Sự phát triển của thư rác email

Email spam đầu tiên được Gary Thuerk gửi vào năm 1978 tới khoảng 400 người. Email đó bao gồm một tờ giới thiệu về các máy tính DECSYSTEM-20. Nó thành công ngoài sức tưởng tượng và tạo ra khoảng 13 triệu USD doanh số. Nó cũng mở ra email như một kênh mới để tiếp cận khách hàng và bán sản phẩm.

Có hai cách để nhìn nhận email spam.

1. Nó rơi vào hộp thư đến của bạn, bạn nhấp xóa, có gì to tát đâu?

2. Một trò chơi mèo vờn chuột mang tính quốc tế, nơi hộp thư đến của bạn, và những gì xuất hiện trong đó, nằm ở tuyến đầu khi các tập đoàn công nghệ lớn, cơ quan chính phủ và tổ chức tội phạm chiến đấu vì sự an toàn, sự chú ý và tài khoản ngân hàng của bạn.

Cách nhìn thứ hai có thể nghe hơi kịch tính, nhưng nếu nó giúp bạn bớt được vài cơn đau đầu và có thể cả một ít tiền, thì đáng để hiểu rõ, đúng không?

À thì… mọi chuyện bắt đầu từ một câu đùa về một hộp thịt đóng hộp.

Email spam là gì, và tại sao nó lại được gọi là spam?

Spam có thể là nhiều thứ, quảng cáo, lừa đảo, bản tin rác, và còn nhiều nữa. Nhưng có một điều spam chắc chắn không phải, đó là được mời. Giống như một đàn muỗi kéo đến ngay khi vừa nhắc đến mùa hè, spam gần như luôn xuất hiện hàng loạt. Nó không được yêu cầu, không được mong muốn và cực kỳ phiền phức.

Nhưng tại sao nó lại trùng tên với một hộp thịt đóng hộp làm từ vai heo và giăm bông? Để giải thích điều đó, chúng ta phải cảm ơn một tiểu phẩm nổi tiếng của Monty Python, nơi từ “spam” được lặp đi lặp lại hết lần này đến lần khác, gần như đến mức phát điên. Điều này đã củng cố “spam” như một biểu tượng của sự dai dẳng và không mong muốn. Năm 1993, một người dùng internet nhanh trí đã lấy ý tưởng này và mô tả một làn sóng bài đăng lặp đi lặp lại là spam, và voilà, cái tên đó gắn liền từ đó.

Nhưng, bất chấp nguồn gốc có phần kỳ quặc của nó, bản thân từ này không thể hiện được spam có thể gây hại đến mức nào – hay việc loại bỏ nó khó ra sao. Giống như muỗi, email spam thường mang theo những thứ nguy hiểm có thể tàn phá thiết bị của bạn. Chưa kể đến rủi ro đối với dữ liệu cá nhân của bạn, và cơn đau đầu có thể đi kèm khi hộp thư đến của bạn bị lấp đầy bởi những quảng cáo mờ ám. Nhưng hiểu về lịch sử sẽ giúp ích. Nếu bạn hiểu được spam tìm đường vào hộp thư đến của mình như thế nào, bạn sẽ làm tốt hơn trong việc ngăn nó xâm nhập.

Email spam đầu tiên được gửi khi nào?

Vậy thư spam đến từ đâu? Có thể bạn sẽ ngạc nhiên khi biết rằng email spam đầu tiên được gửi đi trước cả khi internet tồn tại. Nó không đến từ một nhóm tội phạm mờ ám nào, mà từ một nhà tiếp thị đơn lẻ đang cố bán một dòng máy tính mới, và tin hay không thì tùy, nó đã kiếm về hàng triệu đô.

Trở lại năm 1978, giám đốc marketing Gary Thuerk đã gửi một email tới khoảng 400 người thông qua ARPANET, mạng lưới quân sự có trước internet. Thông điệp của ông là lời mời tham dự một buổi giới thiệu về các máy tính DECSYSTEM-20 mới. Email đó mang về khoảng 13 triệu USD doanh số, nhưng cũng khiến gần như mọi người nhận được nó cảm thấy khó chịu.

Phần thú vị nhất của câu chuyện trong lịch sử spam này không phải là thời điểm email được gửi, mà là tính hai mặt nằm sau email spam. Một mặt, có những khoản tiền khổng lồ có thể kiếm được từ quảng cáo gửi tới hàng trăm, hàng nghìn, thậm chí hàng triệu người. Nhưng mặt khác, spam rõ ràng là rất phiền. Đáng tiếc, đây chính là mối quan hệ giằng co sẽ theo spam suốt lịch sử đầy biến động của nó.

Spam đã phát triển như thế nào qua các thập kỷ?

Nếu bạn đủ may mắn lớn lên trong thời đại được Google và Microsoft bảo vệ, có thể bạn sẽ không nhớ những ngày đầu của internet, khi việc dọn spam khỏi hộp thư đến là một công việc mang tính thủ công hơn nhiều.

Dòng thời gian phát triển của email spam

Những năm 1980–1990: Miền viễn tây hoang dã của email

Năm 1983, một năm trước dự đoán của George Orwell về một siêu nhà nước toàn trị, một điều rất khác đang dần hình thành. Lần đầu tiên, nhiều mạng độc lập có thể kết nối với nhau, tạo nên nền tảng cho mạng lưới toàn cầu của các mạng lưới ngày nay, hay như cách chúng ta gọi là internet.

Trong thập kỷ tiếp theo, hàng triệu người dùng mới lên mạng và bắt đầu tạo địa chỉ email. Không có một cơ quan trung ương nào để nói rằng “bạn không được làm vậy” và email về cơ bản có thể đóng vai trò như một kênh quảng cáo miễn phí. Một thông điệp được phát đi tới hàng nghìn, thậm chí hàng triệu người với chi phí gần như bằng không.

Kết quả là gì? Trong những năm 1990, spam bùng nổ, và các nỗ lực kiểm soát nó cũng vậy. Năm 1994, các luật sư Canter & Siegel đã phát động quảng cáo “Green Card Lottery” khét tiếng của họ trên hàng nghìn nhóm Usenet, thường được xem là chiến dịch spam thương mại lớn đầu tiên. Các biện pháp phòng vệ nhanh chóng xuất hiện sau đó. Mail Abuse Prevention System (MAPS) triển khai Real-time Blackhole List đầu tiên vào năm 1996, chặn thư từ các máy chủ spam đã biết, và các nhóm như Spamhaus xây dựng danh sách chặn cũng như chia sẻ thông tin tình báo để ngăn spammers xâm nhập.

Những năm 2000: Thập kỷ spam trở nên đen tối

Những năm 2000 có thể đã đánh dấu sự kết thúc của thiên niên kỷ, nhưng với nhiều người, đó mới là khởi đầu thực sự của những email phiền toái tràn ngập hộp thư đến. Google, Yahoo và Microsoft đều tham gia làn sóng ngăn chặn spam. Nhưng đó không còn là những quảng cáo sến súa hay các chiêu làm giàu nhanh nữa, spam đang trở nên đen tối hơn. Những kẻ phát tán spam đã bắt đầu sử dụng “botnet”, tức các mạng lưới máy tính bị nhiễm mã độc, để gửi spam trên quy mô khổng lồ.

Các chính phủ quyết định đã đến lúc phải can thiệp. Năm 2003, Mỹ ban hành Đạo luật CAN-SPAM (Controlling the Assault of Non-Solicited Pornography and Marketing). Luật này buộc những kẻ phát tán spam phải tôn trọng yêu cầu từ chối nhận thư và tránh các dòng tiêu đề gây hiểu lầm, nhưng điểm bất cập là trách nhiệm hủy đăng ký vẫn đặt lên vai người nhận. Trong khi đó, châu Âu áp dụng cách tiếp cận nghiêm ngặt hơn. EU thiết lập hệ thống opt-in cho email marketing, nghĩa là các công ty không thể gửi email thương mại nếu chưa được cho phép trước.

Những năm 2000 đánh dấu sự bùng nổ thực sự của trò chơi mèo vờn chuột đã trở thành đặc trưng của spam. Những kẻ phát tán spam nghĩ ra các mánh mới, còn bên phòng thủ tìm cách đối phó. Lấy ví dụ như bộ lọc Bayesian, nó quét các từ trong email, tính toán xác suất và quyết định đó là thư rác hay thư thật. Khi mới xuất hiện, đây là một bước đột phá trong cách các nhà cung cấp email có thể mạnh tay với spam. Năm 2004, Bill Gates thậm chí còn dự đoán rằng vấn đề spam sẽ được giải quyết trong vòng hai năm. Nhưng, như thường lệ, những kẻ phát tán spam nhanh chóng thích nghi.

Ví dụ về cuộc đối đầu qua lại với spam trong thực tế:

Kỷ nguyên hiện đại: Khi spam học cách suy nghĩ

Stephen Hawking từng cảnh báo rằng một ngày nào đó con người có thể đối với AI giống như chó đối với con người, một suy nghĩ đáng suy ngẫm. Và dù điều đó nghe có vẻ ảm đạm, cũng không hề cường điệu khi nói rằng sự trỗi dậy của AI có thể mang tính chuyển đổi mạnh mẽ như phát minh ra động cơ hơi nước. Vì vậy, không có gì ngạc nhiên khi AI đang định hình cuộc chiến giữa những người tìm cách kiếm lời từ spam và những người cố gắng kiểm soát nó. Điểm khác biệt là, không giống các bộ lọc spam truyền thống, AI có thể học hỏi và thích nghi.

Điều mỉa mai ở đây là những kẻ lừa đảo đang dùng chính các công cụ để cải thiện email spam của họ giống như sinh viên đại học dùng để vượt qua kỳ thi. Trước khi có các công cụ AI, email spam đầy lỗi chính tả, lỗi ngữ pháp và những dấu hiệu cảnh báo quá rõ ràng. Giờ đây, nhờ các mô hình ngôn ngữ lớn, những email spam với ngữ pháp hoàn hảo, giọng điệu bản địa hóa và các mồi nhử được cá nhân hóa có thể được gửi hàng loạt. Thay vì gửi 10’000 email giống hệt nhau, kẻ lừa đảo có thể gửi 10’000 email hơi khác nhau và tránh được bộ lọc. Bằng cách chạy văn bản qua các mô hình mô phỏng chấm điểm spam, kẻ tấn công có thể tinh chỉnh thông điệp của mình cho đến khi chúng trông “an toàn”.

Các ông lớn email cũng đang làm điều tương tự. Họ sử dụng AI và machine learning không chỉ để quét nội dung mà còn để phân tích hành vi người gửi, tín hiệu mạng và thậm chí cả ngữ cảnh của thông điệp. Ví dụ, Gmail giờ đây có thể phát hiện các mẫu đáng ngờ, như những đợt email tăng đột biến từ các miền mới hoặc nội dung bắt chước các mồi nhử phishing đã biết, rồi thích ứng theo thời gian thực để chặn các chiến dịch spam mới.

Spam đã tác động thế nào đến email và doanh nghiệp?

Nếu quay lại câu chuyện nguồn gốc của thư spam và cái tên lấy từ Monty Python của nó, chủ đề khi đó rất đơn giản: phiền phức. Hồi đó, đó chính xác là cách phần lớn mọi người nhìn nhận spam. Nhưng trong những thập kỷ kể từ đó, nó đã trở nên nguy hiểm hơn rất nhiều. Nhấp vào nhầm liên kết giờ đây có thể đồng nghĩa với virus hoặc tổn thất tài chính nghiêm trọng.

Và không chỉ cá nhân mới gặp rủi ro. Kể từ những năm 2000, những kẻ lừa đảo đã nghĩ ra các cách tinh vi để nhắm vào những mục tiêu lớn hơn. Nhiều chiêu trò trong số này thậm chí còn có những biệt danh nghe bắt tai, làm giảm nhẹ mức độ nghiêm trọng thực sự của hậu quả mà chúng có thể gây ra.

Ví dụ về spam nhắm vào doanh nghiệp:

Spam hàng loạt và lừa đảo – Email hàng loạt vẫn tràn ngập hộp thư đến mỗi ngày, từ quảng cáo phiền toái đến xổ số giả hoặc các chiêu trò “hoàng tử Nigeria”. Chúng ở mức độ thấp hơn nhưng làm lộn xộn hộp thư đến và vẫn có thể lừa được nhân viên.

Email phishing – Mạo danh các thương hiệu đáng tin cậy và dụ người dùng đến các trang web giả. Từng khá vụng về, những email phishing này giờ đã được trau chuốt, tự động hóa và khó phân biệt với hàng thật.

Spear phishing và whaling – Các cuộc tấn công có chủ đích sử dụng tên thật hoặc dự án thật để đánh lừa những nhân viên cụ thể. Khi nhắm vào lãnh đạo cấp cao, nó được gọi là “whaling”, và khoản thu về có thể rất lớn.Business Email Compromise (BEC) – Tội phạm giả danh CEO, nhà cung cấp hoặc bộ phận nhân sự để lừa nhân viên chuyển tiền hoặc gửi dữ liệu.

Mã độc và ransomware – Spam thường mang theo tệp đính kèm hoặc liên kết độc hại. Chỉ một cú nhấp có thể giải phóng virus hoặc ransomware, khóa toàn bộ hệ thống và khiến doanh nghiệp thiệt hại hàng triệu đô.

Nhưng mối nguy thực sự nằm ở quy mô của hậu quả. Spam lãng phí thời gian ở mức khổng lồ. Nhân viên phải cân nhắc lại các email hoặc quản lý phải điều tra những cảnh báo giả. Tất cả những điều đó đều bào mòn năng suất.

Chi phí thực sự của spam

FBI ước tính riêng Business Email Compromise đã gây thất thoát hơn 50 tỷ USD trong giai đoạn 2013 đến 2022. Đó là lý do cuộc chiến chống spam vẫn tiếp tục phát triển. Các bộ lọc giờ đây nhìn xa hơn từ khóa để quét các mẫu, tệp đính kèm và thậm chí cả hành vi người gửi. Các luật như CAN-SPAM và GDPR đặt ra quy tắc về sự đồng ý và tính minh bạch. Và các nhà cung cấp email đã bổ sung các biện pháp bảo vệ như SPF, DKIM và DMARC, khiến kẻ tấn công khó giả danh người khác hơn rất nhiều.

Ngày nay chúng ta chống spam như thế nào?

Các bộ lọc spam hiện đại được hỗ trợ bởi AI và machine learning. Chúng có thể phân tích hành vi người gửi và ngữ cảnh của thông điệp, sau đó thích ứng theo thời gian thực.

Nhưng nhận thức vẫn rất quan trọng. Ngay cả với các bộ lọc spam tốt nhất, việc đào tạo nhân viên vẫn cần trở thành một phần then chốt của việc ngăn chặn spam.

Cách bảo vệ bản thân khỏi email spam

Ngày nay, các công ty triển khai các chương trình nâng cao nhận thức định kỳ để dạy mọi người chậm lại và nhận ra các dấu hiệu cảnh báo, hoặc xác minh yêu cầu trước khi hành động. Một số chương trình bao gồm:

Hãy nghĩ trước khi nhấp

Lời khuyên đã được kiểm chứng theo thời gian vẫn đúng trong trường hợp này. Nếu bạn nhận được một email mà bạn không mong đợi và bạn không biết người gửi là ai, thì đừng nhấp vào một liên kết ngẫu nhiên. Bạn có thể di chuột qua liên kết trên máy tính để bàn hoặc nhấn giữ trên thiết bị di động để xem trước đích đến thực sự. Nếu địa chỉ liên kết và địa chỉ thật khác nhau, đó là một dấu hiệu cảnh báo.

Nếu bạn quyết định nhấp vào một liên kết trong email, đừng bị đánh lừa bởi biểu tượng ổ khóa bên cạnh URL, điều đó không có nghĩa là trang web an toàn. Biểu tượng ổ khóa chỉ xác nhận rằng ai đó đã mã hóa kết nối. Đáng tiếc là một trang phishing có thể lấy chứng chỉ SSL dễ dàng như một trang hợp pháp.

Xác minh người gửi 

Tên hiển thị trên email không phải lúc nào cũng là danh tính thật của người gửi. Đó là vì bất kỳ ai cũng có thể đổi nó thành một thứ hoàn toàn khác. Để xác minh danh tính thật, bạn cần kiểm tra chính xác địa chỉ email mà email đó được gửi từ.

Đôi khi điều này rất rõ ràng, chẳng hạn nếu email đến từ một dịch vụ email miễn phí rẻ tiền, dùng một lần. Nhưng không phải lúc nào cũng dễ như vậy. Kẻ tấn công thường ngụy trang email bằng cách thay đổi một vài ký tự, như @p4ypal.com. Nếu bạn không chắc email đó có thật hay không, tốt nhất là liên hệ qua các kênh liên lạc chính thức.

Chọn nhà cung cấp có SPF, DKIM, DMARC

Khi nói đến spam, SPF, DKIM, and DMARC là tiêu chuẩn vàng của xác thực email. Chúng là cách tốt nhất để biết liệu các email được gửi từ miền của bạn có thực sự là từ bạn hay từ kẻ mạo danh. SPF kiểm tra xem email có đến từ máy chủ được phép gửi thay mặt bạn hay không. DKIM thêm một chữ ký chống giả mạo, để thông điệp không thể bị âm thầm chỉnh sửa trên đường đi. DMARC gắn kết cả hai và cho máy chủ nhận biết phải làm gì khi một thông điệp không vượt qua kiểm tra.

Tin tốt là bạn không phải tự tay thiết lập bất kỳ thứ gì trong số này. Một nhà cung cấp email tốt nên làm điều đó cho bạn. Vì vậy, khi chọn nơi lưu trữ email, hãy tìm nhà cung cấp hỗ trợ SPF, DKIM và DMARC theo tiêu chuẩn.

Sử dụng 2FA

2FA thêm một lớp bảo mật thứ hai cho tài khoản của bạn. Nó là viết tắt của xác thực hai yếu tố và về cơ bản có nghĩa là chứng minh bạn là ai bằng hai thứ thay vì một. Thứ đầu tiên là mật khẩu của bạn, thứ thứ hai có thể là điện thoại, ứng dụng xác thực, dấu vân tay hoặc khóa bảo mật.

Điều này có nghĩa là nếu mật khẩu của bạn bị đánh cắp, kẻ tấn công sẽ không thể truy cập tài khoản của bạn nếu không có hình thức xác thực thứ hai. Có 2FA luôn tốt hơn không có 2FA. Hãy tìm các nhà cung cấp email có cung cấp tính năng này và bật nó ở mọi nơi có thể, bắt đầu với email của bạn.

Cẩn thận với tệp đính kèm

Con người vốn tò mò, và kẻ tấn công lợi dụng điều đó. Cách tốt nhất để bạn tự bảo vệ mình là tránh mở các tệp đính kèm email mà bạn không mong đợi. Điều này đúng ngay cả khi chúng đến từ người bạn quen biết. Đó là vì tài khoản thường bị chiếm đoạt và người gửi thường bị giả mạo.

Luôn đặc biệt cẩn trọng với PDF, tài liệu Word và Excel, tệp nén ZIP và RAR, tệp HTML, ảnh đĩa ISO và đặc biệt là các tệp .exe. Khi nghi ngờ, hãy xác nhận với người gửi qua một kênh riêng trước khi mở bất cứ thứ gì.

Giữ cho đội ngũ của bạn được đào tạo

Cuối cùng, con người là tuyến phòng thủ cuối cùng khi nói đến các cuộc tấn công. Bộ lọc, xác thực và quét tệp đính kèm ngăn chặn được rất nhiều, nhưng bất kỳ thông điệp nào lọt qua đều được thiết kế để đánh lừa con người.

Đây là lúc đào tạo có thể tạo ra khác biệt rất lớn. Điều quan trọng là các công ty nên đào tạo cho các cuộc tấn công của hôm nay, không phải của ngày hôm qua. Điều đó có nghĩa là các mồi nhử do AI viết không có lỗi chính tả, giọng nói và video deepfake, cùng các chiêu lừa đảo qua SMS, mã QR và lời nhắc MFA, chứ không chỉ email.