Chúng ta thường nghĩ lừa đảo trên mạng bắt đầu từ một đường link độc hại hay một cuộc gọi giả danh. Thực ra đó chỉ là đạo cụ. Thứ quyết định thành bại của kẻ lừa đảo lại là một thứ vô hình hơn nhiều, đó chính là một kịch bản khiến ta mất bình tĩnh và tự nguyện làm đúng từng bước chúng mong muốn.
Kịch bản được viết rất kỹ
Gần như mọi vụ lừa đảo hiện nay đều đi theo cùng một cấu trúc. Mở đầu luôn là một cú sốc: tài khoản bị khóa, đơn hàng có vấn đề, người thân đang cấp cứu, công an điều tra, ngân hàng phát hiện giao dịch bất thường. Khi cảm xúc chiếm quyền điều khiển, não bộ chuyển sang chế độ phản ứng nhanh thay vì suy nghĩ logic.
Kẻ lừa đảo không cần ép buộc. Chúng chỉ cần liên tục đưa ra những mệnh lệnh nhỏ: bấm vào đây, quét mã này, đọc mã OTP, cài ứng dụng kia. Mỗi bước riêng lẻ đều có vẻ hợp lý, nhưng cả chuỗi hành động lại dẫn thẳng đến việc mất tiền hoặc mất quyền kiểm soát điện thoại.
Kẻ lừa đảo không cần ép buộc. Chúng chỉ cần liên tục đưa ra những mệnh lệnh nhỏ: bấm vào đây, quét mã này, đọc mã OTP, cài ứng dụng kia. Mỗi bước riêng lẻ đều có vẻ hợp lý, nhưng cả chuỗi hành động lại dẫn thẳng đến việc mất tiền hoặc mất quyền kiểm soát điện thoại.
Lòng tin mở cửa, sợ hãi khóa tư duy
Nguyên tắc trong an ninh mạng, con người luôn là mắt xích dễ khai thác nhất. Không phải vì chúng ta thiếu thông minh mà vì ai cũng có những điểm yếu giống nhau: sợ hãi, tham lợi, tò mò, hoặc muốn giải quyết vấn đề thật nhanh. Deepfake, AI giả giọng nói hay website giả mạo chỉ là công cụ hiện đại; bản chất của kỹ thuật xã hội suốt hàng chục năm qua vẫn là thao túng cảm xúc để điều khiển hành vi.
Theo quan điểm cá nhân của tôi, nếu phải chỉ ra một yếu tố đáng lo ngại hơn giữa sợ hãi và lòng tin, thì đó là lòng tin bị đặt sai chỗ vì nó thường đến trước và mở đường cho mọi thứ sau đó.
Lòng tin là thứ mở cửa. Nếu không có nó, sẽ không ai nghe máy, không ai đọc tin nhắn giả danh ngân hàng, không ai tin đầu dây bên kia là công an. Kẻ lừa đảo phải giả mạo được sự tin cậy trước: số điện thoại giống tổng đài thật, giọng nói AI giống người thân, giao diện web giống hệt ngân hàng.
Sợ hãi là thứ khóa tư duy. Một khi đã qua được cửa tin cậy, sợ hãi mới là công cụ ép người ta hành động ngay lập tức, không kịp kiểm chứng.
Khi một người đã đặt lòng tin tuyệt đối vào một "thẩm quyền" nào đó (công an, ngân hàng, cơ quan nhà nước hay một mối quan hệ như con cái, người yêu, cấp trên...), họ sẽ không còn coi cảm giác lo sợ là tín hiệu nguy hiểm nữa mà coi đó là tín hiệu cần tuân thủ ngay. Nói cách khác, lòng tin đã vô hiệu hóa chính cái "phanh" mà nỗi sợ đáng lẽ phải tự nhiên kích hoạt.
Theo quan điểm cá nhân của tôi, nếu phải chỉ ra một yếu tố đáng lo ngại hơn giữa sợ hãi và lòng tin, thì đó là lòng tin bị đặt sai chỗ vì nó thường đến trước và mở đường cho mọi thứ sau đó.
Lòng tin là thứ mở cửa. Nếu không có nó, sẽ không ai nghe máy, không ai đọc tin nhắn giả danh ngân hàng, không ai tin đầu dây bên kia là công an. Kẻ lừa đảo phải giả mạo được sự tin cậy trước: số điện thoại giống tổng đài thật, giọng nói AI giống người thân, giao diện web giống hệt ngân hàng.
Sợ hãi là thứ khóa tư duy. Một khi đã qua được cửa tin cậy, sợ hãi mới là công cụ ép người ta hành động ngay lập tức, không kịp kiểm chứng.
Khi một người đã đặt lòng tin tuyệt đối vào một "thẩm quyền" nào đó (công an, ngân hàng, cơ quan nhà nước hay một mối quan hệ như con cái, người yêu, cấp trên...), họ sẽ không còn coi cảm giác lo sợ là tín hiệu nguy hiểm nữa mà coi đó là tín hiệu cần tuân thủ ngay. Nói cách khác, lòng tin đã vô hiệu hóa chính cái "phanh" mà nỗi sợ đáng lẽ phải tự nhiên kích hoạt.
Đây cũng là lý do các vụ lừa đảo nhắm vào người lớn tuổi thường hiệu quả hơn, không hẳn vì họ kém hiểu biết công nghệ mà vì họ có xu hướng mặc định tin tưởng cơ quan có thẩm quyền hơn thế hệ trẻ, thế hệ trẻ có thể hoài nghi hơn.
Nguyên tắc vàng khi dùng mạng xã hội
Từ những phân tích trên, tôi cho rằng nguyên tắc vàng quan trọng nhất khi sử dụng mạng xã hội không phải là ghi nhớ thật nhiều thủ đoạn lừa đảo vì ngày mai chúng sẽ đổi cách khác, tinh vi hơn, khó nhận ra hơn. Điều thực sự cần rèn luyện là một phản xạ:
Mười giây bình tĩnh đôi khi có giá trị hơn cả một phần mềm bảo mật đắt tiền, bởi nó cắt đứt kịch bản ngay từ bước đầu tiên. Cụ thể, phản xạ này có thể chia thành ba lớp phòng vệ:
1. Nghi ngờ chính cảm giác cấp bách. Bất cứ khi nào một tin nhắn, cuộc gọi hay bài đăng tạo cảm giác "phải hành động ngay lập tức", đó chính là dấu hiệu cảnh báo rõ ràng nhất bất kể nội dung là gì. Kẻ lừa đảo thật sự sợ nhất là thời gian, vì thời gian cho phép ta suy nghĩ.
2. Không xác thực danh tính qua chính kênh liên lạc đang được sử dụng. Nếu ai đó tự xưng là ngân hàng, công an, hay người thân qua điện thoại/tin nhắn, đừng xác minh bằng cách gọi lại số họ vừa cung cấp. Hãy chủ động tìm số chính thức từ nguồn độc lập (ứng dụng ngân hàng, tổng đài công khai, gọi trực tiếp cho người thân qua số đã lưu từ trước).
3. Không có tổ chức hợp pháp nào yêu cầu đọc mã OTP hoặc cài ứng dụng lạ để "xác minh". Đây gần như là quy tắc bất biến. Ngân hàng, công an, hay bất kỳ cơ quan nào cũng không bao giờ cần bạn đọc mã OTP qua điện thoại hoặc cài phần mềm điều khiển từ xa để "giải quyết sự cố".
Quyết định cuối cùng vẫn nằm ở người dùng
Hacker không thể lấy tiền của bạn nếu bạn không xác nhận, không thể chiếm điện thoại nếu bạn không cài ứng dụng và cũng không thể lấy OTP nếu bạn không đọc cho họ. Công nghệ chỉ mở ra cơ hội, còn quyết định cuối cùng vẫn nằm ở chính người dùng.
Trên mạng xã hội, nơi thông tin cá nhân, mối quan hệ và cảm xúc được phơi bày công khai nhất thì nguyên tắc "dừng lại mười giây" càng trở nên quan trọng. Bởi lẽ, chính sự thân mật giả tạo mà mạng xã hội tạo ra (một tin nhắn từ "bạn bè", một bình luận có vẻ quen thuộc, một trang fanpage trông y hệt thật) là môi trường lý tưởng để lòng tin bị khai thác trước khi sợ hãi kịp xuất hiện.
Vì vậy, an toàn trên mạng không đến từ việc biết hết mọi chiêu trò mà đến từ một thói quen tối giản nhưng bền vững: chậm lại đúng lúc, để lý trí kịp lên tiếng trước khi cảm xúc ra quyết định thay ta.
Trên mạng xã hội, nơi thông tin cá nhân, mối quan hệ và cảm xúc được phơi bày công khai nhất thì nguyên tắc "dừng lại mười giây" càng trở nên quan trọng. Bởi lẽ, chính sự thân mật giả tạo mà mạng xã hội tạo ra (một tin nhắn từ "bạn bè", một bình luận có vẻ quen thuộc, một trang fanpage trông y hệt thật) là môi trường lý tưởng để lòng tin bị khai thác trước khi sợ hãi kịp xuất hiện.
Vì vậy, an toàn trên mạng không đến từ việc biết hết mọi chiêu trò mà đến từ một thói quen tối giản nhưng bền vững: chậm lại đúng lúc, để lý trí kịp lên tiếng trước khi cảm xúc ra quyết định thay ta.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
