VBSpam Q3/2026: Khi phishing chuyển bẫy sang trình duyệt

Email lừa đảo ngày nay không cần đính kèm tệp độc hại hay dùng địa chỉ người gửi lộ liễu để trở nên nguy hiểm. Bài kiểm tra so sánh VBSpam quý III/2026 của Virus Bulletin cho thấy những chiến dịch dùng hạ tầng gửi thư có vẻ đáng tin và email HTML trông vô hại, rồi dời bước lừa đảo quyết định sang chuỗi chuyển hướng và mã chạy trong trình duyệt. Các sản phẩm doanh nghiệp dẫn đầu vẫn thể hiện tốt, nhưng kết quả này cũng nhấn mạnh: cổng bảo mật email không thể là lớp kiểm soát phishing duy nhất. 2021

Email chỉ là chặng đầu tiên

Bài kiểm tra công khai kéo dài 16 ngày, đánh giá 11 sản phẩm bảo mật email trước 103.969 thư, trong đó có 103.380 thư rác. Theo các báo cáo về đợt thử nghiệm, những cổng email doanh nghiệp đứng đầu có tỷ lệ phát hiện phishing gần 100%. Net at Work NoSpamProxy được báo cáo đạt điểm tổng 99,995, phát hiện 100% mã độc, phát hiện phishing 99,990% và không có dương tính giả. 2021

Điều này không có nghĩa bộ lọc email doanh nghiệp đã mất tác dụng. Ngược lại, nó cho thấy kẻ tấn công đang thay đổi cách phân phối. Thay vì đưa nội dung độc hại dễ nhận biết ngay vào email, chúng có thể gửi thư không có tệp đính kèm, đi qua tuyến gửi trông hợp lệ và dùng URL chỉ đổi hành vi khi người nhận thực sự nhấp vào.

VBSpam là chương trình so sánh dành cho môi trường doanh nghiệp, đo lường khả năng chống spam, phishing và mã độc, đồng thời tính đến tỷ lệ dương tính giả. Chương trình hướng tới việc đánh giá các mối đe dọa email hiện hành từ luồng thư thực tế, thay vì chỉ dùng kho mẫu cũ tĩnh. 61213

Ba chiến dịch cho thấy sự dịch chuyển này

Mồi “thư nhắc nợ” bằng tiếng Đức, đi qua Amazon SES

Một chiến dịch tiếng Đức với chủ đề “Mahnschreiben” — thư nhắc thanh toán quá hạn — được cho là đã dùng Amazon SES và tên miền moolaah[.]com có DKIM khớp. Thư không có tệp đính kèm. Liên kết đưa người dùng tới một trang được thiết kế để ít gây nghi ngờ với hệ thống kiểm tra tự động: mã đánh lạc hướng, văn bản ẩn, iframe kích thước bằng 0 và JavaScript bị làm rối.

Trang này được báo cáo là thu thập tín hiệu về trình duyệt và múi giờ, sau đó dùng một yêu cầu POST ẩn để chuyển người truy cập đến opensea[.]io. Đánh giá được nêu là đây là tuyến lừa đảo tiền mã hóa hoặc NFT có che giấu, chứ chưa xác nhận là cơ chế phát tán mã độc. Điểm khác biệt rất quan trọng: logic lừa đảo có thể bị giữ lại cho đến khi hệ thống đánh giá người truy cập là mục tiêu thật, phù hợp với điều kiện mà chúng đặt ra. 20

Lừa gia hạn phần mềm diệt virus bằng tiếng Hà Lan, đích đến thay đổi liên tục

Một email tiếng Hà Lan mạo danh McAfee và TotalAV dùng nội dung HTML để dụ người nhận gia hạn. Thư tuyên bố thiết bị có “631 virus nguy hiểm”, đe dọa đóng tài khoản và đưa ra mức giảm giá 90%.

Thay vì trỏ tới một trang phishing cố định, chiến dịch dùng các đường dẫn riêng cho theo dõi, hủy đăng ký và nút kêu gọi hành động, đi qua hạ tầng chuyển hướng. Những đường dẫn này có thể đổi đích, hết hạn hoặc hiển thị nội dung khác nhau theo thời điểm hay vị trí. Vì vậy, một lần kiểm tra URL tại cổng email có thể kém hiệu quả hơn việc phân tích khi người dùng thực sự nhấp liên kết. Mục tiêu được đánh giá là lừa gia hạn, gian lận tiếp thị liên kết và có thể đánh cắp dữ liệu thanh toán; chưa có bằng chứng xác nhận tải mã độc. 20

Cái bẫy “đồng ý PSD2” mạo danh BCR tại Romania

Một chiến dịch khác mạo danh BCR S.A., sử dụng chủ đề chấp thuận theo PSD2 để tạo cảm giác cấp bách. PSD2 là khuôn khổ quy định của Liên minh châu Âu về dịch vụ thanh toán. Chiến dịch được cho là mã hóa địa chỉ đích dưới dạng địa chỉ ánh xạ IPv6 — kỹ thuật che giấu có thể qua mặt các cơ chế phân tích URL hoặc kiểm tra danh tiếng quá đơn giản. Đánh giá cho rằng mục tiêu có khả năng là đánh cắp thông tin đăng nhập, nhưng dữ liệu báo cáo được cung cấp chưa xác nhận trang đích cuối cùng hoặc quy kết cụ thể hơn. 20

Các tỷ lệ phát hiện nói gì — và không nói gì

Báo cáo quý III cho thấy khoảng cách đáng kể giữa các cổng email doanh nghiệp tốt nhất và cấu hình Rspamd mã nguồn mở được thử nghiệm công khai. Một báo cáo ghi nhận Rspamd phát hiện 62,550% thư phishing, thấp hơn nhiều so với nhóm dẫn đầu. 21

Không nên khái quát con số này cho mọi hệ thống triển khai Rspamd, hoặc cho toàn bộ công cụ mã nguồn mở. Cấu hình, nguồn dữ liệu tình báo mối đe dọa, quá trình tinh chỉnh và các lớp kiểm soát bổ sung đều ảnh hưởng đến hiệu quả thực tế. Dù vậy, kết quả củng cố một điểm thực tế: hạ tầng chuyển hướng thay đổi nhanh và luồng phishing nhận biết trình duyệt có thể khó bị phân loại nếu chỉ dựa vào một lớp email mặc định hoặc cấu hình hẹp.

Để tham chiếu, báo cáo VBSpam quý II/2026 riêng biệt ghi nhận Rspamd có tỷ lệ phát hiện phishing 54,810% trong đợt thử đó, và cũng nhận xét khả năng phát hiện phishing tụt sau các sản phẩm dẫn đầu. Đây là hai kỳ thử nghiệm khác nhau, vì thế không nên xem các tỷ lệ này như một chuẩn duy nhất có thể hoán đổi cho nhau. 5

Ưu tiên phòng thủ ngoài cổng email

Bài học vận hành hữu ích nhất từ đợt thử nghiệm là mở rộng phân tích từ thời điểm gửi đến sang thời điểm nhấp.

• Xem xác thực email là tín hiệu nhận diện, không phải phán quyết an toàn. SPF hoặc DKIM khớp và dịch vụ gửi thư uy tín giúp cho biết email được gửi như thế nào; chúng không chứng minh nội dung chào mời hoặc đích đến là hợp pháp.
• Lần theo toàn bộ chuỗi chuyển hướng. Kiểm tra từng chặng và đánh giá lại URL lúc người dùng nhấp, vì đích đến lẫn danh tiếng có thể thay đổi sau khi email đã được gửi.
• Dùng sandbox có khả năng chạy trình duyệt. Phân tích hiệu quả cần chạy JavaScript, phát hiện biểu mẫu ẩn, hoạt động iframe, lấy dấu vân tay trình duyệt và chuyển hướng theo điều kiện — không chỉ quét phần nội dung email hay URL hiển thị.
• Chuẩn hóa các dạng URL bất thường. Công cụ bảo mật cần phân tích an toàn địa chỉ đã mã hóa và dạng ánh xạ IPv6 trước khi áp dụng quy tắc chặn hoặc tra cứu danh tiếng.
• Theo dõi thay đổi hạ tầng. Giám sát biến động DNS, tên miền mới, chuyển hướng HTTP và danh tiếng của đích đến theo thời gian.
• Giảm thiệt hại nếu người dùng đã nhấp. Xác thực chống phishing và bảo vệ thiết bị đầu cuối có thể hạn chế nguy cơ chiếm đoạt tài khoản, ngay cả khi trang thu thập mật khẩu tới được người nhận.

Người dùng vẫn là một lớp kiểm soát cuối cùng quan trọng. Với yêu cầu thanh toán, đề nghị chấp thuận ngân hàng hay cảnh báo gia hạn dịch vụ, cần tự truy cập website, ứng dụng hoặc kênh hỗ trợ chính thức của tổ chức để kiểm tra — thay vì nhấp vào liên kết trong thư.

Kết luận

VBSpam quý III/2026 không cho thấy bảo mật email truyền thống đã thất bại trên diện rộng. Các sản phẩm doanh nghiệp dẫn đầu vẫn đạt kết quả thử nghiệm rất cao. 2021 Điều mà bài kiểm tra chỉ ra cụ thể hơn là: bên vận hành phishing đang chuyển phần hành vi đánh lừa quan trọng nhất sang các giai đoạn cá nhân hóa, diễn ra trong trình duyệt — nơi cổng email thông thường có thể chưa quan sát đầy đủ tại thời điểm thư được gửi đến.

Cách ứng phó bền vững là phòng thủ theo nhiều lớp: lọc email mạnh, kết hợp phân tích chuyển hướng, kiểm tra có nhận biết trình duyệt và cơ chế bảo vệ tài khoản để mật khẩu bị đánh cắp trở nên kém giá trị hơn.