Trò lừa đảo bí ẩn: Ai đang gửi email cảm ơn giả mạo cho chuyên gia bảo mật?

Bruce Schneier, một trong những chuyên gia bảo mật và mật mã hàng đầu thế giới, vừa chia sẻ một tình huống kỳ quặc mà ông gặp phải: hàng loạt email cảm ơn được tạo bởi AI gửi đến sau khi ông xác nhận đăng ký bản tin của mình. Những email này có dấu hiệu rõ ràng là giả mạo nhưng không ai hồi âm lại, khiến ông không thể xác định mục đích thực sự của trò lừa đảo.

Sự việc này không chỉ là một câu chuyện cá nhân của Schneier mà còn là hồi chuông cảnh báo về cách các bot và AI đang được sử dụng để thao túng hệ thống đăng ký email, mở ra những rủi ro mới về an ninh mạng và quyền riêng tư.

Hiện tượng lạ: Email cảm ơn "một chiều"

Theo bài viết trên blog của Schneier, để đăng ký nhận bản tin hàng tháng của ông, người dùng phải điền thông tin trên web và sau đó xác nhận qua email tự động — một cơ chế chống đăng ký hộ người khác. Tuy nhiên, từ cuối tuần trước, ông bắt đầu nhận được rất nhiều email phản hồi lại các email xác nhận đó. Nội dung luôn chỉ là một dòng:

"Cảm ơn vì những email tích cực đã thay đổi cuộc sống của tôi." "Email của ông là yếu tố thay đổi cuộc chơi." "Email của ông luôn nhắc tôi về lý do tôi đăng ký."

Lúc đầu, Schneier trả lời một vài email vì nghĩ đó là độc giả thật, nhưng số lượng quá nhiều và đến cùng lúc khiến ông nhận ra đây rõ ràng là nội dung do AI tạo ra. Điều đáng chú ý là tất cả các địa chỉ email đều là Gmail và có dạng ký tự ngẫu nhiên như [email protected], [email protected] hay [email protected].

Mục đích thực sự là gì?

Điểm mấu chốt của tình huống này là không ai trong số các địa chỉ đó thực sự đăng ký bản tin Crypto-Gram (bản tin của Schneier). Người gửi hoàn toàn có thể xác nhận đăng ký nếu muốn, nhưng họ đã bỏ qua bước đó. Schneier ban đầu nghi ngờ đây là một hình thức "pig butchering" (lừa đảo vỗ béo — tạo lòng tin để lừa tiền), nhưng sau đó ông phát hiện ra không có ai hồi âm lại các câu trả lời của ông.

Điều này tạo ra một nghịch lý: một trò lừa đảo nhưng không có hành động lừa đảo nào diễn ra. Schneier đặt câu hỏi mở cho cộng đồng mạng: "Có ai có ý tưởng gì không?"

Các giả thuyết được đặt ra

Một số chuyên gia trong cộng đồng Hacker News (nơi bài viết được chia sẻ) đã đưa ra các giả thuyết:

• Kiểm thử AI và hệ thống email: Các bot có thể đang được dùng để kiểm tra khả năng nhận diện spam của hệ thống email, hoặc thu thập dữ liệu về cách con người phản hồi.
• Xây dựng uy tín email: Những email cảm ơn này có thể nhằm mục đích làm cho hộp thư của người gửi trở nên "đáng tin cậy" hơn trong mắt bộ lọc spam, chuẩn bị cho các chiến dịch lừa đảo quy mô lớn sau này.
• Thu thập địa chỉ email thật: Các email giả có thể được gửi đi để xác minh địa chỉ email của những người thật sự đăng ký, nhằm xây dựng danh sách email chất lượng cao để bán hoặc phục vụ tấn công phishing.
• Khảo sát hành vi chuyên gia: Schneier là mục tiêu có giá trị — một chuyên gia bảo mật — nên việc gửi email AI có thể là cách để nghiên cứu cách ông xử lý các tình huống bất thường.

Bài học cho người dùng Việt Nam

Mặc dù tình huống này xảy ra với một chuyên gia bảo mật quốc tế, nhưng nó đặt ra bài học quan trọng cho người dùng internet Việt Nam, nơi các hình thức lừa đảo trực tuyến đang ngày càng tinh vi:

• Cảnh giác với email bất thường: Khi nhận được email cảm ơn hoặc email lạ từ các dịch vụ bạn đăng ký, hãy kiểm tra kỹ địa chỉ người gửi và nội dung trước khi tương tác.
• Không trả lời email tự động: Trả lời các email nghi ngờ là do bot gửi có thể khiến bạn bị đưa vào danh sách "con mồi tiềm năng" cho các cuộc tấn công phishing.
• Bảo vệ địa chỉ email: Hạn chế công khai email cá nhân trên các diễn đàn, blog hoặc mạng xã hội để giảm nguy cơ bị thu thập bởi các bot tự động.
• Cập nhật kiến thức về an ninh mạng: Các chiến dịch lừa đảo ngày càng sử dụng AI để tạo nội dung giả mạo khó phân biệt với thật. Việc trang bị kiến thức là cách phòng thủ tốt nhất.

Kết luận

Hiện tượng lạ mà Bruce Schneier gặp phải là một lời nhắc nhở rằng an ninh mạng không chỉ xoay quanh mã độc hay tin tặc mà còn bao gồm những chiến dịch spam tinh vi, âm thầm với mục đích khó đoán. Khi AI ngày càng dễ dàng tạo ra nội dung giả mạo hợp lý, cả chuyên gia lẫn người dùng phổ thông đều cần duy trì sự cảnh giác và không ngừng đặt câu hỏi về động cơ đằng sau mỗi email lạ trong hộp thư của mình.

Nếu bạn gặp phải tình huống tương tự, hãy im lặng, không trả lời, đánh dấu là spam và báo cáo cho nhà cung cấp dịch vụ email. Đôi khi, không tương tác chính là cách phòng vệ thông minh nhất.