Cách chúng tôi chặn email mạo danh CEO trước khi chúng đến hộp thư

Email giả mạo CEO tìm cách kéo nhân viên vào nhóm LINE. Hai quy tắc luồng thư Microsoft 365 nay cách ly chúng trước khi gửi đến.

Gần đây, một đối tượng đã gửi email cho nhân viên LOGIQ và giả danh CEO của chúng tôi. Ngày 12 tháng 11 năm 2026, chúng tôi đã thiết lập các quy tắc luồng thư trong Microsoft 365. Những email như vậy giờ bị cách ly trước khi đến hộp thư của bất kỳ ai. Dưới đây là những gì đã xảy ra, những gì chúng tôi đã thiết lập và những gì các công ty khác có thể áp dụng.

Chuyện gì đã xảy ra

Các email được gửi từ những địa chỉ bên ngoài LOGIQ. Tên hiển thị của người gửi là tên CEO của chúng tôi, nên thoạt nhìn thư có vẻ do ông ấy gửi. Yêu cầu lúc nào cũng giống nhau: tạo một nhóm trên LINE, một ứng dụng nhắn tin, rồi gửi lại mã QR hoặc đường link mời của nhóm.

Bản thân email không hề đòi tiền hay mật khẩu. Đó chính là mánh khóe. Email chỉ cần đưa bạn sang một kênh mà hệ thống bảo mật email của chúng tôi không thể nhìn thấy cuộc trò chuyện. Yêu cầu thật sự (thường là chuyển tiền, mua thẻ quà tặng hoặc gửi tài liệu mật) sẽ đến sau đó.

Vì sao chiêu lừa này hiệu quả

Nó dựa vào ba thói quen mà hầu hết chúng ta đều có.

• Chúng ta đọc tên, không đọc địa chỉ. Phần lớn ứng dụng email hiển thị tên trước và ẩn địa chỉ thật. Bất kỳ ai cũng có thể đặt bất kỳ tên hiển thị nào cho một tài khoản email miễn phí.
• Chúng ta nói “vâng” với sếp. Một lời nhắn ngắn, hơi gấp từ CEO thường không khiến ai đặt câu hỏi.
• Yêu cầu đầu tiên trông vô hại. Tạo một nhóm chat có vẻ chẳng là gì. Nhưng khi cuộc trò chuyện rời khỏi email công ty, bộ lọc, nhật ký và đồng nghiệp của bạn không còn thấy được nó nữa.

Những gì chúng tôi đã cấu hình

Chúng tôi đã thêm hai quy tắc luồng thư (còn gọi là quy tắc truyền tải) trong Microsoft 365. Chúng chạy trên máy chủ, trước khi bất kỳ thư nào đến hộp thư, nên không ai phải tự mình phát hiện trò lừa.

Quy tắc	Phát hiện gì	Xử lý ra sao
Mạo danh tên hiển thị	Email từ bên ngoài LOGIQ có tên hiển thị người gửi bắt chước ban lãnh đạo của chúng tôi, cả cách viết Latin lẫn tiếng Nhật	Bị cách ly; mỗi sự việc đều được báo cáo cho ban lãnh đạo
Lôi kéo sang kênh khác	Email từ bên ngoài LOGIQ tìm cách chuyển cuộc trò chuyện sang ứng dụng chat, chẳng hạn yêu cầu mã QR hoặc đường link mời của một nhóm LINE	Bị cách ly

Logic của quy tắc thứ nhất rất đơn giản. Ban lãnh đạo của chúng tôi chỉ gửi chỉ thị từ các địa chỉ @logiqlinux.com. Vì vậy, một email từ bên ngoài dùng tên CEO của chúng tôi mặc nhiên là lừa đảo, và không có lý do gì để chuyển nó đến hộp thư.

Thư bị cách ly được lưu giữ trong 30 ngày. Nếu một thư thật vô tình bị chặn, quản trị viên có thể giải phóng nó.

Lớp bảo vệ con người

Bộ lọc chặn được phần lớn, nhưng không phải tất cả. Vì vậy, các quy tắc đi kèm một chính sách rõ ràng mà mọi người ở LOGIQ đều biết:

• Ban lãnh đạo chỉ đưa ra chỉ thị qua các kênh nội bộ của công ty, không bao giờ từ một địa chỉ email bên ngoài.
• LOGIQ không bao giờ yêu cầu ai chuyển công việc sang một nhóm chat cá nhân.
• Nếu một thư đáng ngờ lọt qua, đừng làm theo. Hãy báo cáo, và chúng tôi sẽ siết chặt các quy tắc.

Một chính sách như vậy giúp nhân viên quyết định dễ dàng. Không ai phải phán đoán xem một thư “có vẻ” thật hay không. Nếu nó vi phạm quy tắc, nó là giả.

Các công ty khác có thể làm gì

Bạn có thể thiết lập việc này trong một buổi chiều. Đây là những gì chúng tôi khuyến nghị:

1. Cách ly email bên ngoài dùng tên lãnh đạo của bạn. Trong Microsoft 365, hãy tạo một quy tắc luồng thư: người gửi ở bên ngoài tổ chức, và tên hiển thị trong trường From chứa tên một lãnh đạo. Hãy bao gồm mọi cách viết và hệ chữ mà nhân viên của bạn có thể nhận ra.
2. Cách ly các nỗ lực kéo cuộc trò chuyện ra khỏi email. Đối chiếu các cụm từ yêu cầu lời mời vào nhóm chat, mã QR hoặc tài khoản nhắn tin cá nhân, và chỉ áp dụng quy tắc cho người gửi bên ngoài.
3. Cách ly thay vì xóa. Nhờ vậy, những thư bị chặn nhầm có thể được giải phóng, và bạn vẫn giữ được bằng chứng.
4. Gửi mỗi lần phát hiện đến người sẽ xử lý. Số lần khớp tăng đột ngột là dấu hiệu cảnh báo sớm rằng công ty bạn đang bị nhắm tới.
5. Ghi rõ cách ban lãnh đạo thực sự liên lạc. Một câu (“chỉ thị chỉ đến từ địa chỉ công ty, qua các kênh nội bộ”) cho nhân viên một phép thử đơn giản.
6. Bật cả các tính năng bảo vệ có sẵn. Gắn nhãn cảnh báo cho người gửi bên ngoài, và bật tính năng bảo vệ chống mạo danh trong chính sách chống lừa đảo nếu giấy phép của bạn có hỗ trợ.
7. Giữ ngoại lệ ít và bí mật. Mỗi người gửi được miễn trừ là một lỗ hổng. Hãy rà soát danh sách thường xuyên và không bao giờ công bố nó.

Điều cốt lõi

Mạo danh CEO không cần đến kỹ thuật hack, chỉ cần một tên hiển thị thuyết phục và một lý do để chuyển cuộc trò chuyện sang nơi khác. Quy tắc phía máy chủ lấy đi lựa chọn đó khỏi tay người đọc email, và một chính sách rõ ràng sẽ bao quát những gì quy tắc bỏ sót.

Bạn cần hỗ trợ thiết lập quy tắc luồng thư hoặc rà soát bảo mật email? Liên hệ đội ngũ LOGIQ.

Photo: Anete Lusina / Pexels