Hacker Lợi Dụng Google AppSheet Để Gửi Email Độc Hại Vượt Mặt Bộ Lọc Spam

27/05/2026 08:00:00

Lại thêm một thủ đoạn vô cùng tinh vi từ tội phạm mạng! Lần này, chúng không cần phải tạo ra những địa chỉ email giả mạo lố bịch nữa. Thay vào đó, chúng đang lợi dụng chính một công cụ hợp pháp của Google là AppSheet để phát tán hàng loạt email lừa đảo (phishing), dễ dàng xuyên thủng các hệ thống an ninh mạng của doanh nghiệp và người dùng cá nhân.

Là một người luôn theo dõi sát sao các chiêu trò của tin tặc, tôi đánh giá đây là một chiến dịch đặc biệt nguy hiểm bởi nó đánh lừa được cả hệ thống bảo mật lẫn mắt thường của người dùng. Dưới đây là cách chúng dàn dựng vở kịch này:

🚨 Chiêu Trò Lợi Dụng "Hàng Chính Chủ" Google

Google AppSheet vốn là một nền tảng tuyệt vời giúp người dùng tạo ứng dụng mà không cần viết mã (no-code), trong đó có tính năng gửi email tự động. Tin tặc đã lợi dụng chính tính năng này bằng cách:

Tạo Ứng Dụng Giả Mạo: Chúng tạo ra các ứng dụng AppSheet rác và thiết lập các quy trình tự động hóa để gửi email.
Ngụy Trang Dưới Vỏ Bọc Uy Tín: Các email lừa đảo (thường mang nội dung đe dọa khóa tài khoản, yêu cầu xác minh thanh toán, hoặc thông báo hóa đơn khẩn cấp) sẽ được gửi đi từ địa chỉ chính thức noreply@appsheet.com.
Vượt Mặt Mọi Bộ Lọc: Vì email thực chất được gửi từ máy chủ hợp pháp của Google, chúng nghiễm nhiên vượt qua các giao thức xác thực khắt khe nhất như SPF, DKIM hay DMARC. Các bộ lọc thư rác (spam filter) thông thường sẽ hoàn toàn bị "mù" và cho phép email này nằm chễm chệ trong hộp thư đến (Inbox) của bạn.
Đưa Nạn Nhân Vào Tròng: Khi người dùng hoảng sợ nhấp vào đường link đính kèm, họ sẽ bị dẫn đến một trang đăng nhập giả mạo (thường là giả mạo Microsoft 365, Google hoặc Facebook) để tin tặc đánh cắp thông tin đăng nhập và mật khẩu.

🛡️ Làm Thế Nào Để Tránh Bẫy "Sói Đội Lốt Cừu"?

Sự thật phũ phàng là chúng ta không thể chỉ nhìn vào địa chỉ người gửi để xác định một email là an toàn nữa. Để bảo vệ dữ liệu cá nhân và tài sản số của bạn trước chiêu trò tinh vi này, hãy áp dụng ngay các nguyên tắc sau:

Đừng Tin Tưởng Mù Quáng Vào Địa Chỉ Email: Ngay cả khi email đến từ @appsheet.com hay bất kỳ dịch vụ uy tín nào khác của Google, Microsoft, Amazon... hãy luôn giữ thái độ hoài nghi nếu nội dung mang tính chất đe dọa, thúc giục hoặc yêu cầu cung cấp thông tin nhạy cảm.
Kiểm Tra Kỹ Đường Link (URL): Trước khi nhấp vào bất kỳ nút bấm hay liên kết nào trong email, hãy rê chuột (hover) qua đó để xem địa chỉ URL thực sự sẽ dẫn bạn đi đâu. Nếu nó trông kỳ lạ hoặc không khớp với trang web chính thức của dịch vụ, hãy dừng lại ngay.
Không Bao Giờ Đăng Nhập Từ Link Gắn Kèm: Nếu nhận được yêu cầu cập nhật tài khoản hoặc xem hóa đơn, hãy tự mở trình duyệt và gõ trực tiếp địa chỉ trang web của dịch vụ đó, thay vì đi đường tắt qua link trong email.
Kích Hoạt Bảo Mật 2 Lớp (2FA/MFA): Đây là tấm khiên cứu mạng cuối cùng của bạn. Ngay cả khi bạn lỡ tay nhập mật khẩu vào trang web giả mạo, hacker vẫn không thể đăng nhập thành công nếu thiếu mã xác thực trên điện thoại của bạn.
Sử Dụng Phần Mềm Bảo Mật Chuyên Sâu: Hãy trang bị các giải pháp bảo mật điểm cuối và chống lừa đảo (Anti-Phishing) uy tín (như Kaspersky). Các phần mềm này không chỉ quét email mà còn phân tích hành vi của các đường link độc hại theo thời gian thực để chặn đứng kết nối.