12 kỹ thuật ngụy trang website lừa đảo đang dùng để qua mặt kiểm duyệt (và cách phát hiện)

SafePhone · Cập nhật 27/09/2026

Trang lừa đảo ngày nay không chỉ sao chép logo mà còn biết “trốn”: chúng hiện nội dung vô hại khi bị kiểm tra và chỉ lộ mặt thật với nạn nhân được chọn. Bài viết phân tích 12 kỹ thuật ngụy trang website lừa đảo phổ biến — từ cloaking, định vị địa lý, URL dùng một lần đến SEO poisoning — và cách bạn tự phát hiện, phòng tránh.

Kiểm tra link lừa đảo trước khi mở với SafePhone

Vì sao website lừa đảo ngày càng khó phát hiện?

Những kẻ lừa đảo ngày nay được trang bị công nghệ cao. Nhiều đường dây có đội ngũ IT giỏi không kém các công ty phần mềm — những người có thể không trực tiếp lừa ai, nhưng xây dựng công cụ và hệ thống cho bọn lừa đảo. Họ có thể tự nguyện, có thể chính là nạn nhân của một vụ tuyển dụng lừa đảo khác, hoặc làm việc cho các băng nhóm tội phạm mạng có tổ chức. Dù thế nào, sự thật không dễ chịu là: bọn lừa đảo có những hacker mũ đen đứng về phía mình.

Trang web giả mạo, mạo danh ngày nay được thiết kế trau chuốt như trang chính thức, sao chép cả logo lẫn cảm giác chuyên nghiệp. Điểm yếu của chúng thường nằm ở tên miền — xem cách kiểm tra trang web lừa đảo. Trước đây, các nhà nghiên cứu bảo mật có thể dùng trình thu thập dữ liệu web (crawler) để phát hiện chúng khá dễ dàng. Hiện nay thì không: các trang này dùng nhiều kỹ thuật ngụy trang để che giấu nội dung khỏi nhà nghiên cứu và hệ thống kiểm duyệt.

Bảng tóm tắt 12 kỹ thuật ngụy trang website lừa đảo

Nhóm 1: Hiển thị nội dung khác nhau tuỳ người xem

1. Cookie-based cloaking — che giấu nội dung dựa trên cookie

Che giấu nội dung dựa trên cookie (còn gọi là chuyển hướng dựa trên cookie, nội dung bị khoá bởi cookie) là kỹ thuật trong đó trang web thay đổi hành vi tuỳ vào cookie lưu trong trình duyệt của người truy cập. Cookie là mẩu dữ liệu nhỏ mà trang web lưu trong trình duyệt để ghi nhớ phiên đăng nhập, nguồn giới thiệu, chiến dịch quảng cáo, các lần truy cập trước, mã định danh theo dõi — xem cookie là gì. Trang web có thể dựa vào đó để quyết định hiển thị gì. Trang lừa đảo dùng kỹ thuật này để:

• Hiển thị nội dung bình thường (trang giới thiệu sản phẩm mới, trang đích của một công ty nhân sự nhỏ…) cho người truy cập trực tiếp.
• Nhưng nếu người truy cập đến từ quảng cáo trên mạng xã hội, trang sẽ hiển thị nội dung lừa đảo — ví dụ mạo danh dịch vụ, công ty nổi tiếng để dụ tải phần mềm hoặc trả tiền trước.

Nhờ vậy, chương trình thu thập dữ liệu web không thấy nội dung lừa đảo và không đưa trang vào danh sách đen.

2. Geo-targeting — định vị địa lý

Tương tự cloaking dựa trên cookie, trang lừa đảo dùng địa chỉ IP để chỉ kích hoạt nội dung độc hại với khách từ một số quốc gia hoặc thành phố nhất định. Nhiều công ty an ninh mạng quét web từ địa chỉ IP của nhà cung cấp cloud tại Mỹ, trung tâm dữ liệu hoặc các nhóm nghiên cứu nổi tiếng. Trang lừa đảo có thể lưu các dải IP này và tự động ẩn nội dung khi gặp lượt truy cập từ đó.

Định vị địa lý còn được dùng để bản địa hoá nội dung: dùng ngôn ngữ, tiền tệ, số điện thoại, thương hiệu địa phương, các ngày lễ và sự kiện của khu vực. Nạn nhân dễ tin hơn khi thấy thông tin và biểu tượng quen thuộc — kết hợp với tên miền gần giống tên miền chính thống, kỹ thuật này đánh lừa rất nhiều người trên khắp thế giới.

3. Nhắm mục tiêu theo thông tin thiết bị

Trang web thay đổi hành vi tuỳ thiết bị, hệ điều hành, trình duyệt hoặc đặc điểm phần cứng của người truy cập. Cùng một URL có thể hiển thị nội dung hoàn toàn khác cho điện thoại Android, iPhone, máy tính Windows hay macOS. Điều này làm được vì trình duyệt (Chrome, Firefox…) gửi kèm thông tin hệ điều hành trong mỗi yêu cầu HTTP.

Kẻ lừa đảo dùng kỹ thuật này để phát tán mã độc dành riêng cho từng nền tảng. Ví dụ, muốn phát tán mã độc Windows, chúng chỉ hiện nội dung lừa đảo cho người dùng Windows; nhà nghiên cứu dùng macOS hay điện thoại sẽ không thấy gì bất thường. Đây là một trong những phương pháp ngụy trang phổ biến nhất trong các chiến dịch lừa đảo và quảng cáo độc hại hiện đại.

4. Kích hoạt theo thời điểm

Trang lừa đảo chỉ trở nên độc hại trong những khoảng thời gian cụ thể. Kỹ thuật này thường đi cùng chiến dịch quảng cáo: Facebook và Google xem xét nội dung trang trước khi cho chạy quảng cáo và cấm nội dung lừa đảo, mạo danh. Kẻ gian vượt qua bằng cách đặt nội dung bình thường trong thời gian kiểm duyệt, rồi lập trình trang chỉ hiện nội dung lừa đảo vào giờ nhất định — ví dụ từ 20h đến 22h, khi nạn nhân thường trực tuyến. Hệ thống kiểm duyệt quảng cáo không xem được mã nguồn phía máy chủ nên khó biết trang có dùng kỹ thuật này hay không.

Cách này cũng giúp chúng tránh các phần mềm quét tự động, giảm khả năng bị phát hiện và tăng tỷ lệ thành công.

Nhóm 2: Che giấu đường link

5. Lạm dụng công cụ rút gọn URL

Công cụ rút gọn URL như Bitly hay TinyURL giúp link ngắn gọn, dễ chia sẻ và bớt cảm giác nguy hiểm. Khi bạn bấm link rút gọn, trình duyệt gửi yêu cầu đến máy chủ của dịch vụ rút gọn, rồi dịch vụ này chuyển hướng bạn đến link thật của kẻ lừa đảo. Nhờ đó, kẻ gian che giấu tên miền thật và mượn uy tín của Bitly, TinyURL.

Phương pháp này đặc biệt hay dùng trong tin nhắn SMS: link ngắn, đến từ dịch vụ nổi tiếng, khiến nạn nhân mất cảnh giác. Đừng bấm link rút gọn từ người lạ — hãy dán vào ô kiểm duyệt URL của SafePhone hoặc bật chặn trang web lừa đảo để link được kiểm tra trước khi mở.

6. URL dùng một lần

URL dùng một lần chỉ hiển thị nội dung lừa đảo một lần, sau đó nội dung biến mất hoặc thay đổi hoàn toàn. Về kỹ thuật, điều này không khó — nhà phát triển web có kinh nghiệm nào cũng làm được, và các đường dây có tổ chức thường có nhóm IT triển khai trên quy mô lớn.

Kịch bản điển hình: nạn nhân bấm link độc hại qua SMS, email, mạng xã hội hoặc quảng cáo và thấy nội dung lừa đảo — biểu mẫu đăng nhập giả, lời mời đầu tư, hoặc lời nhắc tải phần mềm độc hại. Nhưng khi mở lại link đó, hoặc gửi cho bạn bè hay nhà nghiên cứu để xác minh, trang có thể báo lỗi “404 Not Found”, chuyển sang trang vô hại, hoặc hiện nội dung bình thường không liên quan. Vì vậy, nếu nghi ngờ, hãy chụp màn hình ngay lần đầu thấy trang.

Nhóm 3: Qua mặt phần mềm quét tự động

7. Hiển thị nội dung bằng JavaScript

Nhiều phần mềm quét web dựa vào nội dung HTML để phân tích. Để che giấu ý đồ, trang lừa đảo hiện đại tránh đặt văn bản độc hại, biểu mẫu lừa đảo hay các chỉ báo đáng ngờ trực tiếp trong HTML ban đầu. Thay vào đó, chúng dùng JavaScript tạo nội dung động sau khi trang tải xong, thường dựa trên loại thiết bị, trình duyệt, cookie, vị trí hoặc tương tác của người dùng.

HTML ban đầu gần như trống hoặc hoàn toàn vô hại với máy quét, nhưng sau khi tải, JavaScript mới hiện nội dung giả mạo, biểu mẫu đăng nhập giả hoặc chuyển hướng sang trang khác. Một số trang chỉ kích hoạt với người dùng di động thật, còn hiển thị nội dung vô hại cho nhà nghiên cứu hoặc bot. Kỹ thuật này (client-side rendering) khiến việc phát hiện khó hơn đáng kể vì máy quét truyền thống có thể không chạy mã đủ lâu để thấy hành vi độc hại.

8. Hiển thị nội dung bằng hình ảnh

Tương tự, một số trang tránh đặt văn bản có nghĩa trong HTML mà hiển thị toàn bộ giao diện dưới dạng hình ảnh: biểu mẫu, thông báo, cảnh báo, banner quảng cáo, cả khung “chat với nhân viên hỗ trợ” giả mạo.

Vì nhiều hệ thống bảo mật chủ yếu phân tích cấu trúc HTML và từ khoá, trang chỉ có hình ảnh làm giảm đáng kể hiệu quả phát hiện. Nếu không phân tích hình ảnh nâng cao hoặc OCR (nhận dạng ký tự quang học), máy quét có thể không nhận ra việc mạo danh thương hiệu hay lời dụ dỗ nằm trong ảnh. Một số chiến dịch còn kết hợp với JavaScript, định vị địa lý hoặc nhắm mục tiêu theo thiết bị để phát các hình ảnh khác nhau tuỳ môi trường của nạn nhân.

Nhóm 4: Mượn uy tín của Google, quảng cáo và trang hợp pháp

9. Lợi dụng các trang web hợp pháp đã bị hack

Trường hợp này ít gặp hơn nhưng vẫn xảy ra — kể cả với trang web cơ quan nhà nước. Ở một số nơi, đầu tư cho an ninh mạng còn hạn chế hoặc bảo trì kém, nên trang chính thức vẫn có thể bị tấn công qua nền tảng CMS chưa vá lỗi, mật khẩu quản trị dễ đoán hoặc bị lộ, plugin lỗi thời, hay máy chủ có lỗ hổng — xem thêm lỗ hổng bảo mật doanh nghiệp.

Khi đã chiếm quyền, kẻ tấn công có thể đặt quảng cáo lừa đảo, link lừa đảo, quảng cáo đầu tư giả, nội dung cờ bạc, file mã độc hoặc chuyển hướng ngay trên trang chủ hay trang con. Có khi chúng âm thầm chèn link ẩn hoặc JavaScript độc hại chỉ chuyển hướng một số khách truy cập, trong khi trang vẫn trông bình thường.

Vì nội dung độc hại nằm trên tên miền chính thức, nạn nhân dễ tin hơn. Bài học: tên miền đáng tin cậy không phải lúc nào cũng đảm bảo nội dung đáng tin cậy.

10. SEO poisoning — thao túng kết quả tìm kiếm

Nhiều người tin kết quả tìm kiếm của Google hơn cả phán đoán của mình, và kẻ lừa đảo khai thác điều đó. Thay vì gửi link đáng ngờ, chúng thao túng thứ hạng để trang lừa đảo xuất hiện gần đầu kết quả cho các từ khoá phổ biến hoặc cấp bách.

Các đường dây lừa đảo ngày nay có đội ngũ sáng tạo nội dung riêng để sản xuất tài liệu thuyết phục, và đội ngũ SEO để đẩy thứ hạng trang. Khi người dùng tìm giải pháp trên Google, họ có thể vào đúng trang của kẻ lừa đảo. Những trang này thường có phần lớn nội dung đúng và vô hại để lấy lòng tin, còn một phần nhỏ là giả mạo — chủ yếu để dẫn người dùng tải phần mềm độc hại hoặc thanh toán trước.

11. Lạm dụng quảng cáo

Khi lên top SEO mất nhiều thời gian hoặc không làm được, kẻ lừa đảo trả tiền chạy Google Ads để trang của chúng hiện ở vị trí đầu tiên. Quảng cáo có chữ “Được tài trợ” để phân biệt với kết quả tự nhiên, nhưng người dùng thường bỏ qua và tin trang đầu tiên.

Kẻ gian tạo quảng cáo giả mạo ngân hàng, hãng hàng không, dịch vụ công, nền tảng tiền điện tử, công ty hỗ trợ kỹ thuật, dịch vụ giao hàng — dùng logo chính thức, mô tả chuyên nghiệp, đôi khi cả tên miền gần giống thương hiệu thật. Vì hệ thống quảng cáo vận hành ở quy mô rất lớn, quảng cáo độc hại đôi khi chạy được một thời gian ngắn trước khi bị phát hiện và gỡ — đủ để nhiều người bấm vào. Xem quảng cáo lừa đảo nhắm đến bạn như thế nào? và cách chặn quảng cáo trên Android.

12. Chuyển hướng truy cập qua nhiều bước

Đây không phải kỹ thuật mới mà là sự kết hợp các kỹ thuật trên. Nạn nhân không vào thẳng trang lừa đảo mà bị chuyển hướng âm thầm qua nhiều trang trung gian, hệ thống theo dõi, URL rút gọn, mạng quảng cáo, trang che giấu hoặc tên miền bị hack. Mỗi bước có một mục đích:

• Thay đổi nội dung độc hại
• Che giấu đích đến cuối cùng
• Vượt qua danh sách đen
• Lọc khách truy cập không mong muốn
• Theo dõi nạn nhân
• Né tránh trình quét tự động

Ví dụ, máy quét có thể chỉ kiểm tra lần chuyển hướng đầu tiên và kết luận link vô hại, trong khi nội dung lừa đảo chỉ xuất hiện sau vài lần chuyển hướng nữa, trong điều kiện rất cụ thể. Chuỗi chuyển hướng có thể kiểm tra: địa chỉ IP, quốc gia, trình duyệt, thiết bị và hệ điều hành, cookie, trang web nơi người dùng bấm link, và liệu lượt truy cập có phải là bot hay không. Nếu nghi khách là nhà nghiên cứu, trình thu thập bảo mật, máy ảo hoặc trình duyệt không giao diện (headless), chuỗi sẽ dừng sớm và hiện nội dung vô hại.

Các đường dây lừa đảo hiện đại dùng chuỗi chuyển hướng như hạ tầng “định tuyến” lưu lượng: mỗi nạn nhân có thể được đưa đến trang lừa đảo khác nhau tuỳ ngôn ngữ, vị trí, thiết bị, chiến dịch quảng cáo và giờ trong ngày. Không trang nào trong chuỗi nhất thiết trông độc hại — một số trang trung gian thậm chí thuộc mạng quảng cáo hợp pháp, nền tảng cloud uy tín, dịch vụ rút gọn URL hoặc trang bị hack. Máy quét phải theo được từng bước, mô phỏng hành vi người dùng thật và đúng điều kiện môi trường thì mới thấy được nội dung cuối cùng.

Làm thế nào để phát hiện website lừa đảo được ngụy trang?

Với các kỹ thuật trên, thuật toán phát hiện không thể chỉ dựa vào phân tích nội dung tĩnh. Trang lừa đảo hiện đại thay đổi hành vi linh hoạt theo thiết bị, vị trí, cookie, nguồn giới thiệu, lịch sử duyệt web, thậm chí cả thời gian truy cập. Một trang trông vô hại với máy quét có thể cùng lúc hiện biểu mẫu lừa đảo, file mã độc hay bảng điều khiển đầu tư giả cho nạn nhân được chọn.

Vì vậy, hệ thống phát hiện phải phát triển từ “kiểm tra trang” đơn giản thành phân tích hành vi và ngữ cảnh. Thay vì chỉ phân tích HTML hiển thị cuối cùng, cần quan sát:

• Chuỗi chuyển hướng
• Phản hồi khác nhau theo thiết bị
• Hành vi phụ thuộc vị trí địa lý
• Việc thực thi JavaScript
• Bất thường về thời gian
• Phản hồi khác nhau theo trình duyệt

Chẳng hạn, nếu một trang hoạt động khác nhau giữa điện thoại và máy tính, đổi nội dung sau vài lần truy cập, hoặc chỉ kích hoạt khi vào từ quảng cáo, thì chính sự không nhất quán này có thể là chỉ báo mạnh hơn cả nội dung hiển thị. Đó là lý do phát hiện lừa đảo hiện đại khó hơn nhiều so với lọc thư rác truyền thống: hệ thống lừa đảo không còn tĩnh, nó thích ứng, chọn lọc và “nghiên cứu” người truy cập trước khi lộ ý định thật.

Người dùng tự bảo vệ thế nào trước website lừa đảo được ngụy trang?

Bạn không cần hiểu hết các kỹ thuật trên để an toàn. Điểm chung của chúng là nhắm vào khoảnh khắc bạn bấm link — vì vậy hãy kiểm tra đúng lúc đó, trên chính thiết bị của bạn:

• Tự gõ địa chỉ hoặc dùng ứng dụng chính thức của ngân hàng, cơ quan nhà nước; không đi qua link trong tin nhắn, quảng cáo hay kết quả “Được tài trợ”.
• Đọc kỹ tên miền trên thanh địa chỉ sau khi trang đã mở — sau mọi lần chuyển hướng, tên miền cuối cùng mới là tên miền thật.
• Nghi ngờ link rút gọn từ người lạ, đặc biệt trong SMS.
• Không tải file (APK, .exe) từ trang bạn tìm thấy qua quảng cáo hay link lạ.
• Chụp màn hình ngay khi thấy trang đáng ngờ, vì URL dùng một lần có thể biến mất khi mở lại.
• Để link được kiểm tra tự động trên điện thoại: khi SafePhone là trình duyệt mặc định, mỗi đường link được đối chiếu với danh sách cảnh báo; nếu trang chưa có trong danh sách, SafePhone phân tích nội dung trang để tìm dấu hiệu giả mạo, và có thể kết hợp AI như OpenAI hoặc DeepSeek — xem SafePhone hoạt động như thế nào. Vì kiểm tra diễn ra trên chính điện thoại của bạn, nó gặp đúng thiết bị, vị trí và thời điểm mà kẻ gian nhắm tới.

Với trẻ em và người lớn tuổi, cách chắc chắn hơn là chặn web đen, chỉ mở web tin cậy: trang nào chưa được duyệt đều không mở được, bất kể nó ngụy trang tinh vi đến đâu. So sánh các công cụ trong bài so sánh ứng dụng chặn web lừa đảo.

Kết luận

12 kỹ thuật ngụy trang website lừa đảo cho thấy một điều: trang lừa đảo có thể trông vô hại với máy quét và cả với người khác, nhưng lộ mặt thật đúng lúc bạn bấm vào. Vì vậy, lớp bảo vệ hiệu quả nhất là kiểm tra ngay tại thời điểm mở link trên điện thoại của bạn, cộng với thói quen đọc kỹ tên miền và không tin link lạ.

Chặn web lừa đảo ngay khi bấm link với SafePhone

Câu hỏi thường gặp