2026-11-12

Cách kiểm tra một liên kết rút gọn có an toàn hay không — nhận diện lừa đảo qua tin nhắn (smishing) và cách xử lý

Một tin nhắn kiểu "Vui lòng xác nhận địa chỉ giao hàng của bạn", kết thúc bằng xxx.com/aB3kZ9. Người gửi lạ, và không cách nào nhìn thấy liên kết dẫn đi đâu. Đó là lý do liên kết rút gọn trở thành con dao hai lưỡi về bảo mật: các dịch vụ chính danh dùng nó để dọn gọn những URL dài, còn kẻ xấu dùng đúng tính năng đó để che đích đến nguy hiểm.

Bài hướng dẫn này trình bày cách xem một liên kết rút gọn trước khi bấm, cách nhận diện smishing (lừa đảo qua tin nhắn), và phải làm gì nếu bạn đã lỡ bấm.

Vì sao liên kết rút gọn bị lợi dụng

Như đã nói trong bài viết trước, liên kết rút gọn là một tấm biển chỉ đường. Vấn đề nằm ở chỗ thanh địa chỉ chỉ hiển thị mỗi tấm biển, không bao giờ cho thấy đích đến.

Với URL dài (www.example.com/...), bạn có thể nhìn nhanh mà phát hiện tên miền giả mạo, nhưng một slug sáu ký tự thì chẳng cho bạn manh mối nào.
Tên người hiển thị trong tin nhắn và mạng xã hội cũng bị làm giả được, nên ghép một người gửi giả với liên kết rút gọn thì vụ lừa trông như của cơ quan chính thống.
Đó là lý do smishing kiểu giao kiện hàng, phạt nguội, quà tặng hay thư mời nhận việc phụ thuộc rất nhiều vào liên kết rút gọn.

Điểm mấu chốt: bản thân liên kết rút gọn không nguy hiểm — liên kết rút gọn từ nguồn không rõ mới nguy hiểm.

Bốn cách kiểm tra đích đến trước khi bấm

1. Tính năng xem trước (lookup) của dịch vụ rút gọn

Một số dịch vụ rút gọn có trang xem trước cho thấy đích đến hoặc số liệu của liên kết.

Các dịch vụ kiểu Bitly trước đây mở trang số liệu/đích đến khi bạn thêm dấu + vào sau liên kết (chỉ với liên kết do chính dịch vụ đó phát hành). Phạm vi hỗ trợ và cơ chế thay đổi thường xuyên, hãy kiểm tra trang trợ giúp chính thức của nhà cung cấp.
Các trang "short URL checker" miễn phí hoạt động theo cùng nguyên lý: dán liên kết rút gọn, nhận về URL cuối cùng mà nó phân giải tới. Hãy coi mọi kết quả tra cứu là manh mối, không phải bằng chứng — tiêu chí phán quyết cuối cùng nằm ở mục 3 bên dưới.

2. Dùng bản xem trước của ứng dụng nhắn tin

Dán liên kết vào KakaoTalk hoặc một app ghi chú thường sinh ra bản xem trước có tiêu đề và ảnh đại diện. Nếu tên miền thật hiển thị khác với tổ chức đang bị mạo danh (một "cơ quan chính thống" mà phân giải về xyz-login.top), thì đó là đồ giả ngay tại chỗ.

3. Xác minh người gửi và ngữ cảnh

Bước này là lẽ thường, không phải công nghệ. Đừng bấm nếu rơi vào bất kỳ dấu hiệu nào sau đây:

Tin nhắn từ số lạ, hoặc tên người gửi trông như tài khoản cá nhân
Câu chữ tạo áp lực: "xác nhận ngay", "sắp hết hạn", "tài khoản bị tạm khóa"
Cơ quan nhà nước, ngân hàng hoặc đơn vị vận chuyển đẩy bạn qua liên kết rút gọn (mặc định họ hướng dẫn dùng app và website chính thức)
Tên miền chỉ lệch một ký tự so với tên miền thật của công ty

4. Nếu buộc phải bấm, hãy tách phiên

Nếu cần bấm chỉ để xác minh, hãy mở trong cửa sổ ẩn danh hoặc trình duyệt đang đăng xuất — tuyệt đối không dùng trình duyệt đang giữ các phiên đăng nhập của bạn. Nếu chuỗi redirect nối tiếp nhau, đọc tên miền cuối cùng trên thanh địa chỉ rồi đóng ngay.

Đã bấm rồi? Xử lý theo triệu chứng

Chỉ truy cập, chưa nhập gì — nếu không có hộp thoại xin cài đặt hay xin quyền thông báo hiện ra, bạn gần như ổn. Đóng cửa sổ; đừng bấm quay lại, cứ đóng là xong.

Đã nhập thông tin đăng nhập

Đổi mật khẩu của dịch vụ đó ngay lập tức
Đổi mọi tài khoản khác dùng lại đúng mật khẩu đó
Bật xác thực hai yếu tố (2FA)
Kiểm tra biến động trên các dịch vụ thẻ/ngân hàng liên kết, thấy gì bất thường thì khóa ngay

Ứng dụng bắt đầu được cài đặt — xóa ngay và rà soát lịch sử cấp quyền cài đặt của bạn.

Nơi báo cáo (Hàn Quốc): smishing/phishing báo trung tâm ứng cứu của KISA tại số 118; lừa đảo báo hệ thống tố giác tội phạm mạng của cảnh sát (ecrm.police.go.kr) hoặc số 182. Chụp màn hình và giữ lại tin nhắn — đừng xóa bằng chứng.

Phía tạo liên kết: cách để không bị chặn

Doanh nghiệp và nhà sáng tạo chính danh gửi liên kết rút gọn số lượng lớn vẫn có thể vấp bộ lọc spam của ứng dụng nhắn tin và email. Luật về độ tin cậy rất rõ:

Dùng tên miền của bạn (liên kết thương hiệu): liên kết tạo bằng tên miền tùy chỉnh vượt bộ lọc thường xuyên hơn liên kết trên tên miền chung ngẫu nhiên — và người nhận xác minh được liên kết đi đâu trước khi bấm, vì thương hiệu của bạn nằm ngay trong đó.
Chỉ liên kết tới đích HTTPS: liên kết rút gọn trỏ vào đích http thuần thì về định nghĩa đã đáng ngờ.
Dùng dịch vụ có tài khoản và lịch sử: dịch vụ rút gọn ẩn danh, không cần đăng ký để tên miền chung của họ bị những kẻ lợi dụng khác làm bẩn thanh danh. Nguyên lý tương tự cũng đúng với dùng liên kết và mã QR trên danh thiếp.
Minh bạch trong lời kêu gọi hành động: "trang sale tháng 11 của OO Mall" tốt hơn "xác nhận kiện hàng của bạn" — ít bị chặn, ít bị phàn nàn hơn.

FAQ

Q. Tôi bấm một liên kết rút gọn rồi đóng ngay. Tôi có an toàn không? Các đòn tấn công hiện đại không thắng chỉ bằng một lượt truy cập. Nếu bạn chỉ đóng tab mà không cài gì, không gõ gì, gần như chắc chắn bạn ổn.

Q. Tên miền .kr thì an toàn còn lại thì không? Không. Đuôi tên miền không liên quan gì tới độ an toàn. Trang giả mạo dùng cả .kr, .com lẫn gTLD mới.

Q. Liên kết dài không rút gọn thì an toàn? Chưa chắc. Kẻ lừa đảo đặt thương hiệu thật lên đầu: naver.com.shop-deal.top bắt đầu bằng naver.com nhưng thực chất là tên miền con của shop-deal.top. Mọi thứ tính tới dấu / (hoặc dấu : chỉ cổng) đầu tiên mới là host. Hãy hỏi: "tên miền công ty thật nằm ở vị trí số không, hay chỉ là đồ trang trí?"

Q. Liên kết công ty tôi cứ bị chặn. Nếu bạn dùng dịch vụ rút gọn miễn phí trên tên miền chung với hàng nghìn người lạ, liên kết độc hại của một kẻ lợi dụng có thể kéo tụt cả tên miền — lỗi tại tên miền (guilt-by-domain). Hãy chuyển sang tên miền thương hiệu.

Tổng kết

Nếu không chắc, đừng bấm. Muốn kiểm tra, hãy dùng tính năng xem trước/tra cứu — nhưng phán quyết cuối cùng dựa trên người gửi, ngữ cảnh và toàn bộ chuỗi tên miền.
Khi tạo liên kết, rút gọn trên tên miền của bạn hơn hẳn tên miền chung ngẫu nhiên. Với tên miền tùy chỉnh rdurl, thương hiệu của bạn nằm trong liên kết để người nhận xác minh nguồn trước khi bấm.