Mã chống lừa đảo (anti-phishing code) là gì, có cần bật không?

Anti-phishing code (mã chống lừa đảo) là một chuỗi ký tự bạn tự đặt trong phần cài đặt bảo mật của tài khoản sàn. Từ lúc đặt, email thật của sàn sẽ chèn đúng chuỗi đó, còn thư giả mạo không biết chuỗi để chèn. Đây là cách đơn giản để nhận ra phishing (lừa đảo giả danh để lấy mật khẩu, mã OTP, tức mã dùng một lần) qua email.

Mã đáng bật nếu sàn có, nhưng nó chỉ là một lớp kiểm thư. Mã không thay xác thực hai lớp (2FA), và không cứu được bạn khi bạn tự vào trang đăng nhập giả.

Anti-phishing code là gì?

Là chuỗi bí mật chỉ bạn và sàn biết, sàn in vào thư gửi bạn để bạn biết thư đó thật. Bạn chọn chuỗi, sàn lưu lại, rồi chèn nó vào tiêu đề hoặc thân email (vị trí tùy sàn).

Tên gọi và chỗ mã xuất hiện khác nhau tùy dịch vụ: mã có thể chỉ nằm trong email, hoặc nằm cả trong tin nhắn SMS. Đọc mô tả tính năng của chính sàn bạn dùng để biết mã hiện ở đâu.

Có cần bật mã chống lừa đảo không?

Có, nếu sàn có tính năng này: đặt một lần, gần như không có mặt trái. Cái giá duy nhất là bạn phải nhớ chuỗi, và phải nhớ rằng mã chỉ kiểm thư, không kiểm trang web.

Lý do nên bật nằm ở quy mô của phishing. Báo cáo năm 2024 của IC3, trung tâm tiếp nhận khiếu nại tội phạm mạng thuộc FBI (Cục Điều tra Liên bang Mỹ), ghi 193.407 khiếu nại loại phishing, giả mạo, đứng đầu bảng xếp theo số khiếu nại. Cùng năm, khiếu nại có liên quan tài sản mã hóa là 149.686, thiệt hại 9.322.335.911 USD (khoảng 9,32 tỷ USD).

Ở Việt Nam, Cục C03 (Bộ Công an) mô tả kẻ gian “giả mạo tổ chức tài chính, sàn giao dịch, nhân viên hỗ trợ” và dùng “các cảnh báo giả” để đòi “mật khẩu, mã OTP, mã xác thực hai lớp, khóa riêng tư hoặc cụm từ khôi phục ví” (Đại biểu Nhân dân, 18/9/2026). Thư “cảnh báo” giả là đúng loại mà mã chống lừa đảo giúp lọc.

Mã chống lừa đảo chặn được gì, không chặn được gì?

Mã chỉ trả lời một câu hỏi: thư này có phải do sàn gửi cho bạn không. Mọi kiểu lừa không đi qua email (hoặc tin nhắn có mã) thì mã không giúp được.

Tình huống	Mã có giúp không?	Vì sao	Nên làm gì
Email giả từ tên miền na ná (thêm chữ, đổi đuôi)	Có	Kẻ gian không biết chuỗi của bạn	Thiếu mã là bỏ thư, không bấm gì
Email giả “khóa tài khoản”, “lệnh rút chờ xác nhận”	Có	Như trên	Tự mở ứng dụng sàn để kiểm
SMS mang tên thương hiệu giả	Chỉ khi sàn chèn mã vào SMS	Tên người gửi SMS có thể bị giả	Không bấm link trong tin nhắn
Trang đăng nhập giả bạn vào từ quảng cáo, mạng xã hội	Không	Không có thư nào để kiểm	Vào sàn bằng dấu trang, ứng dụng đã cài
Cuộc gọi, tin Telegram, Zalo xưng hỗ trợ sàn	Không	Mã không đi qua các kênh này	Cúp máy, tự liên hệ kênh chính thức
Kẻ gian đã chiếm hộp thư của bạn	Không	Chúng đọc được mã trong thư thật	Lấy lại email, đổi mã, đổi mật khẩu
Bạn từng gửi ảnh chụp thư có mã cho “hỗ trợ viên”	Không	Mã đã lộ	Đổi mã ngay

Bảng do VietnamBit suy ra từ cách mã hoạt động (mã chỉ nằm trong thư sàn gửi). Chúng tôi chưa thấy cơ quan nào công bố số liệu đo hiệu quả riêng của tính năng này (dò đến 07/11/2026 trong tài liệu về phishing của cơ quan an ninh mạng Anh, Mỹ).

Hai dòng “Không” đầu bảng là kiểu lừa mà mã hoàn toàn không với tới. Trang giả không cần gửi thư cho bạn: nó chờ bạn tìm “đăng nhập sàn” trên công cụ tìm kiếm, bấm quảng cáo, rồi gõ mật khẩu và mã OTP. Cách kiểm tên miền trang giả ở bài phishing là gì.

Hộp thư đã lọc thư giả, sao vẫn cần mã?

Bộ lọc của hộp thư có thể chặn thư giả dùng đúng tên miền của sàn, nhưng không chặn tên miền na ná do kẻ gian tự đăng ký. Mã chống lừa đảo lấp chỗ hở đó vì nó không phụ thuộc tên miền.

Các hộp thư lớn kiểm thư bằng ba lớp xác thực mà bên gửi tự cài cho tên miền của mình:

• SPF (bản ghi khai báo máy chủ nào được gửi thư thay tên miền).
• DKIM (chữ ký số gắn vào thư, cho biết thư đến từ tên miền đó và không bị sửa dọc đường).
• DMARC (chính sách báo hộp thư nhận phải làm gì với thư không qua SPF, DKIM).

Từ 1/2/2024, Google buộc mọi bên gửi thư tới Gmail cài SPF hoặc DKIM, và bên gửi trên 5.000 thư/ngày phải cài cả SPF, DKIM, DMARC. Google viết các lớp này giúp bảo vệ người nhận khỏi thư “spoofing and phishing”. Nhưng với DMARC, Google chỉ đòi có bản ghi: chính sách “can be set to none”, tức bên gửi chưa phải yêu cầu hộp thư chặn thư giả.

Chỗ hở: kẻ gian đăng ký một tên miền gần giống, tự cài SPF, DKIM, DMARC cho nó, thư của chúng vẫn “qua kiểm” vì đúng là gửi từ tên miền của chúng. Bộ lọc không biết tên miền đó giả danh ai. Chỉ bạn biết thư thật phải có BienXanh47.

Lộ dữ liệu khách hàng làm thư giả thật đến mức nào?

Khi dữ liệu khách bị lộ, kẻ gian viết được thư có đúng tên, số điện thoại, thậm chí số dư của bạn. Chi tiết đúng không còn là dấu hiệu thư thật.

Hai sự cố đã được chính doanh nghiệp công bố, một vụ qua Form 8-K, báo cáo sự kiện quan trọng mà công ty niêm yết nộp cho SEC (Ủy ban Chứng khoán và Giao dịch Mỹ):

Sự cố	Dữ liệu bị lộ (theo doanh nghiệp)	Nguồn
Coinbase, nhận thư tống tiền ngày 11/5/2025	Tên, địa chỉ, số điện thoại, email; 4 số cuối mã an sinh xã hội; số tài khoản ngân hàng che một phần; ảnh giấy tờ tùy thân; số dư tại một thời điểm và lịch sử giao dịch	Form 8-K nộp SEC ngày 15/5/2025
Ledger, truy cập trái phép ngày 25/6/2020	Khoảng 1 triệu địa chỉ email; 9.500 khách lộ thêm họ tên, địa chỉ, số điện thoại, sản phẩm đã mua	Thông báo của Ledger ngày 29/7/2020

Theo hồ sơ 8-K, kẻ gian có vẻ đã trả tiền cho một số nhân viên, người làm hợp đồng ở bộ phận hỗ trợ ngoài nước Mỹ để lấy dữ liệu. Sự cố không lộ mật khẩu hay khóa riêng tư. Coinbase ước tính sơ bộ chi phí khắc phục và hoàn tiền tự nguyện cho khách bị lừa khoảng 180–400 triệu USD.

Hồ sơ cũng nói Coinbase đang tăng chống gian lận để giảm rủi ro dữ liệu bị dùng cho “social-engineering attempts” (lừa bằng thao túng tâm lý). Với dữ liệu như vậy, thư giả có thể gọi đúng tên bạn và nhắc đúng số dư. Thứ chúng vẫn thiếu là chuỗi bí mật bạn tự đặt, trừ khi chính chuỗi đó cũng bị lộ.

Cách đặt mã chống lừa đảo cho đúng

Đặt mã khi đang đăng nhập bằng ứng dụng hoặc tên miền đã lưu, rồi kiểm ngay thư kế tiếp có mã chưa. Tên mục và giới hạn ký tự khác nhau tùy sàn.

1. Mở sàn bằng ứng dụng đã cài hoặc dấu trang của bạn, không qua đường dẫn trong thư hay tin nhắn.
2. Tìm trong phần bảo mật của tài khoản mục có tên kiểu “Anti-phishing code” hoặc “Mã chống lừa đảo”.
3. Gõ chuỗi bạn chọn (xem bảng dưới), xác nhận bằng 2FA nếu sàn yêu cầu.
4. Kiểm thư kế tiếp sàn gửi (thư xác nhận đổi cài đặt, nếu có) xem chuỗi đã hiện đúng chỗ chưa.
5. Ghi nhớ chuỗi. Thư nhận trước ngày đặt mã sẽ không có mã, nên đừng dùng mã để xét thư cũ.

Nên	Không nên
Chuỗi chỉ bạn hiểu, dễ nhận ra bằng mắt (BienXanh47)	Trùng mật khẩu, trùng mã PIN
Mỗi sàn một chuỗi khác nhau	Tên, ngày sinh, số điện thoại
Đổi khi nghi lộ	Đăng ảnh chụp thư có mã lên nhóm chat, mạng xã hội

Mã chống lừa đảo không phải mật khẩu, không dùng để đăng nhập. Ai xin mã này, kể cả người xưng nhân viên sàn, là đang chuẩn bị làm thư giả cho bạn. Các kiểu giả hỗ trợ viên ở bài giả mạo nhân viên hỗ trợ sàn.

Đọc một email từ sàn: kiểm theo 4 bước

Kiểm mã trước, rồi tên miền người gửi, rồi nội dung, và luôn tự mở ứng dụng thay vì bấm đường dẫn. Một bước sai là dừng.

1. Mã: có đúng chuỗi của bạn, đúng từng ký tự không? Thiếu hoặc sai là thư giả.
2. Địa chỉ gửi: xem địa chỉ email thật, không chỉ tên hiển thị. Tên miền phải khớp tên miền chính thức của sàn (với các hồ sơ trong nước, đối chiếu trang kênh chính thức).
3. Nội dung: thư đòi cụm từ khôi phục, khóa riêng tư, mã OTP, hay đòi chuyển tiền “giải tỏa”, “nộp phạt” là lừa, dù có mã hay không.
4. Hành động: tự mở ứng dụng hoặc gõ tên miền để xem thông báo. Không bấm nút trong thư, kể cả thư đã qua 3 bước trên.

Ngoài bước 3, NCSC (cơ quan an ninh mạng quốc gia Anh) liệt kê các dấu hiệu chung của thư lừa: xưng có thẩm quyền, hối thúc “within 24 hours”, gây hoảng sợ, hoặc mời chào thứ khan hiếm. NCSC khuyên liên hệ thẳng tổ chức bằng thông tin trên website chính thức, không dùng số điện thoại hay địa chỉ trong thư.

Email thiếu mã hoặc sai mã thì làm gì?

Đừng bấm, đừng trả lời, đừng tải tệp đính kèm; tự mở ứng dụng sàn để kiểm. Rồi báo cho sàn và báo trang giả nếu thư có đường dẫn.

• Mở ứng dụng, xem lịch sử đăng nhập, lệnh rút, thiết bị đang đăng nhập. Không có gì lạ thì thư chỉ là mồi.
• Chuyển tiếp thư (dạng tệp đính kèm nếu được) cho địa chỉ báo lừa đảo mà sàn công bố trên website chính thức.
• Đường dẫn trong thư dẫn tới trang giả: báo lên Tín nhiệm mạng (tinnhiemmang.vn, hệ thống nhận báo cáo trang lừa đảo), cách làm ở bài phishing là gì.
• Đã lỡ bấm và nhập mật khẩu, OTP: đổi mật khẩu từ thiết bị sạch, đăng xuất mọi thiết bị, kiểm và khóa rút tiền. Mất tiền thì tố giác với công an.

Có đúng mã thì thư chắc chắn thật?

Không chắc: mã đúng chỉ chứng minh người gửi biết mã, và kẻ gian biết được mã nếu đọc được hộp thư của bạn. Đó là lý do email phải được khóa kỹ hơn cả tài khoản sàn.

Ba cách mã lộ:

• Hộp thư bị chiếm (lộ mật khẩu email, SIM swap là chiếm số điện thoại để nhận mã khôi phục email). Kẻ gian đọc thư thật, chép mã, gửi thư giả có mã.
• Bạn gửi ảnh chụp thư cho người lạ “nhờ kiểm tra”.
• Dữ liệu ở phía dịch vụ bị lộ (như các sự cố ở trên) mà dữ liệu đó có chứa mã.

Gặp một trong ba: lấy lại email trước, rồi đổi mật khẩu sàn, đổi mã chống lừa đảo. Các bước khóa email và số điện thoại dùng cho sàn ở bài bảo mật email, số điện thoại cho tài khoản sàn.

Mã chống lừa đảo khác mật khẩu, 2FA, passkey thế nào?

Mật khẩu, 2FA, passkey dùng để bạn chứng minh mình với sàn; mã chống lừa đảo dùng để sàn chứng minh mình với bạn. Vì đi theo chiều ngược lại, mã không thay được lớp nào trong ba lớp kia. Passkey là khóa đăng nhập gắn với tên miền, mở bằng vân tay hoặc khuôn mặt.

Lớp	Ai đưa cho ai	Chống trang giả?	Lộ ra thì sao
Mật khẩu	Bạn đưa sàn	Không	Kẻ gian thử đăng nhập
Mã OTP 2FA (SMS, ứng dụng)	Bạn đưa sàn	Không (NIST)	Trang giả chuyển tiếp mã, đăng nhập thay bạn
Passkey	Thiết bị của bạn ký cho đúng tên miền	Có	Không có mã để lộ
Mã chống lừa đảo	Sàn đưa bạn	Không, chỉ kiểm thư	Kẻ gian làm được thư giả có mã

NIST (Viện Tiêu chuẩn và Công nghệ Mỹ) viết trong SP 800-63B-4 rằng phương thức bắt người dùng tự gõ mã nhận được, như OTP, “SHALL NOT be considered phishing-resistant”, vì trang giả có thể chuyển tiếp mã cho dịch vụ thật. Passkey thì không đưa khóa cho tên miền lạ. Cách passkey làm được điều đó và nên chọn loại 2FA nào ở bài 2FA là gì.

Sàn trong nước có mã chống lừa đảo không?

Theo lần kiểm ngày 07/11/2026, chưa hồ sơ nào trong 5 hồ sơ đang xét cấp phép công bố tính năng mã chống lừa đảo. Tính đến 12/11/2026, chưa sàn nào được cấp phép.

Hồ sơ	Mã chống lừa đảo	Ghi chú kiểm ngày 07/11/2026
TCEX	Chưa công bố	Trang chủ tcex.com.vn ghi “Sắp ra mắt”
CAEX	Chưa công bố	Trang chủ caex.com.vn nêu “Bảo mật đa lớp” gồm mã hóa end-to-end, ví lạnh và HSM (thiết bị phần cứng giữ khóa); không nhắc mã chống lừa đảo
SCEX	Chưa công bố	Trang chủ chặn truy cập tự động, chưa đọc được
VIXEX	Chưa công bố	VietnamBit chưa ghi nhận website chính thức
CTCP Tài sản số Việt Nam	Chưa công bố	VietnamBit chưa ghi nhận website chính thức

Nghị quyết 05/2025/NQ-CP không nhắc mã chống lừa đảo. Nghị quyết buộc sàn được cấp phép “bảo đảm an ninh, an toàn hệ thống công nghệ thông tin; bảo vệ tài sản của khách hàng” (Điều 15 khoản 2 điểm a). Sàn còn phải giải quyết, bồi thường theo quy định pháp luật khi nhà đầu tư mất tiền, tài sản mã hóa do “hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo” (điểm m).

Ngân hàng thì có cam kết rõ hơn. Ngân hàng Nhà nước (23/1/2025) cho biết ngân hàng, trung gian thanh toán “không gửi tin nhắn SMS, thư điện tử cho khách hàng có nội dung chứa đường dẫn liên kết” (trừ khi khách yêu cầu), nên thư có đường dẫn có thể xác định là giả. Cam kết này chỉ áp dụng ngân hàng, trung gian thanh toán; chúng tôi chưa thấy quy định tương tự cho sàn tài sản mã hóa.

Kẻ gian ở Việt Nam đang dùng thư, tin nhắn giả thế nào?

Đã có cảnh báo về giả danh sàn và tin nhắn Brandname giả; báo khóa tài khoản giả quanh mốc 6 tháng là kịch bản VietnamBit dự báo. Các kiểu này có thể đến qua email, tin nhắn, đúng chỗ mã chống lừa đảo có ích.

• Giả danh sàn trong nước: hồ sơ chưa được cấp phép thì chưa được cung cấp dịch vụ, nên thư tự xưng của một hồ sơ mời mở tài khoản, nạp tiền là dấu hiệu đầu tiên cần nghi. Cách kiểm ở bài mạo danh sàn sắp được cấp phép.
• Thông báo khóa tài khoản giả (dự báo của VietnamBit, chúng tôi chưa thấy cơ quan nhà nước cảnh báo riêng, dò đến 31/10/2026 trên báo và trang cơ quan): thư báo tài khoản sàn nước ngoài “sắp bị khóa theo luật Việt Nam”, đòi rút về một ví lạ. Luật thật nói gì ở bài thông báo khóa tài khoản giả quanh mốc 6 tháng.
• Tin nhắn Brandname giả: Công an TP Hà Nội (9/9/2026) cảnh báo “tin nhắn Brandname giả mạo” (tin nhắn mang tên thương hiệu) đòi “mã OTP, mật khẩu tài khoản”. Tên người gửi đúng thương hiệu chưa đủ để tin.

Khi các sàn được cấp phép bắt đầu hoạt động, nên bật mã chống lừa đảo ngay khi mở tài khoản (nếu sàn có), trước khi thư giả kịp tới.