Khi nhân viên lỡ nhập mật khẩu vào trang đăng nhập giả, email bị lộ mật khẩu cần được xử lý trong 30 phút đầu: thu hồi phiên đăng nhập, đổi mật khẩu từ một máy sạch, xóa quy tắc chuyển tiếp lạ và cảnh báo người liên quan. Làm đúng thứ tự này thì kẻ tấn công thường chưa kịp dùng hộp thư để lừa tiếp khách hàng.
Vì sao 30 phút đầu quyết định thiệt hại?
Kẻ tấn công thường đăng nhập ngay sau khi lấy được mật khẩu, vì chúng biết nạn nhân có thể nhận ra và đổi mật khẩu bất cứ lúc nào. Việc đầu tiên chúng làm là đọc hộp thư để tìm hóa đơn, hợp đồng, rồi cài quy tắc tự chuyển tiếp email ra ngoài để vẫn đọc được thư sau khi bị đổi mật khẩu.
Báo cáo Data Breach Investigations Report 2025 của Verizon ghi nhận yếu tố con người có mặt trong khoảng 60% vụ rò rỉ dữ liệu, và việc lạm dụng thông tin đăng nhập bị đánh cắp xuất hiện trong gần một phần ba số vụ (Verizon DBIR 2025). Một cú nhấp nhầm không hiếm. Phản ứng chậm mới làm vụ việc lan rộng.
Cần hỏi nhân viên những gì trong 2 phút đầu?
Hỏi nhân viên đã nhập tài khoản nào và trên trang nào, rồi ghi lại giờ nhập. Nếu tab trình duyệt còn mở, chụp lại địa chỉ trang giả. Đừng xóa lịch sử duyệt web. Mốc thời gian nhân viên nhập mật khẩu giúp bạn biết cần xem nhật ký đăng nhập từ lúc nào.
Giữ thái độ bình tĩnh khi hỏi. Người bị lừa mà sợ bị phạt thường giấu chi tiết, và chính chi tiết đó quyết định bạn có chặn kịp hay không.
Đổi mật khẩu thế nào để kẻ tấn công bị đăng xuất?
Đổi mật khẩu từ một máy khác, không dùng máy của nhân viên vừa bị lừa. Sau đó thu hồi mọi phiên đăng nhập đang mở: đổi mật khẩu thôi thì chưa đủ, vì phiên cũ trên điện thoại hoặc trình duyệt của kẻ tấn công có thể vẫn còn hiệu lực.
- Microsoft 365: quản trị viên vào trang quản trị, chọn người dùng, bấm đăng xuất khỏi tất cả phiên. Hướng dẫn chính thức của Microsoft khuyến nghị tạm khóa tài khoản cho đến khi điều tra xong (Microsoft Learn).
- Google Workspace: quản trị viên mở hồ sơ người dùng, đặt lại mật khẩu và đăng xuất người dùng khỏi các thiết bị.
- Email tên miền chạy trên hosting riêng: đổi mật khẩu trong trang quản lý hosting và hỏi nhà cung cấp cách ngắt các kết nối IMAP đang mở.
Kiểm tra hộp thư để biết kẻ tấn công đã làm gì?
Mở mục Thư đã gửi, lọc các email gửi đi sau thời điểm nhân viên nhập mật khẩu. Kẻ tấn công hay dùng hộp thư vừa chiếm được để gửi tiếp email lừa cho danh bạ, vì người nhận tin địa chỉ quen.
Sau đó xem quy tắc hộp thư (Inbox rules) và cài đặt chuyển tiếp. Microsoft liệt kê quy tắc tự chuyển tiếp ra địa chỉ lạ, hoặc tự chuyển thư vào thư mục Ghi chú, Thư rác, RSS, là dấu hiệu thường gặp của tài khoản bị chiếm. Xóa mọi quy tắc nhân viên không tự đặt.
Cuối cùng mở nhật ký đăng nhập, ghi lại địa chỉ IP và quốc gia lạ, và xem có thiết bị xác thực hai lớp nào vừa được thêm vào không. Kẻ tấn công đôi khi đăng ký điện thoại của chúng làm phương thức xác thực để quay lại sau.
Cảnh báo ai, và khi nào phải báo cáo?
Gửi thông báo nội bộ ngắn gọn: có email giả mạo đang lưu hành, mô tả tiêu đề email, nhắc mọi người không nhập mật khẩu ở đâu ngoài trang đăng nhập chính thức. Nếu hộp thư đã gửi email lừa ra ngoài, gọi điện cho những khách hàng có trong danh sách nhận, ưu tiên khách đang có giao dịch thanh toán.
Nếu hộp thư chứa dữ liệu cá nhân của khách hàng hoặc nhân viên, hãy rà lại nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 1/1/2026 (LuatVietnam). Mức phạt với một số vi phạm có thể lên tới 5% doanh thu năm liền trước, nên việc ghi chép lại các bước xử lý ngay từ đầu có giá trị.
Làm gì để lần sau không lặp lại?
Bật xác thực hai lớp cho toàn bộ tài khoản công ty, bắt đầu từ email và tài khoản ngân hàng. Microsoft công bố tài khoản dùng xác thực đa yếu tố ít bị chiếm đoạt hơn 99,9% so với tài khoản chỉ dùng mật khẩu (Microsoft Security Blog). Con số này không tuyệt đối: các trang lừa đảo kiểu mới có thể đánh cắp cả mã xác thực, nên đào tạo nhận diện email giả vẫn cần làm.
Sau sự cố, tổ chức một buổi chia sẻ ngắn dựa trên chính email giả vừa nhận. Đừng biến buổi đó thành buổi phê bình người bị lừa. Nhân viên chỉ báo sự cố sớm khi họ tin mình sẽ không bị trách phạt.
[cần xác nhận: ví dụ thực tế từ đội kỹ thuật GPIT về một vụ tài khoản email bị chiếm và thời gian xử lý]Câu hỏi thường gặp
Đã đổi mật khẩu rồi, có cần làm gì thêm không?
Có. Cần thu hồi các phiên đăng nhập đang mở và xóa quy tắc chuyển tiếp lạ. Nếu bỏ qua, kẻ tấn công vẫn đọc được thư qua phiên cũ hoặc qua bản sao được chuyển tiếp.
Máy của nhân viên bị lừa có bị nhiễm mã độc không?
Trang đăng nhập giả thường chỉ lấy mật khẩu. Nếu nhân viên có tải hoặc mở tệp đính kèm, hãy ngắt mạng máy đó và quét bằng phần mềm diệt virus trước khi dùng lại.
Doanh nghiệp không có IT riêng thì ai làm các bước này?
Người giữ tài khoản quản trị email (thường là chủ doanh nghiệp hoặc kế toán trưởng) làm được các bước đổi mật khẩu, đăng xuất phiên và xem quy tắc hộp thư. Phần đọc nhật ký đăng nhập và đánh giá phạm vi rò rỉ nên có người có chuyên môn hỗ trợ.
Xác thực hai lớp qua SMS có đủ an toàn không?
SMS tốt hơn không có gì. Ứng dụng xác thực hoặc khóa bảo mật vật lý chống lừa đảo tốt hơn vì không bị chặn qua SIM.
Cần hỗ trợ xử lý sự cố tài khoản email hoặc rà soát bảo mật cho văn phòng, xem thêm dịch vụ IT tại gpit.vn. [cần xác nhận: thời gian phản hồi sự cố GPIT cam kết]
GPIT, Công ty TNHH Đầu tư Giải pháp IT, 32 Trương Phước Phan, P. Bình Trị Đông, TP.HCM. Hotline 0945 886 818. Email info@gpit.vn. Website https://gpit.vn.
