Cách duyệt web an toàn: HTTPS, trình duyệt và tiện ích

Mỗi ngày chúng ta lướt web hàng giờ, nhập mật khẩu, số thẻ, thông tin cá nhân khắp nơi — và phần lớn rủi ro đến không phải từ hacker cao siêu mà từ vài thói quen sơ hở. Tin tốt: chỉ cần hiểu đúng vài thứ và chỉnh vài cài đặt, bạn đã giảm được phần lớn rủi ro thường gặp. Bài này đi từ hiểu lầm phổ biến nhất (ổ khóa HTTPS), tới cách nhận biết web giả, rồi thiết lập trình duyệt cho cả máy tính lẫn điện thoại.

Ổ khóa HTTPS nghĩa là gì — và không có nghĩa gì?

HTTPS (biểu tượng ổ khóa trên thanh địa chỉ) chỉ đảm bảo kết nối giữa bạn và trang web được mã hóa, nên kẻ khác khó nghe lén dữ liệu trên đường truyền. Đây là điều tốt và cần có. Nhưng đây là hiểu lầm tai hại nhất: HTTPS không có nghĩa trang đó uy tín.

Web lừa đảo ngày nay gần như đều có HTTPS để trông “chính chủ”. Vì vậy thấy ổ khóa chưa đủ — nó chỉ nói “đường truyền kín”, không nói “chủ trang là người tốt”. Quy tắc đơn giản: chỉ tin ổ khóa cho việc truyền dữ liệu, còn việc có nên nhập thông tin hay không thì phải xét tới trang đó là ai.

Cách nhận biết website giả mạo

Web giả mạo sống nhờ việc bạn không nhìn kỹ địa chỉ. Dấu hiệu nhận biết quan trọng nhất là tên miền (URL):

• Tên gần giống nhưng sai lệch: thêm/bớt chữ (vietcom-bank.com), đuôi lạ (.xyz, .top thay vì .com.vn).
• Tên thật bị nhét ra trước dấu chấm: ví dụ vietcombank.fake-site.com — nhìn thoáng thấy chữ “vietcombank” tưởng thật, nhưng tên miền thật luôn là phần ngay trước đuôi (.com), ở đây là fake-site.com, một trang giả. Hãy đọc tên miền từ đuôi ngược về trước.
• Lỗi chính tả, giao diện cẩu thả, logo mờ.
• Ưu đãi quá hời (“trúng iPhone”, “hoàn tiền 100%”) và hối thúc gấp (“tài khoản sắp khóa, xác minh ngay”).

Quy tắc vàng: khi nhận link qua tin nhắn/email, đừng bấm trực tiếp — tự gõ địa chỉ chính thức vào trình duyệt hoặc dùng app chính thức. Đây là cùng nguyên tắc với cảnh báo lừa đảo qua tin nhắn ngân hàng.

Thiết lập trình duyệt an toàn

Một trình duyệt được cập nhật và cấu hình đúng sẽ giúp bạn tránh được nhiều trang nguy hiểm. Vài thiết lập nên làm một lần:

• Luôn cập nhật trình duyệt lên bản mới nhất — bản vá lỗi bảo mật là lý do quan trọng nhất. (Chrome: Menu ⋮ → Trợ giúp → Giới thiệu Chrome, nó tự cập nhật.)
• Bật cảnh báo trang nguy hiểm — đây là tính năng “Duyệt web an toàn” (Safe Browsing), tự chặn/ cảnh báo khi bạn vào trang lừa đảo hoặc dính mã độc:
  • Chrome: Cài đặt → Quyền riêng tư và bảo mật → Duyệt web an toàn → chọn Bảo vệ nâng cao (hoặc ít nhất Bảo vệ tiêu chuẩn).
  • Chrome trên Android: ⋮ (góc phải) → Cài đặt → Quyền riêng tư và bảo mật → Duyệt web an toàn → chọn Bảo vệ nâng cao/tiêu chuẩn.
  • Safari trên iPhone: Cài đặt (của máy) → Apps/Safari → bật “Cảnh báo trang web giả mạo” (Fraudulent Website Warning).
• Quản lý quyền trang web: không cấp quyền vị trí, camera, micro, thông báo cho trang lạ. Rà lại tại Chrome: Cài đặt → Quyền riêng tư và bảo mật → Cài đặt trang web; thu hồi quyền đã trót cấp cho trang không cần.
• Cẩn thận khi tải file: không mở file .exe, .apk, .zip từ nguồn lạ; phần mềm nên tải từ trang chính thức của nhà phát hành.

Chọn tiện ích (extension) đúng cách

Tiện ích trình duyệt rất hữu ích nhưng cũng là cửa ngõ rủi ro, vì nhiều tiện ích có quyền đọc mọi thứ bạn duyệt. Nguyên tắc an toàn là cài ít và chọn lọc:

• Chỉ cài từ kho chính thức của trình duyệt, ưu tiên tiện ích nhiều người dùng và đánh giá tốt.
• Xem quyền nó xin trước khi cài — một tiện ích đổi nền tab mà đòi “đọc dữ liệu trên mọi trang” là đáng ngờ.
• Gỡ tiện ích không dùng — mỗi cái là một chỗ hở có thể bị lợi dụng.

An toàn trên điện thoại, không chỉ máy tính

Phần lớn người Việt lướt web bằng điện thoại nhiều hơn máy tính, nên đừng quên thiết bị này. Nguyên tắc tương tự, thêm vài lưu ý riêng:

• Cài app từ kho chính thức (App Store, Google Play), không tải file APK trôi nổi.
• Bật cảnh báo trang giả mạo trên điện thoại (làm một lần): Chrome Android → ⋮ → Cài đặt → Quyền riêng tư và bảo mật → Duyệt web an toàn; Safari iPhone → Cài đặt máy → (Apps →) Safari → bật “Cảnh báo trang web giả mạo”.
• Cảnh giác khi nhập thông tin qua Wi-Fi công cộng — hạn chế đăng nhập ngân hàng ở mạng lạ.
• Trên điện thoại càng khó nhìn URL đầy đủ, nên mở app chính thức thay vì gõ địa chỉ ngân hàng/ví trên trình duyệt.

Lớp khóa cuối: mật khẩu mạnh + 2 lớp

Ngay cả khi lỡ vào nhầm web hay bị lộ một mật khẩu, hai lớp bảo vệ này giúp thiệt hại không lan rộng. Đây là phần không thể thiếu của “duyệt web an toàn”:

• Dùng mật khẩu mạnh, mỗi nơi một khác — chi tiết trong cách tạo và quản lý mật khẩu an toàn.
• Bật xác thực 2 lớp (2FA) cho tài khoản quan trọng — kể cả lộ mật khẩu, kẻ xấu vẫn khó vào: xem cách bật xác thực 2 lớp.

Bước tiếp theo cụ thể

Làm ngay ba việc trong năm phút: cập nhật trình duyệt, bật cảnh báo trang nguy hiểm, và gỡ các tiện ích bạn không còn dùng. Từ hôm nay, tập một phản xạ duy nhất nhưng cứu bạn nhiều nhất: trước khi nhập mật khẩu hay số thẻ, liếc lại thanh địa chỉ xem đúng tên miền chính thức chưa. Thói quen nhỏ đó chặn được phần lớn các vụ lừa đảo phổ biến.