Giám sát tên miền giả mạo thương hiệu khi trang lừa đảo tăng 156%

Giám sát tên miền giả mạo là việc liên tục dò tìm các tên miền nhái thương hiệu của bạn (đổi một ký tự, thêm gạch nối, dùng chữ trông giống nhau, đổi đuôi tên miền), đánh giá tên nào đang được dùng để lừa đảo và yêu cầu gỡ bỏ trước khi khách hàng sập bẫy. Nhu cầu này tăng rõ trong cuối năm 2026: Viettel Threat Intelligence ghi nhận 4.793 tên miền lừa đảo trong quý III, tăng 20%, cùng 2.242 trang giả mạo, tăng 156% so với cùng kỳ 2025.

Con số quý III cho thấy kẻ gian đang làm gì

Theo số liệu được Báo Đầu tư dẫn lại từ báo cáo quý III/2026, các ngành bị giả mạo nhiều nhất là tài chính – ngân hàng, dịch vụ công và bán lẻ – thương mại điện tử. Đây đều là những nơi người dùng quen đăng nhập, nhập OTP hoặc thanh toán, nên một trang giả có giao diện giống thật là đủ để lấy được thứ kẻ gian cần.

Chênh lệch giữa tốc độ tăng của tên miền (20%) và của trang giả mạo (156%) cũng đáng suy nghĩ. Một tên miền có thể chứa nhiều trang giả, và công cụ dựng trang ngày càng rẻ. Kẻ gian không cần đăng ký thật nhiều tên miền mới; họ tận dụng tối đa từng tên miền đã có, thay giao diện theo mùa khuyến mãi, theo đợt chi trả an sinh hay theo kỳ nộp thuế.

Những kiểu tên miền nhái thường gặp

Hiểu các kiểu biến tấu giúp đội an ninh đặt quy tắc dò quét đúng chỗ. Có thể chia thành vài nhóm chính:

• Gõ nhầm (typosquatting): thiếu, thừa hoặc đảo một ký tự, ví dụ thay chữ m bằng rn.
• Ký tự đồng hình: dùng chữ cái của bảng mã khác trông giống chữ Latin, mắt thường rất khó phân biệt trên điện thoại.
• Ghép từ khóa: tên thương hiệu đi kèm các chữ như xac-thuc, hoan-tien, khuyen-mai, ho-tro.
• Đổi đuôi tên miền: giữ nguyên tên nhưng chuyển sang đuôi khác, nhất là các đuôi giá rẻ.
• Tên miền phụ đánh lừa: đặt tên thương hiệu ở phần đầu của một tên miền hoàn toàn khác để người xem chỉ đọc nửa đầu.

Quy trình giám sát gồm bốn lớp

Lớp 1: sinh danh sách biến thể

Bước đầu là tạo danh sách mọi biến thể khả dĩ của tên miền chính. Công cụ mã nguồn mở dnstwist là ví dụ dễ tiếp cận: nó sinh các biến thể theo nhiều thuật toán (trong đó có ký tự đồng hình và gạch nối), kiểm tra biến thể nào đã được đăng ký, tra bản ghi DNS và phát hiện máy chủ thư MX lạ có thể chặn bắt email gửi nhầm. Kết quả xuất được ra CSV hoặc JSON để đưa vào hệ thống theo dõi.

Lớp 2: lọc những tên miền thật sự đáng lo

Không phải tên miền giống tên bạn nào cũng là lừa đảo. Có thể là đại lý, người hâm mộ hay một doanh nghiệp trùng tên. Các tín hiệu nên chấm điểm gồm: tên miền mới đăng ký, có bản ghi MX (sẵn sàng gửi nhận email), có chứng chỉ TLS mới cấp, trang web có giao diện giống trang chính. dnstwist hỗ trợ so sánh băm mờ nội dung HTML và so sánh ảnh chụp màn hình bằng băm cảm quan, giúp phát hiện trang sao chép giao diện kể cả khi mã nguồn đã bị chỉnh sửa.

Lớp 3: theo dõi ngoài phạm vi tên miền

Trang giả ngày nay không chỉ nằm trên tên miền nhái. Chúng được phát tán qua tin nhắn SMS, quảng cáo mạng xã hội, nhóm chat và cả các diễn đàn ngầm nơi bộ kit lừa đảo được bán sẵn. Vì vậy giám sát thương hiệu hiệu quả cần kết hợp dữ liệu tên miền với dữ liệu thu thập từ nguồn mở, như cách trình bày trong bài thu thập dữ liệu nguồn mở OSINT.

Lớp 4: xử lý và gỡ bỏ

Khi đã xác định một trang lừa đảo, đội phụ trách cần lưu bằng chứng (ảnh chụp, thời điểm, thông tin đăng ký, địa chỉ IP), sau đó gửi yêu cầu gỡ đến nhà đăng ký tên miền, nhà cung cấp lưu trữ và nền tảng đang phát tán đường link. Song song, nên báo cáo đến cơ quan chức năng và cảnh báo khách hàng qua kênh chính thức.

Chỉ số đo hiệu quả nên theo dõi

Chỉ số cuối đặc biệt quan trọng. Nếu khách hàng thường xuyên là người báo trước, nghĩa là lớp dò quét đang chậm hoặc bỏ sót kênh phát tán.

Mùa cao điểm cuối năm cần chuẩn bị gì

Từ tháng 11 đến Tết Nguyên đán là giai đoạn giao dịch tăng mạnh: mùa giảm giá, thưởng cuối năm, chi trả lương tháng 13, đặt vé về quê. Kẻ gian thường đăng ký tên miền trước vài tuần rồi mới kích hoạt. Một số việc nên làm ngay:

1. Chủ động đăng ký trước các biến thể nguy hiểm nhất của tên miền chính, nhất là biến thể ghép với từ khuyến mãi hay hoàn tiền.
2. Cấu hình SPF, DKIM và DMARC ở chế độ từ chối để kẻ gian khó gửi email mạo danh từ chính tên miền thật.
3. Đăng một trang cảnh báo trên website, liệt kê các kênh liên hệ chính thức và nhắc khách không nhập OTP trên trang lạ.
4. Phân công người trực tiếp nhận báo cáo trang giả trong dịp nghỉ lễ, có quy trình gỡ bỏ rút gọn.

Khi nào nên thuê dịch vụ bên ngoài

Doanh nghiệp có một thương hiệu, ít giao dịch trực tuyến có thể tự chạy công cụ mã nguồn mở hằng tuần. Ngân hàng, ví điện tử, sàn thương mại điện tử hay chuỗi bán lẻ có nhiều thương hiệu con thì khối lượng cảnh báo lớn, cần đội phân tích trực liên tục và quan hệ sẵn với nhà đăng ký, nhà mạng để gỡ nhanh. Giám sát tên miền khi đó nên nằm trong gói dịch vụ tình báo tổng thể, đi cùng việc giám sát rò rỉ dữ liệu trên dark web, vì dữ liệu khách hàng bị lộ chính là danh sách nạn nhân mà các trang giả nhắm đến.

Điều cần nhớ là không có công cụ nào chặn được hoàn toàn trang giả mạo. Mục tiêu thực tế là rút ngắn vòng đời của mỗi trang lừa đảo từ vài tuần xuống vài giờ, để số người bị lừa ở mỗi đợt giảm đi đáng kể.