HR cần làm gì trước trang đăng nhập giả do AI tạo?
AI tạo sinh có thể giúp kẻ xấu làm trang đăng nhập giả giống thương hiệu quen thuộc, cá nhân hóa mồi nhử và lấy mật khẩu, mã MFA hoặc phiên đăng nhập. HR nên chuẩn hóa cách kiểm tra, truy cập hệ thống và báo cáo nghi ngờ.
Một email mang tên bộ phận Nhân sự có thể yêu cầu nhân viên “hoàn tất hồ sơ”, “xác nhận hợp đồng” hoặc “cập nhật thông tin”. Trang mở ra có logo, màu sắc và màn hình đăng nhập trông quen thuộc.
Nhưng đó có thể là một trang giả.
Theo thông tin được ghi nhận, AI tạo sinh đang giúp kẻ tấn công tạo trang đăng nhập giả nhanh hơn, bắt chước thương hiệu tốt hơn và cá nhân hóa mồi nhử cho từng tổ chức hoặc nhân viên. Mục tiêu không chỉ là mật khẩu: chúng còn có thể tìm cách lấy mã MFA hoặc phiên đăng nhập đã được xác thực để chiếm quyền truy cập tài khoản.
Với HR, đây là rủi ro cần được đưa vào truyền thông nội bộ và quy trình onboarding.
Vì sao HR cần lưu ý?
HR thường gửi hoặc quản lý các thông tin mà nhân viên có xu hướng phản hồi nhanh: hợp đồng, hồ sơ cá nhân, đào tạo, phúc lợi, đánh giá hiệu suất và thông báo nội bộ.
Kẻ mạo danh có thể lợi dụng chính những ngữ cảnh này để khiến một yêu cầu đăng nhập trông hợp lý hơn. Vì vậy, câu chữ tự nhiên, không có lỗi chính tả hay giao diện giống thương hiệu không phải là dấu hiệu đủ để tin rằng email hoặc trang web là thật.
5 nguyên tắc trước một yêu cầu đăng nhập
1. Dừng lại khi thông điệp tạo cảm giác khẩn cấp
Những yêu cầu như “xác nhận ngay”, “cập nhật gấp” hoặc “nếu không sẽ mất quyền truy cập” cần được kiểm tra thêm trước khi đăng nhập.
Đừng vội nhập mật khẩu, mã MFA hoặc thông tin nhân sự chỉ vì email có vẻ đúng ngữ cảnh công việc.
2. Kiểm tra địa chỉ người gửi, không chỉ tên hiển thị
Tên người gửi như “HR Team”, “IT Support” hoặc tên của quản lý có thể bị mạo danh. Hãy xem địa chỉ email thực tế và đối chiếu với kênh liên lạc quen thuộc của công ty.
Đồng thời, hãy tự hỏi: yêu cầu này có đúng quy trình, đúng người phụ trách và đúng thời điểm không?
3. Tự mở hệ thống chính thức thay vì bấm liên kết
Logo và giao diện quen mắt không bảo đảm trang đăng nhập là thật. Nếu cần vào hệ thống nhân sự, cách an toàn hơn là tự mở cổng nội bộ hoặc ứng dụng mà bạn vẫn sử dụng hằng ngày.
Khi gửi thông báo nội bộ, HR cũng nên khuyến khích nhân viên truy cập hệ thống qua kênh chính thức, thay vì hình thành thói quen nhận liên kết là bấm.
4. Không chia sẻ hoặc nhập mã MFA vào trang đáng ngờ
Mã MFA là một bước xác minh bổ sung sau mật khẩu. Tuy nhiên, nếu nhân viên nhập mã này vào trang giả, kẻ mạo danh có thể dùng nó để hỗ trợ việc chiếm quyền truy cập tài khoản.
Nguyên tắc dễ nhớ: không gửi mã MFA cho bất kỳ ai và không nhập mã sau khi đi theo một liên kết đáng ngờ.
5. Báo cáo nghi ngờ theo đầu mối nội bộ
HR không cần tự kết luận một email là tấn công. Điều cần thiết là có đầu mối rõ ràng để nhân viên báo cáo email, tin nhắn hoặc trang đăng nhập đáng ngờ.
Nếu chưa có quy trình, HR nên phối hợp với IT hoặc bộ phận phụ trách an toàn thông tin để thống nhất kênh tiếp nhận và cách cảnh báo nội bộ.
Đưa cảnh báo vào các tình huống HR quen thuộc
Thay vì chỉ nhắc chung chung “hãy cẩn thận phishing”, hãy đặt cảnh báo vào những tình huống nhân viên thực sự gặp, chẳng hạn:
Yêu cầu đăng nhập để xem hoặc xác nhận hợp đồng.
Thông báo cập nhật thông tin cá nhân trên hệ thống.
Lời mời hoàn thành đào tạo hoặc khảo sát nội bộ.
Yêu cầu xem thông tin liên quan đến phúc lợi hay đánh giá.
Một thông báo hiệu quả nên ngắn, bình tĩnh và nêu rõ ba việc:
Không nhập mật khẩu hoặc mã MFA từ liên kết đáng ngờ.
Tự truy cập hệ thống qua cổng hoặc ứng dụng chính thức.
Báo cho đầu mối nội bộ khi nghi ngờ.
Ba câu hỏi cho onboarding và đào tạo
HR có thể dùng các câu hỏi đơn giản sau trong buổi onboarding hoặc nhắc nhở định kỳ:
Nếu nhận email yêu cầu đăng nhập gấp để xác nhận hợp đồng, bạn sẽ kiểm tra điều gì trước?
Nếu một trang có logo công ty yêu cầu mật khẩu và mã MFA, bạn nên làm gì?
Nếu một yêu cầu cập nhật thông tin không xuất hiện trên cổng nhân sự quen thuộc, bạn sẽ báo cho ai?
Mục tiêu không phải là khiến nhân viên lo lắng, mà là giúp họ có một phản xạ thống nhất: dừng lại, tự vào kênh chính thức và báo cáo khi nghi ngờ.
Checklist ngắn cho HR
Dừng trước yêu cầu đăng nhập mang tính khẩn cấp.
Đối chiếu người gửi, quy trình và thời điểm.
Tự vào hệ thống chính thức thay vì bấm liên kết trong email.
Không nhập hoặc chia sẻ mã MFA trên trang đáng ngờ.
Báo cáo cho đầu mối nội bộ khi có nghi ngờ.
Truyền thông bằng tình huống HR quen thuộc để nhân viên dễ nhớ và dễ làm theo.
Trang giả do AI hỗ trợ có thể ngày càng giống thật. Nhưng một quy trình rõ ràng — biết vào hệ thống nào, hỏi ai và không chia sẻ mã MFA — vẫn giúp giảm cơ hội thành công của kẻ mạo danh.