Hướng dẫn · Rủi ro liên kết · · tác giả Stefan Tsezarov
Đọc từ bên phải
Một địa chỉ web cho bạn biết chính xác nó dẫn đến đâu. Chỉ là nó không nói theo thứ tự bạn đọc.
Bạn đã được dặn phải kiểm tra liên kết trước khi nhấp. Đó là lời khuyên tốt, nhưng hầu hết mọi người kiểm tra sai phần.
Một liên kết có thể mang tên một công ty quen thuộc mà vẫn dẫn đến một nơi hoàn toàn khác. Cái tên có thể nằm trong tên miền con, trong đường dẫn, hoặc trước dấu @. Trên điện thoại, tên miền thật có thể bị cắt mất trừ khi bạn mở rộng liên kết trước.
Một thói quen giải quyết được phần lớn việc này:
Đọc tên miền từ bên phải.
Hướng dẫn này cho bạn thấy cách kiểm tra một liên kết mà không mở nó. Nó sẽ không chứng minh liên kết an toàn. Nó sẽ giúp bạn bắt được các chiêu phổ biến trước khi nhấp.
Dưới đây: các chiêu chính, cách kiểm tra từng chiêu mà không mở gì cả, và những gì một lần quét cấu trúc có thể và không thể cho bạn biết.
01Một địa chỉ trỏ đến đâu
Hãy xem địa chỉ này:
Trình duyệt chia nó thành scheme, host và path. Host là nơi bạn thực sự kết nối đến. Path do người vận hành host đó chọn, và nó có thể ghi bất cứ điều gì họ muốn.
https://schememetamask.io.tên miền con — do chủ sở hữu bên dưới chọnsecure-verify.exampletên miền đăng ký — đích đến/loginpath — cũng do chính chủ sở hữu đó chọn
Bốn phần của https://metamask.io.secure-verify.example/login, theo thứ tự.
Trong host đó, tên miền đăng ký là secure-verify.example. Mọi thứ bên trái nó là tên miền con, do chủ sở hữu secure-verify.example kiểm soát. Chủ sở hữu có thể tạo bao nhiêu tên miền con tùy thích và đặt tên gần như tự do — kể cả đặt tên một cái là metamask.io.
Vì vậy metamask.io không phải là đích đến ở đây. Nó chỉ là một cái nhãn bên trái.
“Tên miền đăng ký” có nghĩa là gì
Phần quan trọng là tên miền đăng ký: cái tên mà một người hay công ty thực sự có thể đăng ký. Đó là public suffix cộng với một nhãn ngay trước nó. Thường nó trông như example.com. Với một số cấu trúc mã quốc gia, nó trông như example.co.uk hay example.com.au.
Trình duyệt và công cụ bảo mật dùng dữ liệu public suffix để tìm ranh giới đó. Đừng mặc định rằng mọi đuôi đều có cùng số nhãn. Chỉ dẫn thực tế là:
rồi lấy nhãn ngay trước nó.
Đó là tên miền đăng ký.
Ranh giới này không phải chú thích phụ. Chính trình quét của chúng tôi đã đếm nhãn cho đến ngày 19 tháng 9 năm 2026, quyết định chủ sở hữu của coinbase.co.uk là co.uk, và gắn cờ một liên kết hợp pháp bình thường là mạo danh thương hiệu. Một công cụ la lối về các trang web thật sẽ bị tắt đi, và khi đó nó chẳng bảo vệ được ai. Điều gì đã thay đổi, và điều gì nó vẫn chưa xử lý được, có trong Minh bạch kỹ thuật.
02Cái tên bên trái
Một cái tên đáng tin có thể nằm trong tên miền con hoặc trong đường dẫn mà không kiểm soát gì cả.
https://metamask.io/download
https://metamask.io.wallet-check.example/download
Cùng chiêu này hoạt động trong đường dẫn, nơi nó còn đọc tự nhiên hơn:
Trong cả hai ví dụ gây hiểu lầm, tên miền đăng ký là wallet-check.example hoặc cdn-assets-9931.example. Tên thương hiệu chỉ xuất hiện ở chỗ mà chủ sở hữu tên miền đó được tự điền.
Trên điện thoại, một địa chỉ dài có thể đẩy tên miền thật ra khỏi tầm nhìn. Hãy mở rộng hoặc sao chép liên kết trước khi đánh giá.
03Ký tự trông giống nhau
Ở đây không có gì tinh vi trong địa chỉ. Ai đó đăng ký một tên miền đơn giản là trông giống một tên miền khác.
| Cách viết quen thuộc | Giả mạo | Điều gì đã thay đổi |
|---|---|---|
metamask | metarnask | rn có thể bị nhầm với m |
paypal | paypa1 | số 1 có thể bị nhầm với chữ l thường |
binance | b1nance | số 1 có thể bị nhầm với chữ i thường |
Ở cỡ chữ này sự khác biệt rất rõ. Trên thanh địa chỉ thì thường không.
Một tên miền giả mạo là một tên miền thật. Đây không phải lỗi trình duyệt. Nó hiệu quả vì mắt chúng ta làm tròn các hình dạng giống nhau.
Hãy nhìn hàng thứ ba: cùng một ký tự thay cho một chữ cái khác với ở hàng thứ hai. Đó là lý do việc bắt lỗi này bằng máy khó hơn tưởng — sửa một cách đọc thì bạn bắt được paypa1 nhưng lại bỏ qua b1nance. Trình quét của chúng tôi thử nhiều cách một cái tên có thể được đọc thay vì quy nó về một cách.
Một biến thể liên quan không cần ký tự trông giống nhau nào. Nó chỉ gắn thêm từ vào tên thật:
Mỗi tên miền đó đặt thương hiệu ở vị trí tên miền đăng ký. Cái tên không bị đặt sai chỗ và không bị viết sai. Nó chỉ có thêm bạn đồng hành. Các công ty đúng là có vận hành nhiều tên miền, nên riêng điều này không chứng minh gì — nhưng một tên miền lạ dạng thương hiệu cộng thêm từ không nên được coi là chính thức chỉ vì có thương hiệu trong đó.
Đừng chỉ tin vào mắt mình. Hãy so tên miền với thứ bạn đã tin tưởng: một bookmark đã lưu, hoặc ứng dụng chính thức.
04Tên miền quốc tế hóa và punycode
Tên miền quốc tế hóa cho phép người ta viết tên miền bằng các hệ chữ như Hy Lạp, Kirin, Ả Rập và Trung Quốc. Để các hệ thống cũ vẫn hoạt động, nhiều tên như vậy cũng có dạng ASCII bắt đầu bằng xn--. Đó là punycode.
Punycode không tự động là dấu hiệu đáng báo động. Rất nhiều tổ chức hợp pháp dùng tên miền quốc tế hóa. Nhưng một liên kết punycode bất ngờ đáng được xem kỹ, nhất là trong một tin nhắn bạn không yêu cầu về tiền, quyền truy cập tài khoản hay xác minh khẩn cấp.
Một số chữ Kirin được viết rất giống chữ Latinh — а, е, о, р, с — nên một cái tên bị thay ký tự có thể trông gần như giống hệt trên màn hình trong khi là một tên miền hoàn toàn không liên quan trên mạng.
Trình duyệt có thể hiển thị dạng Unicode hoặc dạng ASCII, tùy vào tên miền và quy tắc riêng của trình duyệt. Trình quét có thể nhận ra punycode mà không thể chứng minh tên hiển thị trông thế nào. Gắn cờ punycode là đánh dấu thứ cần xem xét; nó không chứng minh gian lận.
05Dấu @
Trong URL HTTP hoặc HTTPS, mọi thứ trước @ là thông tin người dùng. Nó không phải host đích.
https://schemeledger.comthông tin người dùng — không phải đích đến@dấu phân cáchledgerlive-verify.examplehost — trang bạn đến/devicepath
Năm phần của https://ledger.com@ledgerlive-verify.example/device, theo thứ tự.
Host là ledgerlive-verify.example. Đoạn chữ ledger.com không phải trang bạn đang truy cập.
Đây là chiêu vượt qua được cả việc đọc kỹ, vì cái tên quen thuộc thực sự có ở đó, thực sự là một phần của địa chỉ, và thực sự được viết đúng. Một cái tên quen thuộc trước @ không chứng minh gì về chủ sở hữu liên kết.
06Liên kết rút gọn và mã QR
Một liên kết rút gọn giấu đích đến cho đến khi bạn mở rộng hoặc truy cập nó. Các dịch vụ như bit.ly, t.co và cutt.ly là bình thường và được dùng rộng rãi vì những lý do chính đáng — đó cũng là một phần lý do khiến chúng là vỏ bọc hữu ích.
Mã QR giấu hoàn toàn địa chỉ. Mã có thể không sao, nhưng bạn không thể xem đích đến từ hình ảnh.
Trình quét của chúng tôi gắn cờ các dịch vụ rút gọn mà nó nhận ra nhưng không phân giải chúng cho bạn. Nếu nó truy cập liên kết của người lạ, nó sẽ liên hệ máy chủ của kẻ tấn công và báo cho họ biết liên kết đã bị kiểm tra.
Nếu cần mở rộng một liên kết rút gọn, hãy dùng dịch vụ bạn tin tưởng, và coi mọi thứ trả về là không đáng tin cho đến khi bạn đã kiểm tra.
07Một ví dụ cụ thể
Hãy đọc nó như cách nó thực sự đến: trên điện thoại, trong một thông báo, về một thiết bị bạn sở hữu.
Ví dụ hư cấu · tên miền dành riêng
Không có gì trong tin nhắn đó đòi bí mật. Không cụm từ khôi phục, không khóa riêng, không mật khẩu. Nó chỉ đòi một cú nhấp — và đó chính là cuộc tấn công, vì trang ở phía bên kia có thể đưa ra yêu cầu tiếp theo khi bạn đã ở đó.
Cho tôi xem nó sai ở đâu
Tin nhắn dùng nhiều chiêu cùng lúc:
- Liên kết chính đặt
ledger.comtrước@, nơi nó là thông tin người dùng chứ không phải đích đến. Host làledgerlive-verify.example. - Host đó mang tên thương hiệu kèm thêm từ, ở vị trí tên miền đăng ký — nên nó vẫn đọc như chính thức khi bạn đã tìm đúng phần của địa chỉ.
- Liên kết dự phòng dùng một tên miền punycode, được đưa ra như một bản sao hữu ích. Câu trước đó giải thích trước vì sao liên kết đầu có thể không hoạt động, nên một lần thất bại có cảm giác đã được lường trước thay vì đáng ngờ.
- Nó thêm sự gấp gáp và một hậu quả: 48 giờ, và các lần chuyển đi được mô tả là đang bị tạm dừng.
- Nó chỉ đòi một cú nhấp. Trang ở phía bên kia đưa ra yêu cầu tiếp theo khi bạn đã ở đó.
Chi tiết làm phần lớn công việc chính là bản thân hạn chế. Tin nhắn đưa ra một lời giải thích nghe có vẻ kỹ thuật cho một trạng thái mà người nhận không thể tự xác minh, và tin vào nó không tốn gì vào lúc đó.
Engine của chúng tôi trả về FAIL cho tin nhắn này — vì liên kết @, host punycode, và tên miền thương hiệu kèm thêm từ. Nó đi đến kết luận đó mà không cần diễn giải một câu tiếng Anh nào.
08Cách đọc một địa chỉ trước khi mở nó
Dừng ở dấu gạch chéo đơn đầu tiên sau khi host bắt đầu
Mọi thứ sau dấu gạch chéo đó là path. Nó có thể ghi bất cứ điều gì và không chứng minh gì về chủ sở hữu trang. Nếu có @ trước path, hãy bỏ qua mọi thứ bên trái nó khi xác định host.
Tìm host và đọc nó từ phải sang trái
Tìm public suffix và nhãn ngay trước nó. Gộp lại, đó là tên miền đăng ký.
So nó với chính xác tên miền bạn định truy cập
Không phải “trông có chính thức không”, và không phải “có chứa thương hiệu không”.
Nếu địa chỉ bị cắt, hãy mở rộng nó trước khi quyết định
Tốt hơn nữa, hãy mở dịch vụ qua bookmark của chính bạn, ứng dụng đã lưu, hoặc một địa chỉ bạn tự gõ.
Đừng nhấp trước rồi mới kiểm tra.
Hãy kiểm tra trước khi bạn đến nơi.
09Lần quét có thể và không thể cho bạn biết gì
Dán một tin nhắn vào trình quét và nó kiểm tra cấu trúc của các địa chỉ và liên kết trong phạm vi, tìm các dấu hiệu cảnh báo thông thường.
Bản thân lần quét không liên hệ với gì cả. Nó chạy trong trình duyệt của bạn, và không liên kết nào trong tin nhắn được tải hay phân giải. Nếu sau đó bạn nhấn Kiểm tra địa chỉ này với một địa chỉ crypto mà lần quét tìm thấy, địa chỉ đó — và không gì khác từ tin nhắn — được gửi đến nhà cung cấp bảo mật địa chỉ. Đó là một bước riêng do bạn chọn thực hiện, và Minh bạch kỹ thuật liệt kê chính xác mỗi nhà cung cấp nhận được gì.
| Lần quét có thể giúp xác định | Lần quét không thể chứng minh |
|---|---|
Chiêu thông tin người dùng @ | Rằng một trang có cấu trúc bình thường là hợp pháp |
| Host là IP trần | Rằng người gửi đúng là người họ tự nhận |
| Dịch vụ rút gọn được nhận ra | Rằng một đích đến rút gọn là an toàn khi chưa phân giải nó |
| Dấu hiệu punycode | Mọi tên miền punycode trông thế nào khi hiển thị |
| Tên thương hiệu ở vị trí đáng ngờ | Rằng một lỗi chính tả đơn thuần là độc hại |
| Tên thương hiệu kèm thêm từ | Rằng kết quả sạch nghĩa là không có lừa đảo |
| Một số ký tự dễ nhầm | Rằng một trang web sẽ hoạt động an toàn khi bạn mở nó |
| Nội dung URL mã hóa đáng ngờ | Ai sở hữu một tên miền trên đuôi mà nó không phân giải được |
| Các địa chỉ crypto được hỗ trợ trong tin nhắn | Rằng một địa chỉ không có phát hiện nào thuộc về người bạn nghĩ |
Cấu trúc không phải là uy tín.
Kết quả sạch chỉ có nghĩa là không có chiêu cấu trúc nào trong phạm vi xuất hiện trong văn bản bạn gửi. Nó không có nghĩa là liên kết, trang web, người gửi hay lời mời là an toàn.
Ba giới hạn đáng được nêu riêng.
Một tên miền không có chiêu nào thì vô hình với bước kiểm tra cấu trúc. wallet-refund-centre.example không có ký tự trông giống nhau, không có tên thương hiệu, không có gì lạc chỗ. Được đăng ký sáng nay và lưu trữ một bản sao thuyết phục của trang đăng nhập ví, nó sẽ vượt qua bước kiểm tra này và hầu hết các bước tương tự. Các hệ thống uy tín — dịch vụ lưu danh sách địa chỉ xấu đã biết — trả lời một câu hỏi khác, và trình quét này không làm việc của chúng.
Lỗi chính tả đơn thuần không được bắt một cách đáng tin cậy. metamsk.io là lỗi gõ, không phải thay thế ký tự dễ nhầm. Trình quét không bắt được hết những lỗi này. Đó là giới hạn đã biết, không phải một lời hứa ngầm.
Punycode được nhận diện, không được dịch. Trình quét có thể cho bạn biết một tên miền ở dạng punycode. Nó không phải lúc nào cũng cho bạn biết dạng đó viết ra cái tên gì.
Quy tắc
Việc cái tên quen thuộc có mặt không phải là bằng chứng. Hãy tìm tên miền đăng ký.
Đó là thứ rẻ nhất trong toàn bộ địa chỉ để đặt vào — và là phần người đọc dễ dừng lại nhất.
Mọi địa chỉ trong hướng dẫn này dùng để minh họa một chiêu đều trỏ đến một tên miền ví dụ được dành riêng. Những đích đến đó không phân giải được và không phải dịch vụ thật. Tên miền thật duy nhất được in ở đây là metamask.io, trang thật của MetaMask. Nó xuất hiện ở mục 2 như trường hợp đúng, vì muốn cho thấy một tên thương hiệu thực sự thuộc về đâu thì cần một địa chỉ thật để đối chiếu với các địa chỉ gây hiểu lầm.
Tin nhắn ví dụ là hư cấu. Liên quan: trang ở đầu bên kia của liên kết thường đòi gì, văn bản hoàn toàn không hiển thị gì, và chỉ thị viết cho AI chứ không phải cho bạn. Bài viết này chỉ nhằm mục đích giáo dục và không phải tư vấn tài chính.
Đang đọc một tin nhắn đáng ngờ trong trình duyệt? Bookmark quét văn bản được chọn kiểm tra nó mà không cần sao chép và dán, và văn bản ở lại trong trình duyệt của bạn.