And Works PicturesGóc X8 Club

Nội dung hợp tác · 13/11/2026

Danh sách kiểm tra liên kết trong tin nhắn SMS quảng cáo

SMS là kênh lan tỏa link lừa đảo nhanh nhất ở Việt Nam. Theo NCSC Q3/2025, hình thức chiếm đoạt tài sản qua SMS brand-name giả chiếm 36% các vụ lừa đảo mạng có yếu tố "tin nhắn chính thống". Thông tư 22/2021/TT-BTTTT đã yêu cầu nhà mạng xác thực brand-name từ 2021, nhưng kẻ gian vẫn tìm được kẽ hở, đặc biệt qua roaming quốc tế và các dịch vụ A2P xuyên biên giới.

Danh sách kiểm tra liên kết trong tin nhắn SMS quảng cáo

And Works Pictures biên soạn danh sách 11 điểm kiểm tra dành riêng cho tin nhắn SMS quảng cáo có kèm link. Mục đích không phải khuyến cáo không mở SMS mà giúp người dùng phân biệt tin thật từ tổ chức chính thống với tin giả mạo đang ngày càng tinh vi. Quá trình kiểm tra mất 20-45 giây và có thể thực hiện toàn bộ trên điện thoại.

Bối cảnh SMS marketing và lừa đảo tại Việt Nam

Việt Nam có 168,5 triệu kết nối di động đến 2025, tương đương 169% dân số theo GSMA. Mỗi ngày có hàng triệu tin nhắn marketing hợp pháp được gửi từ ngân hàng, nhà bán lẻ, ứng dụng gọi xe, ví điện tử. Trong khối lượng khổng lồ đó, các tin nhắn lừa đảo núp bóng khó phân biệt nếu không có quy trình kiểm tra.

VietQR xử lý 8,6 tỉ giao dịch trong năm 2024 theo NAPAS, tăng 2,9 lần so với 2023. 90% giao dịch qua điện thoại. Số lượng khổng lồ này khiến người dùng Việt Nam quen thuộc với việc nhận tin nhắn xác nhận giao dịch, và quen đến mức dễ bị đánh lừa bởi tin giả giả mạo cùng kiểu.

Danh sách 11 điểm kiểm tra

  1. So sánh tên người gửi với tên thương hiệu đã xác thực. Nhà mạng VN dùng SMS Brand Name (ví dụ "VCB", "MB", "SHOPEE") được đăng ký và xác thực. Tin nhắn từ chuỗi số lạ, dù nội dung có nhắc tên thương hiệu, thường là giả. Nhớ: brand-name không kèm số điện thoại; nếu thấy số bên cạnh, đó không phải brand-name.
  2. Đọc toàn bộ link, không chỉ phần đầu. Link rút gọn như bit.ly, t.co, tinyurl ẩn đích thật. Dùng ứng dụng mở rộng link (CheckShortURL, Unshorten.me) hoặc dán vào trình duyệt, chưa Enter, xem trình duyệt gợi ý nguồn. Nếu đích đến có nhiều lớp chuyển hướng, cảnh giác.
  3. Xem đuôi tên miền đích. Link từ ngân hàng VN hợp pháp thường dùng .vn, .com.vn, hoặc tên miền chính của ngân hàng (ví dụ techcombank.com.vn). Link lừa đảo thường chọn các đuôi lạ như .top, .xyz, .cc, hoặc đuôi .com nhưng với tên miền thêm hậu tố như "vietcombank-security.com".
  4. Kiểm tra sự nhất quán với thông tin tài khoản thật. Nếu SMS thông báo "giao dịch 5,2 triệu đồng tại Bà Rịa", mở ứng dụng ngân hàng (không bấm link) để xem lịch sử giao dịch. Nếu giao dịch không tồn tại trong app, tin nhắn chắc chắn là giả. Kẻ gian dựa vào tâm lý hoảng của người nhận để làm họ bấm trước khi xác minh.
  5. Chú ý các từ khóa hối thúc. "Khóa tài khoản trong 30 phút", "nhận quà cuối cùng hôm nay", "xác minh ngay nếu không mất ưu đãi" là các cụm được dùng để đẩy cảm xúc. Thông báo thật từ ngân hàng thường trung tính, không hối thúc. Nếu có vấn đề, ngân hàng có thời gian cho khách giải quyết.
  6. Không bấm link để đăng nhập. Thay vì bấm, mở ứng dụng chính thức của ngân hàng/dịch vụ từ màn hình chính điện thoại. Tất cả thông báo quan trọng đều hiện lại trong app. Nếu trong app không có nội dung giống SMS, SMS đó không phải thật.
  7. Không nhập mã OTP ở trang mở từ SMS. Mã OTP là dòng bảo vệ cuối cùng. Một trang yêu cầu OTP sau khi bạn bấm link từ SMS là trang nên được coi là nguy hiểm, bất kể logo và màu sắc giống thật. OTP không bao giờ được nhập trên trang web mà ngân hàng không gọi trực tiếp.
  8. Chuyển tiếp tin nghi ngờ tới 5656 hoặc 156. Bộ TT&TT vận hành số 5656 nhận báo cáo tin nhắn rác và lừa đảo. Nhà mạng đã triển khai số 156 làm đầu số báo cáo chung. Mỗi lần báo cáo, hệ thống học và chặn tốt hơn cho người khác. Thao tác mất 3 giây nhưng có giá trị cộng đồng.
  9. Chụp màn hình trước khi xóa. Nếu nghi ngờ, chụp lại tin nhắn để làm bằng chứng. Khi khai báo với cơ quan công an hoặc nhà mạng, ảnh chụp là tư liệu quan trọng. Đừng xóa ngay vì sợ, hãy lưu và báo cáo.
  10. Trong các ví dụ thực hành, có thể dùng địa chỉ mẫu để tập. Một trong các minh họa cho buổi tập đọc URL, có thể lưu địa chỉ như X8 vào ghi chú và áp dụng các bước 2, 3, 6 lên nó: cắt query, đọc tên miền, so với thương hiệu tự xưng. Làm trên một địa chỉ cụ thể giúp phản xạ nhanh hơn so với học suông.
  11. Chia sẻ danh sách này cho người nhà lớn tuổi. Người lớn tuổi là nhóm bị nhắm nhiều nhất. In một bản 11 điểm cỡ chữ 14, dán cạnh điện thoại nhà. Chủ động gọi điện mỗi tuần hỏi gần đây có SMS lạ nào không, cùng đọc qua. Phòng thủ gia đình hiệu quả hơn phòng thủ cá nhân.

Danh sách kiểm tra liên kết trong tin nhắn SMS quảng cáo minh họa

Phân tích sâu các nhóm điểm

Nhóm điểm 1-3 là lớp "nhận diện bên gửi": phân biệt brand-name thật với giả qua tên hiển thị, URL và tên miền. Đây là lớp đầu tiên và chặn nhiều nhất. Nhóm 4-5 là lớp "kiểm tra nội dung": đối chiếu với trạng thái tài khoản thật và xem các tín hiệu hối thúc. Nhóm 6-7 là lớp "không hành động theo link": tránh thao tác không thể hoàn tác.

Nhóm 8-11 là lớp "sau khi phát hiện": báo cáo và chia sẻ. Nhóm cuối này thường bị xem nhẹ nhưng tạo hiệu ứng mạng, giúp mọi người cùng được bảo vệ hơn theo thời gian.

Ví dụ thực tế có số liệu cụ thể

Một chiến dịch phishing SMS phổ biến 2024 giả mạo brand "VCB" với nội dung "Giao dịch bất thường 15,5 triệu, kiểm tra tại vcb-check.top". Người dùng bấm link được đưa đến trang giống hệt internet banking Vietcombank. Theo A05, trong 8 tháng đầu 2025, tổng thiệt hại từ nhóm vụ này khoảng 1.300 tỉ đồng, một phần tư của con số 8.400 tỉ VNĐ thiệt hại chung từ lừa đảo mạng.

APWG Q2 2025 ghi nhận smishing (phishing SMS) chiếm 24% số vụ phishing toàn cầu, xếp thứ hai sau email phishing. Tỉ lệ click vào link SMS lừa đảo trung bình cao hơn email phishing (25-28% so với 17,8%) do SMS không có bộ lọc như email, và người đọc thường ở trạng thái mobile, phản xạ nhanh hơn, ít suy xét hơn.

Lưu ý khi áp dụng cho các loại tin nhắn khác

Danh sách này thiết kế cho SMS brand-name. Với Zalo (76,5 triệu người dùng VN 2024), các bước tương tự nhưng thêm bước kiểm tra "huy hiệu Chính thức" (Official Account tích xanh). Với Messenger (Facebook VN có 72,7 triệu người dùng 2025), luôn kiểm tra URL rê chuột trước khi bấm, vì Messenger WebView có thể hiển thị tiêu đề khác đích thật. Với tin nhắn iMessage hay Google Messages RCS, cũng áp dụng được dù định dạng khác.

Các ứng dụng gọi xe, giao đồ ăn thường gửi thông báo qua app chứ không qua SMS. Nếu nhận SMS "Đơn hàng Grab/Shopee cần xác nhận", 90% là giả, vì app sẽ push notification chứ không gửi SMS trừ các trường hợp OTP ngắn.

Cập nhật và theo dõi theo thời gian

Kỹ thuật SMS phishing thay đổi nhanh. 2023 tập trung vào giả mạo ngân hàng. 2024 lan sang giả mạo cơ quan thuế và CSGT (phạt nguội). Quý IV/2025 xuất hiện làn sóng giả mạo ví điện tử với link "nạp bonus". Mỗi quý, dành 10 phút đọc bản tin NCSC (ncsc.gov.vn) và cập nhật danh sách của bạn.

Cốc Cốc phiên bản 132 phát hành 10/2025 đã tích hợp AI rà link lừa đảo tự động cho SMS và Messenger, một bước tiến đáng kể. Dù vậy, AI không thay thế cảnh giác người dùng; danh sách thủ công vẫn cần như lớp bảo vệ thứ hai. Khi nhiều người dùng cùng duy trì thói quen kiểm tra, cộng đồng online VN sẽ bớt mỏng manh trước làn sóng lừa đảo đang gia tăng nhanh.