân. Người nhận nhập mật khẩu và chỉ thấy nội dung bạn muốn chia sẻ.

Tạo link được bảo vệ -->