Phishing nhắm vào người bán hàng online: nhận diện thông báo giả sàn

Phishing nhắm vào người bán hàng online thường đến dưới dạng email, tin nhắn SMS hoặc Zalo giả danh sàn thương mại điện tử, báo rằng gian hàng của bạn vi phạm chính sách, cần xác minh gấp hoặc phải cập nhật tài khoản nhận tiền. Cách nhận diện nhanh nhất: mọi thông báo thật về gian hàng đều xuất hiện bên trong Kênh Người Bán chính thức, nên trước khi bấm bất kỳ link nào, hãy tự mở ứng dụng hoặc trang quản lý shop và kiểm tra ở đó. Nếu trong kênh chính thức không có gì, tin nhắn kia gần như chắc chắn là giả.

Bài này dành cho chủ shop bán qua Shopee, TikTok Shop, Lazada, fanpage hay Zalo: kẻ gian nói gì, vì sao người bán dễ mắc bẫy hơn người mua, và cách kiểm tra một thông báo mà không cần rành công nghệ.

Vì sao kẻ gian chuyển sang nhắm vào người bán

Một tài khoản người bán đáng giá hơn nhiều so với một tài khoản người mua. Chiếm được gian hàng, kẻ gian có thể đổi tài khoản ngân hàng nhận doanh thu, rút số dư đang chờ đối soát, đăng sản phẩm lừa đảo dưới tên một shop đã có đánh giá tốt, hoặc lấy danh sách khách hàng để lừa tiếp.

Người bán cũng có những điểm yếu rất riêng:

• Sợ bị khóa shop. Gian hàng là nguồn thu nhập, chỉ cần nghe “tạm ngưng hoạt động” là nhiều người hoảng và làm theo ngay.
• Nhận quá nhiều thông báo. Sàn liên tục gửi thông báo về chính sách, chương trình khuyến mãi, phí dịch vụ, nên một tin giả lẫn vào rất khó phân biệt.
• Thông tin shop công khai. Tên shop, số điện thoại, email liên hệ, ngành hàng đều có thể tìm thấy, giúp kẻ gian viết tin nhắn có vẻ “đúng người đúng việc”.
• Nhiều người cùng đăng nhập. Nhân viên trực đơn, người nhà phụ bán, dịch vụ chạy quảng cáo đều có thể là người bấm nhầm link.

Ba kịch bản giả danh sàn hay gặp

“Gian hàng vi phạm chính sách, sẽ bị khóa trong 24 giờ”

Tin nhắn thường nêu một lỗi nghe hợp lý: đăng hàng giả, vi phạm bản quyền hình ảnh, tỷ lệ hủy đơn cao, bị khách khiếu nại. Kèm theo là một đường link “kháng nghị” hoặc “giải trình”. Trang mở ra trông giống trang đăng nhập của sàn, yêu cầu tên đăng nhập, mật khẩu và mã OTP. Thực chất đó là trang thu thập thông tin. Áp lực thời gian (24 giờ, 48 giờ) là chi tiết cố ý để bạn không kịp suy nghĩ.

“Xác minh gian hàng / xác minh danh tính chủ shop”

Kẻ gian đề nghị bạn chụp căn cước hai mặt, quay video khuôn mặt hoặc gửi giấy chứng nhận đăng ký hộ kinh doanh qua Zalo, Telegram hay một biểu mẫu lạ. Có biến thể yêu cầu cài một ứng dụng “hỗ trợ xác minh”. Giấy tờ này sau đó có thể bị dùng để mở tài khoản, vay tiền hoặc vượt qua bước xác minh khi chiếm tài khoản của chính bạn.

“Cập nhật tài khoản nhận tiền để không bị treo doanh thu”

Đây là kịch bản nguy hiểm nhất vì nhắm thẳng vào dòng tiền. Tin nhắn báo tài khoản ngân hàng liên kết “không hợp lệ”, “sai tên chủ tài khoản” hoặc “cần đồng bộ theo quy định mới”, yêu cầu đăng nhập để cập nhật. Khi có mật khẩu và OTP, kẻ gian thay tài khoản nhận tiền bằng tài khoản của chúng và chờ đợt thanh toán kế tiếp.

Thông báo thật của sàn nằm ở đâu

Mỗi sàn có một nơi riêng để giao tiếp với người bán, thường gọi là Kênh Người Bán hoặc Seller Center, có cả bản web và ứng dụng. Những việc liên quan đến vi phạm, xác minh hay tài khoản nhận tiền đều được thể hiện ở đó:

• Mục thông báo trong Kênh Người Bán: nơi sàn đăng cảnh báo vi phạm, yêu cầu bổ sung giấy tờ, thay đổi chính sách.
• Trang sức khỏe hoặc hiệu quả hoạt động của shop: nếu thật sự có điểm phạt hay sản phẩm bị gỡ, bạn sẽ thấy ở đây.
• Mục tài chính, ví hoặc tài khoản ngân hàng: nếu thông tin nhận tiền có vấn đề, trạng thái sẽ hiển thị ngay trong mục này.
• Kênh hỗ trợ người bán chính thức: truy cập từ bên trong ứng dụng hoặc trang quản lý, không qua link ai đó gửi.

Với fanpage bán hàng, nguyên tắc tương tự: cảnh báo thật về trang hiển thị trong mục chất lượng tài khoản và hộp thư hỗ trợ của công cụ quản lý trang, không đến qua tin nhắn Messenger từ một trang có tên “Meta Support” hay “Facebook Bảo Mật”. Thủ đoạn chiếm fanpage qua kiểu tin nhắn này được phân tích kỹ hơn trong bài lừa đảo chiếm đoạt tài khoản mạng xã hội qua link lạ.

Quy tắc nằm lòng: nhận cảnh báo ở đâu cũng được, nhưng chỉ xử lý ở trong Kênh Người Bán, mở bằng ứng dụng đã cài sẵn hoặc địa chỉ bạn tự gõ.

Soi một tin nhắn đáng ngờ trong một phút

Khi nhận tin báo vi phạm hay yêu cầu xác minh, đừng bấm gì cả. Đặt điện thoại xuống và đi lần lượt qua các câu hỏi sau:

1. Tin đến từ kênh nào? Sàn không liên hệ người bán qua tài khoản Zalo cá nhân, Telegram hay Messenger của một người lạ để xử lý vi phạm.
2. Địa chỉ người gửi và đường link có đúng tên miền của sàn không? Chú ý tên miền thêm chữ như “-seller”, “-support”, “-verify”, đuôi lạ, hoặc link rút gọn che địa chỉ thật. Nhấn giữ link trên điện thoại để xem địa chỉ trước khi mở.
3. Có yêu cầu mã OTP không? Không nhân viên sàn nào cần bạn đọc hay gửi OTP. Mã đó chỉ để bạn nhập vào ứng dụng chính thức.
4. Có đòi chuyển tiền để “mở khóa” hay “nộp phí kháng nghị” không? Phí và khoản phạt thật của sàn được trừ trong số dư hoặc thể hiện trong mục tài chính, không yêu cầu chuyển khoản vào tài khoản cá nhân.
5. Mở Kênh Người Bán, có thấy cùng thông báo không? Đây là bước quyết định. Không thấy, nghĩa là tin kia là giả.

Lỗi chính tả hay logo mờ chỉ là dấu hiệu phụ, vì tin giả ngày càng chỉn chu. Kiểm tra trong kênh chính thức mới là cách chắc chắn.

Khi email lừa đảo đi kèm tệp đính kèm

Không phải tin giả nào cũng dẫn tới trang đăng nhập. Một số gửi kèm tệp “biên bản vi phạm”, “danh sách sản phẩm bị gỡ” hay “hướng dẫn xác minh” dạng nén hoặc tài liệu có macro. Mở tệp có thể cài phần mềm đánh cắp mật khẩu đã lưu trên trình duyệt, kể cả mật khẩu tài khoản ngân hàng. Cách nhận diện các tệp kiểu này được viết riêng trong bài file đơn hàng, hóa đơn chứa mã độc gửi tới chủ shop.

Lỗ hổng nằm ở người cùng quản lý shop

Chủ shop có thể rất cảnh giác, nhưng nhân viên trực đơn ca tối thì chưa chắc. Kẻ gian không cần biết ai là chủ, chỉ cần một người có quyền đăng nhập bấm vào link. Vài việc nên làm:

• Dặn mọi người cùng một quy tắc: thông báo vi phạm, xác minh, tài khoản nhận tiền thì báo chủ shop, không tự xử lý.
• Dùng tính năng tài khoản phụ hoặc phân quyền của sàn thay vì đưa chung mật khẩu tài khoản chính. Cách làm cụ thể có trong bài về mật khẩu và chia sẻ quyền truy cập với nhân viên.
• Chỉ chủ shop được quyền thay đổi tài khoản ngân hàng nhận tiền.
• Bật xác thực hai lớp cho tài khoản chính và email đăng ký shop, để dù lộ mật khẩu kẻ gian vẫn khó đăng nhập.

Lỡ bấm link, nhập mật khẩu hoặc gửi OTP thì làm gì

Làm ngay, theo thứ tự:

1. Đổi mật khẩu tài khoản người bán ngay, từ ứng dụng chính thức. Nếu email đăng ký shop dùng chung mật khẩu đó, đổi luôn mật khẩu email.
2. Đăng xuất khỏi mọi thiết bị nếu sàn có tùy chọn này, rồi kiểm tra danh sách thiết bị đăng nhập.
3. Kiểm tra mục tài khoản ngân hàng nhận tiền. Nếu đã bị thay, liên hệ bộ phận hỗ trợ người bán qua kênh trong ứng dụng ngay lập tức để yêu cầu tạm giữ thanh toán.
4. Xem lại sản phẩm, giá, thông tin shop xem có gì bị sửa, có sản phẩm lạ nào được đăng không.
5. Nếu đã gửi ảnh căn cước, ghi nhớ thời điểm và nơi đã gửi, theo dõi các tin nhắn vay tiền hay mở tài khoản đứng tên bạn.
6. Báo cho ngân hàng nếu nghi ngờ thông tin tài khoản ngân hàng cũng bị lộ.

Các bước trình báo cơ quan chức năng và lưu giữ chứng cứ được hướng dẫn trong bài cách xử lý nhanh khi phát hiện bị lừa đảo. Chụp lại tin nhắn giả, địa chỉ trang giả và thời gian nhận được trước khi xóa, vì đó là bằng chứng hữu ích khi làm việc với sàn.