Cách hoạt động của Phân tích Email Lừa đảo

Phân tích Email Lừa đảo cho phép bạn tải lên một tệp .msg hoặc .eml duy nhất (tối đa 5 MB) và ngay lập tức nhận phán quyết trên màn hình –An toàn, Nghi ngờ, Nguy hiểm hoặc Không xác định –cùng với các phát hiện ngắn gọn. Chỉ cho phép một tệp được gửi mỗi lần; tệp thứ hai trong cùng một yêu cầu sẽ bị từ chối với thông báo “Chỉ cho phép tải lên một tệp duy nhất”. Các tệp loại khác sẽ bị từ chối với thông báo “Chỉ hỗ trợ tệp .msg và .eml”, và các tệp không đọc được sẽ trả về “Không thể phân tích tệp này — có thể bị hỏng hoặc được bảo vệ bằng mật khẩu”.

Giới hạn sử dụng

Người dùng miễn phí có thể phân tích tối đa năm tệp mỗi ngày, trong khi gói trả phí nâng giới hạn lên mười lăm. Khi đạt giới hạn, công cụ hiển thị một hộp thoại so sánh các gói miễn phí và cao cấp. Sau khi kết quả được hiển thị, bạn có thể bắt đầu phân tích mới bằng cách nhấn nút “Phân tích tệp khác”, nút này sẽ đặt lại giao diện.

Xác định phán quyết

Phán quyết bắt đầu ở mức An toàn và chỉ được nâng lên – không bao giờ hạ xuống – dựa trên phát hiện nghiêm trọng nhất trong email. Bốn kết quả có thể là:

• An toàn: không có phát hiện kỹ thuật hoặc AI nào nâng mức.
• Nghi ngờ: ít nhất một phát hiện mức Nghi ngờ (ví dụ: SPF thất bại, tên tệp đính kèm đáng ngờ, liên kết hiển thị không khớp).
• Nguy hiểm: bất kỳ phát hiện mức Nguy hiểm nào (ví dụ: DKIM hoặc DMARC thất bại, tài liệu Office có macro, mâu thuẫn giữa nội dung và tệp đính kèm, AI phát hiện mạo danh).
• Không xác định: AI không thể đưa ra phán quyết và không có kiểm tra kỹ thuật nào cho kết quả.

Mỗi phán quyết đi kèm với các thẻ ngắn mô tả các kiểm tra đã kích hoạt nó. Khi quyết định chỉ do AI đưa ra, thẻ là ai-flagged; khi AI không quyết định được, thẻ là inconclusive. Báo cáo đầy đủ có thể thu gọn chứa một bản tường thuật ngôn ngữ thông thường và danh sách mọi phát hiện cá nhân, được gắn nhãn mức độ (Thông tin, Nghi ngờ, Nguy hiểm) và nguồn gốc (kiểm tra kỹ thuật hoặc đánh giá AI).

Kiểm tra kỹ thuật

Xác thực người gửi

Trình phân tích đọc kết quả SPF, DKIM và DMARC đã được máy chủ nhận ghi lại. Không thực hiện tra cứu DNS trực tiếp. Một thất bại DKIM hoặc DMARC được xem là Nguy hiểm, một thất bại SPF là Nghi ngờ, và việc thiếu bất kỳ bản ghi xác thực nào được báo là “không thể xác minh” mà không ảnh hưởng đến phán quyết. Khi có nhiều bản ghi xác thực, bản ghi gần người nhận nhất được sử dụng và máy chủ nguồn của nó được hiển thị trong báo cáo.

Kiểm tra tệp đính kèm

Tên tệp đính kèm được quét để tìm 22 phần mở rộng thực thi hoặc script đã biết (ví dụ: .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Một khớp được gắn thẻ là Nghi ngờ. Các phần mở rộng kép như invoice.pdf.exe được báo rõ ràng là “kỹ thuật thường dùng để ngụy trang tệp thực thi thành tài liệu”. Các tệp Office có macro (.docm, .xlsm, .pptm) cũng được đánh dấu Nghi ngờ. Công cụ so sánh chữ ký thực tế của mỗi tệp đính kèm với phần mở rộng khai báo; sự không khớp được báo là Nghi ngờ với cả hai loại được liệt kê. Các kho lưu trữ Office hiện đại (.docx, .xlsx) được nhận diện đúng và không bị gắn thẻ là kho ngụy trang. Nội dung tệp đính kèm không bao giờ rời máy chủ và không được gửi tới mô hình AI; AI chỉ nhận tên tệp và loại khai báo.

Kiểm tra liên kết

Mỗi siêu liên kết trong nội dung email được kiểm tra sự chênh lệch giữa địa chỉ hiển thị và URL đích thực. Khi văn bản hiển thị trông giống địa chỉ web hoặc miền và chúng khác nhau, liên kết được gắn thẻ Nghi ngờ và cả hai máy chủ được hiển thị. Văn bản kêu gọi hành động chung như “Click here” không kích hoạt kiểm tra này, đảm bảo các nút bình thường không bị đánh dấu. Liên kết không bao giờ được truy cập và không sử dụng dịch vụ uy tín bên ngoài.

Đánh giá AI

Ngoài các kiểm tra kỹ thuật, một đánh giá AI duy nhất xử lý tiêu đề, nội dung văn bản thuần, địa chỉ người gửi, tên hiển thị người gửi, danh sách tệp đính kèm và tất cả các phát hiện kỹ thuật. AI tìm kiếm tên hiển thị không khớp, brand‑typosquatting, miền nhìn giống nhau, và mâu thuẫn giữa tệp đính kèm khai báo và thực tế. Bất kỳ mâu thuẫn nào giữa nội dung và tệp đính kèm đều được tự động phân loại là Nguy hiểm. AI tạo một bản tường thuật ngôn ngữ thông thường cho phần đầu của báo cáo đầy đủ, hướng tới người dùng không chuyên. Nếu AI không thể hoàn thành nhưng các kiểm tra kỹ thuật đã có phát hiện, phán quyết kỹ thuật sẽ được hiển thị cùng thông báo AI không khả dụng. Nếu AI không chạy được và không có phát hiện kỹ thuật nào, yêu cầu sẽ thất bại thay vì trả về kết quả “An toàn” sai.

Giới hạn minh bạch

• Không thực hiện tra cứu DNS trực tiếp lại các bản ghi SPF, DKIM hoặc DMARC.
• Tài liệu có macro được gắn thẻ, nhưng mã macro không được trích xuất hay phân tích.
• Tệp đính kèm không bao giờ được thực thi, mở trong sandbox, hoặc quét bằng engine antivirus.
• Liên kết chỉ được phân tích dưới dạng văn bản; chúng không được theo dõi và không sử dụng cơ sở dữ liệu uy tín.