Một tiện ích trình duyệt được quảng cáo là "hỗ trợ bán hàng", "tải ảnh sản phẩm hàng loạt" hay "quản lý nhiều tài khoản quảng cáo" hoàn toàn có thể đọc cookie và phiên đăng nhập của bạn, rồi gửi ra ngoài. Kẻ gian dùng phiên đó để vào thẳng fanpage, trình quản lý quảng cáo hay kênh người bán mà không cần mật khẩu, không cần mã 2FA, vì với hệ thống, đó vẫn là trình duyệt đã đăng nhập của bạn. Cách phòng là chọn tiện ích thật khắt khe, kiểm tra quyền nó xin, tách riêng một hồ sơ trình duyệt chỉ dùng cho công việc, và biết đăng xuất mọi phiên ngay khi nghi ngờ.
Phiên đăng nhập là gì và vì sao lấy được nó thì vượt qua 2FA
Khi bạn đăng nhập Facebook, Shopee hay Gmail và nhập đúng mã xác thực, trang web không bắt bạn nhập lại ở mỗi lần bấm. Thay vào đó, nó lưu trong trình duyệt một "thẻ ra vào" dưới dạng cookie phiên. Mỗi lần mở trang, trình duyệt tự đưa thẻ này ra.
Xác thực hai yếu tố bảo vệ khâu đăng nhập. Nó không bảo vệ thẻ ra vào đã được cấp sau khi đăng nhập xong. Nếu một tiện ích có quyền đọc dữ liệu trên trang web, nó có thể sao chép cookie đó và gửi về máy chủ của kẻ gian. Họ nạp cookie vào trình duyệt của họ và xuất hiện như thể đang ngồi trước máy bạn. Vì thế có shop bật 2FA đầy đủ vẫn mất trình quản lý quảng cáo.
Điều này không có nghĩa 2FA vô dụng. Bài bật 2FA cho tài khoản bán hàng vẫn là lớp nền bắt buộc. Chỉ là cần thêm một lớp nữa: kiểm soát những gì chạy bên trong trình duyệt.
Những tiện ích "hữu ích" hay bị gài mã độc
Kẻ gian không cần viết một tiện ích trông đáng ngờ. Họ đánh đúng vào việc người bán đang thấy mệt và muốn làm nhanh hơn. Các nhóm thường gặp:
- Tải ảnh, video sản phẩm từ sàn khác hoặc từ trang nhà cung cấp, xóa logo, tải hàng loạt về máy.
- Quản lý nhiều tài khoản quảng cáo, chuyển đổi nhanh giữa nhiều fanpage, xem "tài khoản quảng cáo bị khóa vì sao".
- Trả lời tin nhắn tự động, chốt đơn nhanh, gắn thẻ khách, xuất danh sách bình luận.
- Bản "mở khóa", bản "pro miễn phí" của một công cụ trả phí nổi tiếng, được chia sẻ trong nhóm người bán dưới dạng tệp nén kèm hướng dẫn cài thủ công.
Có hai đường lây phổ biến. Đường thứ nhất là tiện ích ngay từ đầu đã được làm ra để lấy dữ liệu, chỉ khoác vỏ công cụ bán hàng. Đường thứ hai khó thấy hơn: một tiện ích từng tử tế, nhiều người dùng, sau đó đổi chủ hoặc nhà phát triển bị chiếm tài khoản, và một bản cập nhật tự động lặng lẽ thêm mã đánh cắp.
Đường cài thủ công qua tệp nén đặc biệt nguy hiểm. Hướng dẫn kiểu "bật chế độ nhà phát triển, kéo thư mục vào trang tiện ích" đồng nghĩa với việc bỏ qua mọi khâu kiểm duyệt của cửa hàng tiện ích. Tình huống này gần giống chiêu dụ cài phần mềm lạ đã nói trong bài tệp "đơn hàng", "hóa đơn" chứa mã độc: cái cớ khác, cái bẫy giống nhau.
Đọc màn hình xin quyền trước khi bấm "Thêm"
Khi cài một tiện ích, trình duyệt hiện danh sách quyền nó yêu cầu. Đây là chỗ đáng dừng lại lâu nhất. Một số quyền cần cảnh giác:
| Lời cảnh báo bạn thấy | Ý nghĩa thực tế | Nên nghĩ gì |
|---|---|---|
| Đọc và thay đổi tất cả dữ liệu của bạn trên mọi trang web | Tiện ích nhìn thấy và sửa được nội dung ở mọi trang, kể cả trang ngân hàng, fanpage, kênh người bán | Chỉ chấp nhận khi công dụng thật sự cần, và nhà phát triển rất rõ ràng |
| Đọc và thay đổi dữ liệu trên một vài trang cụ thể | Giới hạn trong các tên miền được liệt kê | Kiểm tra danh sách tên miền có khớp công dụng không |
| Quản lý ứng dụng, tiện ích và chủ đề | Có thể bật, tắt tiện ích khác | Gần như không công cụ bán hàng nào cần quyền này |
| Đọc dữ liệu bạn sao chép và dán | Thấy mật khẩu, mã OTP, số tài khoản bạn vừa sao chép | Rất đáng ngờ nếu công dụng không liên quan |
Một nguyên tắc dễ nhớ: quyền xin phải tương xứng với việc làm. Công cụ đổi màu giao diện mà đòi đọc mọi trang web là dấu hiệu xấu. Công cụ tải ảnh từ một sàn mà đòi quyền trên mọi trang cũng nên đặt câu hỏi.
Tiêu chí chọn một tiện ích bán hàng
Trước khi cài, dành vài phút kiểm tra:
- Nguồn cài. Chỉ cài từ cửa hàng tiện ích chính thức của trình duyệt. Không cài từ tệp nén gửi qua Zalo, Telegram, nhóm Facebook hay đường link rút gọn.
- Nhà phát triển. Có trang web riêng, có chính sách quyền riêng tư, có thông tin liên hệ rõ ràng. Một tài khoản phát triển vô danh chỉ có đúng một tiện ích là điểm trừ.
- Đánh giá gần đây. Đọc các nhận xét mới nhất, không chỉ điểm trung bình. Những câu như "tự nhiên bị đăng xuất", "tài khoản quảng cáo bị lạ" sau một bản cập nhật là tín hiệu cần gỡ ngay.
- Thật sự cần không. Nhiều việc làm được bằng tính năng có sẵn của sàn hoặc của Meta Business Suite. Mỗi tiện ích bớt đi là một cánh cửa bớt đi.
Với công cụ quản lý nhiều tài khoản quảng cáo, nên ưu tiên dùng chính trình quản lý doanh nghiệp của nền tảng để phân quyền thay vì nhờ tiện ích bên thứ ba "gộp" các tài khoản. Cách chia quyền cho nhân viên đã có trong bài chia quyền tài khoản shop, không chia mật khẩu.
Tách một hồ sơ trình duyệt chỉ để làm việc
Chrome, Edge, Firefox đều cho phép tạo nhiều hồ sơ (profile) trên cùng một máy. Mỗi hồ sơ có cookie, mật khẩu đã lưu, lịch sử và tiện ích riêng, không nhìn thấy nhau. Đây là cách rẻ nhất để giới hạn thiệt hại.
Gợi ý chia hồ sơ cho một shop nhỏ:
- Hồ sơ "Shop": chỉ đăng nhập email cửa hàng, fanpage, trình quản lý quảng cáo, kênh người bán, ngân hàng của shop. Không cài tiện ích nào, hoặc chỉ một hai tiện ích thật sự cần như trình quản lý mật khẩu.
- Hồ sơ "Công cụ": nơi thử tiện ích tải ảnh, theo dõi đối thủ, nghiên cứu sản phẩm. Không đăng nhập bất kỳ tài khoản quan trọng nào ở đây.
- Hồ sơ "Cá nhân": Facebook cá nhân, giải trí, mua sắm.
Nếu một tiện ích trong hồ sơ "Công cụ" có vấn đề, nó không thấy được cookie của fanpage nằm ở hồ sơ "Shop". Đặt màu và tên khác nhau cho từng hồ sơ để không đăng nhập nhầm chỗ.
Với máy dùng chung, thống nhất quy định: chỉ chủ shop được thêm tiện ích vào hồ sơ làm việc.
Rà soát tiện ích đang cài: việc làm mỗi tháng
Mở trang quản lý tiện ích (trên Chrome là gõ chrome://extensions vào thanh địa chỉ, Edge là edge://extensions) và đi qua từng mục:
- Tiện ích nào không còn dùng: gỡ hẳn, không chỉ tắt.
- Tiện ích nào bạn không nhớ đã cài: gỡ và kiểm tra xem máy có phần mềm lạ không.
- Mở "Chi tiết" từng tiện ích, xem quyền truy cập trang web. Nhiều trình duyệt cho đổi sang "Khi nhấp vào tiện ích" hoặc "Trên các trang web cụ thể" thay vì "Trên tất cả các trang web".
- Tiện ích ghi "do tổ chức quản lý" trên máy cá nhân mà không ai cài cho là dấu hiệu máy đã bị can thiệp.
Dấu hiệu phiên đăng nhập có thể đã bị lấy
- Trong lịch sử đăng nhập của Facebook, Google hay sàn xuất hiện thiết bị, trình duyệt hoặc vị trí lạ, dù bạn không nhận được yêu cầu mã 2FA nào.
- Tài khoản quảng cáo có chiến dịch lạ, ngân sách bị đẩy lên, phương thức thanh toán bị thêm.
- Fanpage có quản trị viên mới, hoặc bạn bị hạ quyền.
- Email cửa hàng có bộ lọc chuyển tiếp hoặc quy tắc tự xóa thư mà bạn không tạo.
Nghi bị lấy phiên: làm theo thứ tự
- Gỡ tiện ích nghi vấn trước tiên, nếu không nó sẽ lấy lại phiên mới ngay khi bạn đăng nhập lại.
- Dùng một thiết bị khác sạch (ví dụ điện thoại không cài gì lạ) để đổi mật khẩu email cửa hàng, sau đó đến Facebook, trình quản lý doanh nghiệp, các sàn.
- Đăng xuất khỏi mọi phiên: Google, Facebook và hầu hết sàn đều có mục xem thiết bị đang đăng nhập và nút đăng xuất tất cả.
- Kiểm tra quyền và cài đặt: quản trị viên fanpage, người dùng trong trình quản lý doanh nghiệp, phương thức thanh toán quảng cáo, tài khoản ngân hàng nhận tiền trên sàn, quy tắc chuyển tiếp email.
- Xóa dữ liệu duyệt web của hồ sơ bị ảnh hưởng, hoặc xóa hẳn hồ sơ đó và tạo hồ sơ mới.
- Quét máy bằng phần mềm chống mã độc, phòng khi tiện ích đi kèm phần mềm tự cài lại.
- Báo cho nền tảng qua kênh hỗ trợ chính thức nếu đã mất quyền quản trị, và giữ ảnh chụp các thay đổi lạ làm bằng chứng.
Nếu tình hình đã đi xa tới mức mất tiền hoặc mất Trang, xem tiếp hướng dẫn 24 giờ đầu khi shop vừa bị lừa.
Câu hỏi thường gặp
Tiện ích có trên cửa hàng chính thức thì có chắc an toàn không?
Không chắc chắn hoàn toàn. Cửa hàng chính thức có kiểm duyệt nhưng vẫn có tiện ích độc lọt qua, hoặc tiện ích tốt bị đổi chủ rồi cập nhật thêm mã xấu. Nguồn chính thức chỉ là điều kiện tối thiểu, vẫn cần xem quyền và đánh giá gần đây.
Dùng chế độ ẩn danh có tránh được tiện ích đánh cắp phiên không?
Mặc định nhiều trình duyệt không chạy tiện ích trong cửa sổ ẩn danh, trừ khi bạn cho phép. Nhưng ẩn danh xóa phiên khi đóng cửa sổ nên bất tiện cho việc bán hàng hằng ngày. Một hồ sơ trình duyệt riêng không cài tiện ích là giải pháp bền hơn.
Khóa bảo mật vật lý có chặn được kiểu tấn công này không?
Khóa bảo mật chống rất tốt trang đăng nhập giả, nhưng khi kẻ gian đã có cookie phiên hợp lệ thì họ không cần đăng nhập lại. Một số nền tảng sẽ yêu cầu xác thực lại với thao tác nhạy cảm như đổi quản trị viên, nên khóa vẫn giúp hạn chế phần nào.
Điện thoại có bị tiện ích đánh cắp phiên không?
Trình duyệt trên điện thoại ít hỗ trợ tiện ích hơn máy tính, nên rủi ro này chủ yếu nằm ở máy tính. Tuy vậy điện thoại vẫn có thể bị lấy dữ liệu qua ứng dụng lạ hoặc trình duyệt bên thứ ba, nên chỉ cài ứng dụng từ kho chính thức.
Lưu ý: Tên menu và tính năng của sàn, mạng xã hội, ngân hàng có thể thay đổi theo phiên bản. Khi có nghi ngờ, hãy kiểm tra trực tiếp trong ứng dụng hoặc kênh hỗ trợ chính thức của nền tảng, không làm theo hướng dẫn từ tin nhắn hay cuộc gọi lạ.
