"Tin nhắn này có phải lừa đảo không?" Dấu hiệu cảnh báo trong mọi SMS đáng ngờ

Điện thoại của bạn rung. "USPS: Kiện hàng của bạn đang bị giữ tại kho do địa chỉ chưa đầy đủ. Cập nhật thông tin trong vòng 24 giờ để tránh bị trả lại: usps-redelivery.info/track." Bạn đang chờ một chuyến giao hàng. Tin nhắn trông có vẻ chính thức. Ngón cái của bạn lơ lửng trên liên kết. Trước khi chạm vào, một câu hỏi quan trọng hơn tất cả: tin nhắn này có phải lừa đảo không? Bạn có khoảng năm giây trước khi thói quen và sự khẩn cấp trả lời thay bạn.

Lừa đảo qua tin nhắn (Smishing) là gì?

Lừa đảo qua tin nhắn, được gọi là "smishing" (lừa đảo qua SMS), là một tin nhắn gian lận được thiết kế để dụ bạn nhấp vào một liên kết độc hại, tiết lộ thông tin cá nhân, hoặc gửi tiền. Cái tên kết hợp "SMS" và "phishing" vì các thủ đoạn giống hệt lừa đảo qua email, chỉ đơn giản được đưa đến thiết bị bạn kiểm tra thường xuyên nhất và tin tưởng theo bản năng nhất.

Lừa đảo qua tin nhắn hiệu quả đến vậy chính là nhờ sự tin tưởng đó. Người ta mở tin nhắn trong vòng vài phút và đọc lướt qua, thường trong lúc bị phân tâm. Một tin nhắn nằm chung hộp thư với lời nhắn từ gia đình, bác sĩ và ngân hàng của bạn. Theo dữ liệu Consumer Sentinel năm 2025 của FTC, người tiêu dùng đã báo cáo mất hàng trăm triệu đô la vì lừa đảo qua tin nhắn, trong đó thông báo giao hàng giả là loại được báo cáo nhiều nhất với khoảng cách lớn.

Quy mô mang tính công nghiệp. Phân tích ngành từ RoboKiller ước tính người Mỹ nhận được hơn một tỷ tin nhắn lừa đảo và rác trong những ngày cao điểm năm 2025. Kẻ lừa đảo gửi tin nhắn theo lô lớn khổng lồ đến các số được tạo ngẫu nhiên hoặc bị rò rỉ, đánh cược rằng một tỷ lệ nhỏ người nhận sẽ đang chờ một kiện hàng, lo lắng về ngân hàng, hoặc hy vọng về một công việc đúng vào thời điểm tin nhắn đến.

Cách thức hoạt động của lừa đảo qua tin nhắn

Gần như mọi chiến dịch smishing đều tuân theo cùng một cấu trúc bốn bước, ngay cả khi câu chuyện cụ thể thay đổi từ tuần này sang tuần khác. Hiểu cơ chế cho thấy chính xác nơi cần phá vỡ chuỗi này.

1. Gửi hàng loạt. Kẻ lừa đảo phát cùng một tin nhắn đến hàng nghìn hoặc hàng triệu số bằng các công cụ tự động giá rẻ, thường giả mạo ID người gửi hoặc định tuyến qua cổng SMS nước ngoài để giấu nguồn gốc. Số của bạn không cần phải bị "hack" mới nhận được một tin.

2. Cái cớ đáng tin. Tin nhắn giả mạo một thứ mà bạn có khả năng quan tâm ngay lúc này: một kiện hàng bị giữ, một cảnh báo gian lận ngân hàng, một khoản phí cầu đường bạn được cho là nợ, một tài khoản bị đình chỉ, hoặc một lời mời làm việc. Những cái cớ hiệu quả nhất là những thứ gần như ai cũng gặp, đó là lý do chủ đề giao hàng và ngân hàng chiếm ưu thế.

3. Liên kết hoặc mồi câu. Tin nhắn đẩy bạn về một hành động duy nhất: chạm vào liên kết dẫn đến trang đăng nhập hoặc thanh toán giả, gọi một số điện thoại kết nối đến một nhân viên "hỗ trợ" giả, hoặc trả lời để bắt đầu một cuộc trò chuyện. Trang đích thường là bản sao gần như hoàn hảo của trang web một thương hiệu thật, được dựng lên để thu thập bất cứ điều gì bạn nhập.

4. Trích xuất. Một khi bạn nhập thông tin đăng nhập, chi tiết thẻ, hoặc mã xác minh một lần, kẻ lừa đảo thu thập ngay lập tức, thường sử dụng chỉ trong vài phút để rút cạn tài khoản, mua sắm, hoặc chiếm đoạt hoàn toàn tài khoản. Một số chiến dịch bỏ qua liên kết và thay vào đó yêu cầu bạn gửi thẳng một khoản thanh toán hoặc chuyển tiếp một mã mở khóa chính tài khoản của bạn.

Dấu hiệu cảnh báo trong mọi SMS đáng ngờ

Gần như mọi tin nhắn lừa đảo đều mang ít nhất hai trong số các dấu hiệu cảnh báo này. Học cách nhận ra chúng theo thứ tự và bạn sẽ bắt được đại đa số các nỗ lực smishing trước khi chúng gây tổn hại cho bạn.

Một số lạ hoặc chung chung. Các doanh nghiệp hợp pháp nhắn tin từ những mã ngắn nhất quán hoặc số đã được xác minh. Một tin nhắn từ số di động 10 chữ số ngẫu nhiên, một địa chỉ email-tới-tin nhắn, hoặc một mã quốc tế bạn không nhận ra là một cảnh báo tức thì, đặc biệt khi nó tự nhận là ngân hàng hoặc hãng chuyển phát.

Một liên kết bất ngờ. Nếu bạn không yêu cầu một tin nhắn có liên kết, hãy coi mọi liên kết là thù địch. URL rút gọn, tên miền giả mạo, và phần đuôi bất thường (.info,.xyz,.top) là đặc điểm của smishing. Các công ty thật hiếm khi đưa bạn đến một tên miền ngẫu nhiên để "xác minh" bất cứ điều gì.

Sự khẩn cấp giả tạo. "Trong vòng 24 giờ," "thông báo cuối cùng," "tài khoản bị đình chỉ," "tránh bị phạt." Áp lực thời gian được tạo ra để ngăn bạn suy nghĩ. Các tổ chức thật không đe dọa thảm họa tức thì qua SMS cho những vấn đề thường ngày.

Một yêu cầu thông tin nhạy cảm. Không một ngân hàng, hãng chuyển phát hay cơ quan chính phủ hợp pháp nào nhắn tin cho bạn để hỏi mật khẩu, số thẻ đầy đủ, số An sinh Xã hội, hay mã xác minh. Bất kỳ yêu cầu nào như vậy là một vụ lừa đảo đã được xác nhận.

Một lời mở đầu "nhầm số" hoặc quá thân thiện. Những tin nhắn như "Chào, đây có phải Sarah không? Chúng ta gặp nhau ở hội nghị" hay "Xin chào, bạn có rảnh làm một công việc từ xa lương 300 đô/ngày không?" được thiết kế để bắt đầu một cuộc trò chuyện sau này chuyển hướng sang lừa đầu tư tiền mã hóa hoặc lừa làm nhiệm vụ. Một người lạ cứ tiếp tục trò chuyện sau khi bạn nói họ nhầm số là đang chạy theo một kịch bản.

Một lời đề nghị hoặc lời đe dọa không khớp với thực tế. Một giải thưởng cho cuộc thi bạn chưa từng tham gia, một khoản hoàn tiền bạn không được nợ, một khoản phí cầu đường cho con đường bạn chưa từng đi, hoặc một khoản phạt từ một cơ quan không nhắn tin. Khi câu chuyện không ăn khớp với cuộc sống của bạn, đó là mồi câu.

Nhận được một tin nhắn đáng ngờ có liên kết? Quét nó bằng Truvizy trước khi chạm vào. Bạn không bao giờ phải mở nó ra để biết nó có an toàn hay không.

Cách Truvizy phát hiện lừa đảo qua tin nhắn

Phần khó nhất của một tin nhắn lừa đảo là bạn thường không thể biết một liên kết có nguy hiểm hay không nếu không mở nó ra, mà mở nó ra chính là điều đặt bạn vào rủi ro. Phân tích bằng AI của Truvizy loại bỏ sự đánh đổi đó. Bạn có thể dán một liên kết đáng ngờ hoặc tải lên ảnh chụp màn hình tin nhắn, và Truvizy kiểm tra đích đến cùng tin nhắn để tìm các mẫu lừa đảo và dấu hiệu gian lận đã biết, tất cả mà bạn không bao giờ phải tự chạm vào liên kết.

Đối với liên kết, phân tích đa lớp của Truvizy kiểm tra URL đích, tìm các tên miền giả mạo và mới đăng ký, và so sánh với các mẫu thu thập thông tin đăng nhập đã biết, bắt được những trang ngân hàng và chuyển phát giả mà smishing dựa vào. Đối với ảnh chụp màn hình và phương tiện được chuyển tiếp, Truvizy đánh giá nội dung để tìm những dấu hiệu kinh điển của một tin nhắn lừa đảo. Hãy truy cập truvizy.app để quét bất kỳ tin nhắn đáng ngờ nào trong vài giây trước khi quyết định có nên tin nó hay không.

Truvizy được xây dựng cho đúng khoảnh khắc mô tả ở đầu bài viết này: năm giây giữa lúc nhận một tin nhắn và lúc phản ứng với nó. Thay vì đoán xem một tin nhắn có thật hay không, bạn nhận được một câu trả lời rõ ràng, nhanh chóng, điều đặc biệt hữu ích để bảo vệ những thành viên trong gia đình dễ hành động theo một cảnh báo giao hàng hoặc ngân hàng có sức thuyết phục.

Phải làm gì khi nhận một tin nhắn lừa đảo

Đừng chạm vào, và đừng trả lời. Không phải liên kết, không phải "STOP," không phải một câu hỏi. Bất kỳ phản hồi nào cũng xác nhận số của bạn đang hoạt động và bị theo dõi, điều thường làm tăng số lượng tin nhắn lừa đảo bạn nhận được thay vì giảm đi.

Xác minh qua một kênh độc lập. Nếu tin nhắn tự nhận là từ ngân hàng, hãng chuyển phát hoặc một cơ quan chính phủ, hãy tự tra cứu thông tin liên hệ thật của họ, qua ứng dụng chính thức hoặc bằng cách tự gõ địa chỉ trang web, và xác nhận tại đó. Đừng bao giờ dùng số điện thoại hoặc liên kết trong chính tin nhắn đáng ngờ đó.

Quét liên kết trước khi tin nó. Nếu bạn cần biết một liên kết có an toàn không, hãy dùng công cụ quét miễn phí của Truvizy thay vì tự mở trang. Chỉ mất vài giây và giúp bạn tránh xa hoàn toàn trang web độc hại.

Báo cáo tin nhắn. Tại Mỹ, hãy chuyển tiếp tin nhắn lừa đảo đến 7726 (viết thành SPAM), việc này cảnh báo nhà mạng của bạn. Sau đó gửi báo cáo cho FTC tại reportfraud.ftc.gov. Nếu bạn bị mất tiền, hãy gửi khiếu nại cho Trung tâm Khiếu nại Tội phạm Internet của FBI tại ic3.gov.

Chặn và xóa. Sau khi báo cáo, hãy chặn người gửi và xóa tin nhắn để bạn không vô tình chạm vào nó sau này.

Nếu bạn đã nhấp hoặc nhập thông tin: hãy đổi mật khẩu cho bất kỳ tài khoản nào liên quan từ một thiết bị khác, bật xác thực hai yếu tố bằng ứng dụng xác thực, và gọi cho ngân hàng bằng số ghi ở mặt sau thẻ nếu bạn đã chia sẻ thông tin tài chính. Nếu bạn đã nhập số An sinh Xã hội, hãy đặt cảnh báo gian lận hoặc đóng băng tín dụng với ba văn phòng tín dụng. Hướng dẫn của chúng tôi về lừa đảo tin nhắn smishing trình bày đầy đủ danh sách kiểm tra khôi phục.

Tin nhắn lừa đảo do AI viết giờ đây hoàn hảo về ngữ pháp. Phát hiện tự động cho bạn một lớp bảo vệ thứ hai đáng tin cậy.

Ghi chú phân tích chuyên gia: gian lận qua tin nhắn đã vượt email trở thành kênh lừa đảo phát triển nhanh nhất vì SMS kết hợp phạm vi tiếp cận gần như toàn dân với sự thân mật và tốc độ của một thiết bị mà người ta tin tưởng theo phản xạ. Các công cụ viết bằng AI đã xóa sạch những dấu hiệu chính tả và ngữ pháp từng vạch trần tin nhắn lừa đảo, nên các tín hiệu đáng tin cậy vào năm 2026 mang tính cấu trúc chứ không phải văn phong: ai gửi nó, liên kết thực sự dẫn đến đâu, và yêu cầu có hợp lý không. Những cá nhân xây dựng thói quen xác minh qua các kênh độc lập và quét các liên kết đáng ngờ trước khi hành động ít có khả năng trở thành nạn nhân hơn rất nhiều. Truvizy tồn tại để cung cấp lớp xác minh đó vào đúng khoảnh khắc phán đoán của con người chịu áp lực lớn nhất.

Smishing: Cách nhận biết lừa đảo qua tin nhắn — Phân tích đầy đủ các thủ đoạn lừa đảo qua SMS và danh sách kiểm tra khôi phục trọn vẹn nếu bạn đã phản hồi

Email này có phải lừa đảo không? Cách nhận biết trong 5 giây — Cùng phương pháp dấu hiệu cảnh báo áp dụng cho lừa đảo qua email: giả mạo người gửi, sự khẩn cấp, và các liên kết đáng ngờ

Lừa đảo WhatsApp năm 2026: 8 tin nhắn nguy hiểm nhất — Cách những thủ đoạn smishing tương tự chuyển sang các ứng dụng nhắn tin và cách chặn chúng