Tin nhắn này có phải lừa đảo không? Cách kiểm tra liên kết trong tin nhắn USPS, FedEx, phí cầu đường, DMV và PayPal (2026)

Một tin nhắn cho biết bưu kiện của bạn đang bị giữ, phí cầu đường chưa thanh toán, vé phạt giao thông đã quá hạn, hoặc tài khoản PayPal hay Apple của bạn bị khóa — kèm theo một liên kết để “khắc phục”. Phần lớn các tin nhắn này là lừa đảo: Ủy ban Thương mại Liên bang Hoa Kỳ (FTC) cho biết người dân đã báo cáo thiệt hại 470 triệu đô la do lừa đảo qua tin nhắn trong năm 2024, gấp hơn năm lần con số của năm 2020, trong đó tin nhắn giao hàng USPS giả mạo được báo cáo nhiều nhất và thông báo phí cầu đường giả nằm trong năm loại hàng đầu. Tuy nhiên, một vài công ty có gửi tin nhắn thật kèm liên kết, nên câu “đừng bao giờ chạm vào bất cứ thứ gì” chưa phải là câu trả lời đầy đủ. Bài hướng dẫn này chỉ ra cách từng công ty thực sự liên lạc với bạn, cách đọc xem một liên kết thực sự dẫn đến đâu, và việc cần làm nếu bạn đã lỡ chạm vào.

NoLinkTrap: Kiểm Tra Link GiảXem liên kết thực sự dẫn đến đâu trước khi bạn mở nó

Chính sách của các công ty và địa chỉ báo cáo được lấy theo thông tin công bố trên trang web của từng công ty hoặc cơ quan, đã kiểm tra vào tháng 11 năm 2026. Những thông tin này có thể thay đổi; mục Nguồn tham khảo có liên kết đến từng trang.

1. Câu trả lời ngắn gọn

• USPS (Bưu điện Hoa Kỳ) không nhắn tin cho bạn trừ khi bạn đã yêu cầu cập nhật theo dõi bưu kiện — và ngay cả khi đó, Sở Thanh tra Bưu chính Hoa Kỳ cho biết tin nhắn sẽ không chứa liên kết.
• DMV của các tiểu bang (cơ quan quản lý xe cơ giới) cho biết họ không nhắn tin yêu cầu bạn thanh toán vé phạt hay tiền phạt.
• E-ZPass Group cho biết tin nhắn từ họ nói rằng bạn nợ phí cầu đường là lừa đảo.
• FedEx là trường hợp ngoại lệ: họ có thể nhắn một liên kết bảo mật để thanh toán thuế và phí cho một bưu kiện quốc tế. FedEx khuyên bạn xác minh tin nhắn và số tiền bằng FedEx Import Tool — hãy tự mở fedex.com thay vì dùng tin nhắn.
• PayPal và Apple cho biết đừng chạm vào liên kết trong những tin nhắn có vẻ không đúng, và không bao giờ đưa mật khẩu hay mã xác minh cho người liên hệ với bạn.

2. Vì sao những tin nhắn này hiệu quả

Phân tích của FTC về các báo cáo năm 2024 liệt kê những kiểu lừa đảo qua tin nhắn phổ biến nhất, và đứng đầu danh sách chính là những gì bài hướng dẫn này đề cập: sự cố giao hàng USPS giả mạo, cùng các thông báo giả về phí cầu đường chưa thanh toán. Vào tháng 5 năm 2026, FTC cho biết thêm rằng các báo cáo về lừa đảo giả danh cơ quan chính phủ đã tăng 40%, “một phần nhờ vào các tin nhắn về phí cầu đường quá hạn”, và nêu tên E-ZPass, SunPass, FasTrak và TxTag là những chương trình mà kẻ lừa đảo giả danh. Trung tâm Tiếp nhận Khiếu nại Tội phạm Internet của FBI (IC3) đã nhận hơn 2.000 khiếu nại về tin nhắn phí cầu đường tính đến tháng 4 năm 2024.

Chúng hiệu quả vì chúng nghe có vẻ hợp lý. Nhiều người đang chờ một bưu kiện, hầu hết tài xế đã từng đi đường thu phí, và một khoản tiền nhỏ — vài đô la cho việc “giao lại” hoặc phí cầu đường — khiến người ta thấy không đáng để nghi ngờ. Sau đó, liên kết dẫn đến một trang trông giống hệt công ty thật và yêu cầu số thẻ, thông tin đăng nhập hoặc thông tin cá nhân.

3. Từng công ty thực sự nhắn tin cho bạn như thế nào

Cách kiểm tra nhanh nhất là so sánh tin nhắn với những gì chính công ty nói rằng họ làm. Dưới đây là những gì từng công ty công bố, tính đến tháng 11 năm 2026:

Có hai chi tiết quan trọng. Thứ nhất, FedEx và một số cơ quan thu hồi nợ phí cầu đường (Pennsylvania Turnpike nói điều này về các cơ quan thu hồi nợ của họ) có gửi tin nhắn thật, nên chỉ riêng một liên kết chưa chứng minh đó là lừa đảo — nhưng trong mọi trường hợp, lời khuyên của công ty đều giống nhau: hãy kiểm tra tài khoản qua trang web bạn đã biết, không phải qua tin nhắn. Thứ hai, các địa chỉ thật ở trên đều ngắn gọn và đơn giản. Liên kết lừa đảo thường không như vậy, và đó là nội dung của phần tiếp theo.

4. Cách đọc xem một liên kết thực sự dẫn đến đâu

Bạn thường có thể nhận ra một liên kết giả mà không cần mở nó. Trong tin nhắn, địa chỉ thường hiển thị đầy đủ, đúng như người gửi đã viết. Chỉ cần nhìn một điều: cái tên ngay trước dấu gạch chéo đơn đầu tiên (/). Phần đó quyết định bạn sẽ đến trang web nào. Mọi thứ khác — chữ đứng trước nó, chữ đứng sau nó — chỉ là phần trang trí do người gửi chọn.

Các địa chỉ trong bảng này dùng tên dành riêng “example” (không trang web thật nào có thể dùng tên này) và chỉ mang tính minh họa.

Hãy để ý thêm ba mánh khóe nữa:

• Ký tự giống nhau. Số 0 thay cho chữ o, “rn” trông giống chữ “m”, hoặc các chữ cái của một bảng chữ cái khác trông giống chữ cái tiếng Anh.
• Liên kết rút gọn. Liên kết rút gọn che hoàn toàn địa chỉ thật, nên bạn không thể đọc được cho đến khi có thứ gì đó mở rộng nó ra.
• Tên thương hiệu đặt sai chỗ. Lời khuyên của Amazon là các trang web Amazon thật đều chứa “amazon.com” — nhưng một địa chỉ giả cũng có thể chứa nó, như ở hàng thứ hai trong bảng trên. Điều quan trọng là cái tên trước dấu gạch chéo đầu tiên phải kết thúc bằng địa chỉ thật.

Một địa chỉ thật không có nghĩa là yêu cầu đó là thật, và một trang lừa đảo vẫn có thể hiển thị biểu tượng ổ khóa. Đọc địa chỉ chỉ cho bạn biết bạn sẽ đến đâu; nó không thay thế cho bước tiếp theo.

5. Cách an toàn nhất: tự vào trang của công ty

Mọi nguồn chính thức trong bài hướng dẫn này đều đưa ra cùng một lời khuyên bằng những cách diễn đạt khác nhau. FTC: “Hãy dùng số điện thoại hoặc trang web mà bạn biết là thật — không phải thông tin trong tin nhắn.” FBI về tin nhắn phí cầu đường: hãy kiểm tra tài khoản của bạn qua trang web chính thống của dịch vụ thu phí. UPS: hãy gõ “ups.com” thay vì dùng liên kết nhúng trong tin nhắn.

1. Đóng tin nhắn mà không chạm vào liên kết.
2. Mở ứng dụng của công ty, hoặc tự gõ địa chỉ của họ (usps.com, fedex.com, ups.com, paypal.com).
3. Đăng nhập và tìm cùng thông báo đó: bưu kiện bị giữ, khoản tiền phải trả, tài khoản bị khóa.
4. Nếu không thấy, tin nhắn đó là giả. Nếu có, hãy xử lý ngay tại đó.

Với DMV hoặc phí cầu đường, hãy tìm DMV của tiểu bang bạn hoặc chương trình thu phí của bạn theo tên và dùng trang chính thức trong kết quả — đừng dùng lại bất cứ thứ gì từ tin nhắn.

6. Để điện thoại hoặc một ứng dụng kiểm tra liên kết

Đọc địa chỉ bằng tay cũng được, nhưng rất dễ bỏ sót một chữ cái giống nhau trên màn hình nhỏ. Trên Android có hai kiểu hỗ trợ:

• Google Messages có tính năng bảo vệ khỏi spam và lừa đảo, giúp nhận diện spam và các nỗ lực lừa đảo qua mạng (phishing), và được bật theo mặc định ở chế độ bảo vệ tiêu chuẩn. Trên một số thiết bị Android chọn lọc, Phát hiện lừa đảo (Scam Detection) bổ sung thêm cảnh báo — dù Google lưu ý rằng nó “có thể không phát hiện được mọi vụ lừa đảo”.
• NoLinkTrap, một ứng dụng Android của nhóm đứng sau NoDial, kiểm tra chính liên kết đó. Hãy đặt nó làm trình duyệt mặc định, và các liên kết bạn chạm vào trong tin nhắn và email sẽ đến với nó trước. Nó mở rộng các liên kết rút gọn, gỡ các liên kết bị dịch vụ email viết lại, và hiển thị đích đến thật bằng chữ lớn trước khi bất cứ thứ gì được mở. Chạm vào “Kiểm tra xem có giả không” và nó sẽ so sánh liên kết với các trang chính thức của những công ty nổi tiếng ở Hoa Kỳ và Nhật Bản — USPS, UPS, FedEx, Amazon, Apple, PayPal, các ngân hàng lớn, E-ZPass, SunPass, FasTrak và các công ty khác — đồng thời kiểm tra các ký tự giống nhau, các trang mà ai cũng có thể đăng, và các dạng địa chỉ bất thường.

NoLinkTrap đưa ra một trong ba kết quả: Không phát hiện vấn đề nào được biết đến, Cẩn trọng, hoặc Đường dẫn này KHÔNG phải là theo sau là tên công ty, kèm một nút để mở trang thật thay thế. Nó không bao giờ nói một liên kết là “an toàn”, vì không công cụ kiểm tra nào bắt được mọi vụ lừa đảo. Danh sách công ty của nó không bao gồm DMV của các tiểu bang; với tin nhắn DMV, nó vẫn hiển thị đích đến thật và đánh dấu các địa chỉ bất thường, nhưng kiểm tra trang riêng của tiểu bang bạn (mục 5) vẫn là câu trả lời.

7. Nếu bạn đã chạm vào liên kết

Mở một trang lừa đảo không đồng nghĩa với việc bạn đã bị lừa. Điều quan trọng là bạn đã làm gì trên trang đó:

• Bạn chỉ mới mở nó. Hãy đóng lại. Đừng nhập bất cứ thứ gì, và đừng tải xuống bất cứ thứ gì nó đưa ra.
• Bạn đã thanh toán bằng thẻ tín dụng. FTC khuyên báo ngay cho đơn vị phát hành thẻ.
• Bạn đã thanh toán bằng thẻ ghi nợ. Hãy báo ngay cho ngân hàng hoặc quỹ tín dụng của bạn.
• Bạn đã cung cấp số An sinh Xã hội. Hãy truy cập IdentityTheft.gov.
• Bạn đã nhập mật khẩu. Hãy đổi nó ngay trên trang thật — và ở mọi nơi khác bạn dùng cùng mật khẩu đó. Apple khuyên đổi ngay mật khẩu Tài khoản Apple của bạn nếu bạn đã nhập nó trên một trang lừa đảo.

Tin nhắn lừa đảo không phải là phiên bản duy nhất. Trò lừa đảo một hồi chuông (wangiri) dùng một cuộc gọi nhỡ từ nước ngoài thay vì một liên kết, và quy tắc vẫn như vậy: hãy liên hệ với công ty hoặc số mà bạn đã biết, không phải số vừa liên lạc với bạn.

8. Nơi báo cáo tin nhắn lừa đảo

• Mọi tin nhắn lừa đảo: chuyển tiếp đến 7726 (SPAM), theo khuyến nghị của FTC.
• USPS: chuyển tiếp đến 7726 và gửi email đến spam@uspis.gov.
• FedEx: chuyển tiếp đến abuse@fedex.com.
• PayPal: chuyển tiếp đến phishing@paypal.com.
• Apple: chụp ảnh màn hình và gửi email đến reportphishing@apple.com.
• Amazon: báo cáo đến reportascam@amazon.com.

Sau đó hãy xóa tin nhắn. Nếu người gửi tiếp tục nhắn từ cùng một số, hãy chặn số đó — xem cách chặn số lạ trên Android để biết về phần cuộc gọi của cùng vấn đề này.

9. Câu hỏi thường gặp

USPS có gửi tin nhắn kèm liên kết không?

Không. Sở Thanh tra Bưu chính Hoa Kỳ cho biết USPS sẽ không nhắn tin cho bạn trừ khi bạn đã yêu cầu cập nhật theo dõi bằng mã theo dõi, và ngay cả khi đó tin nhắn cũng sẽ không chứa liên kết. Tin nhắn USPS có liên kết là lừa đảo.

Tin nhắn phí cầu đường tôi nhận được có thật không?

Gần như chắc chắn là không. E-ZPass Group cho biết tin nhắn từ họ nói rằng bạn nợ phí cầu đường là lừa đảo, và FBI khuyên thay vào đó hãy kiểm tra tài khoản của bạn trên trang web chính thống của dịch vụ thu phí. Công ty thu hồi nợ của một số cơ quan thu phí có thể nhắn tin về các khoản nợ quá hạn lớn, vì vậy hãy kiểm tra trực tiếp tài khoản của bạn thay vì qua tin nhắn.

DMV có nhắn tin cho bạn về vé phạt không?

DMV của các tiểu bang như Colorado và Virginia cho biết họ không gửi tin nhắn yêu cầu thanh toán vé phạt hay tiền phạt. FTC cảnh báo về các tin nhắn tự nhận là vé phạt giao thông quá hạn. Hãy tìm trang web riêng của DMV tiểu bang bạn thay vì dùng liên kết.

Làm sao biết một liên kết trong tin nhắn có an toàn không?

Bạn không thể chứng minh một liên kết là an toàn, nhưng bạn có thể nhận ra nhiều liên kết giả: hãy kiểm tra cái tên ngay trước dấu gạch chéo đơn đầu tiên trong địa chỉ. Nếu nó không kết thúc bằng địa chỉ thật của công ty, đừng mở. Một ứng dụng như NoLinkTrap có thể hiển thị đích đến thật của các liên kết rút gọn và so sánh nó với các trang chính thức của công ty trước khi bạn mở.

Tôi nên làm gì nếu đã bấm vào liên kết lừa đảo?

Nếu bạn chỉ mới mở trang, hãy đóng lại và đừng nhập gì cả. Nếu bạn đã thanh toán, hãy liên hệ ngay với đơn vị phát hành thẻ hoặc ngân hàng của bạn. Nếu bạn đã nhập mật khẩu, hãy đổi nó trên trang thật. Nếu bạn đã cung cấp số An sinh Xã hội, hãy truy cập IdentityTheft.gov.

10. Tóm tắt

• Tin nhắn USPS không bao giờ chứa liên kết; DMV và E-ZPass Group không nhắn tin để yêu cầu thanh toán.
• FedEx và một số công ty thu hồi nợ phí cầu đường có gửi tin nhắn thật — dù vậy hãy kiểm tra trực tiếp tài khoản của bạn.
• Cái tên trước dấu gạch chéo đơn đầu tiên quyết định liên kết dẫn đến đâu.
• Đã chạm vào rồi? Chỉ những gì bạn đã nhập mới quan trọng: thẻ → đơn vị phát hành, mật khẩu → đổi nó, số An sinh Xã hội → IdentityTheft.gov.
• Báo cáo bằng cách chuyển tiếp đến 7726, cùng với địa chỉ riêng của công ty.

NoLinkTrap: Kiểm Tra Link GiảXem liên kết thực sự dẫn đến đâu trước khi bạn mở nó

Nguồn tham khảo

• Federal Trade Commission, Data Spotlight "Top text scams of 2024" (thiệt hại được báo cáo 470 triệu đô la năm 2024, gấp hơn năm lần năm 2020; tin nhắn giao hàng USPS giả được báo cáo nhiều nhất; thông báo phí cầu đường giả nằm trong năm loại hàng đầu) ftc.gov
• FTC Consumer Alert, tháng 5 năm 2026 (báo cáo lừa đảo giả danh cơ quan chính phủ tăng 40%, một phần do các tin nhắn về phí cầu đường quá hạn; E-ZPass, SunPass, FasTrak, TxTag) consumer.ftc.gov
• FTC Consumer Alert, tháng 7 năm 2025, tin nhắn về vé phạt giao thông quá hạn tự nhận là từ DMV của tiểu bang ("Hãy dùng số điện thoại hoặc trang web mà bạn biết là thật") consumer.ftc.gov
• FTC, "How To Recognize and Report Spam Text Messages" (đừng nhấp vào liên kết; chuyển tiếp đến 7726 (SPAM); bộ lọc spam trên điện thoại) consumer.ftc.gov
• FTC, "What To Do if You Were Scammed" (thẻ tín dụng → đơn vị phát hành; thẻ ghi nợ → ngân hàng hoặc quỹ tín dụng; số An sinh Xã hội → IdentityTheft.gov) consumer.ftc.gov
• FBI Internet Crime Complaint Center, PSA240412 (hơn 2.000 khiếu nại về tin nhắn lừa đảo phí cầu đường; kiểm tra tài khoản của bạn qua trang web chính thống của dịch vụ thu phí) ic3.gov
• U.S. Postal Inspection Service, "Smishing" (không nhắn tin nếu không có yêu cầu kèm mã theo dõi; "tin nhắn sẽ KHÔNG chứa liên kết"; chuyển tiếp đến 7726 và spam@uspis.gov) uspis.gov
• FedEx, Report Fraud (không yêu cầu thông tin đăng nhập hay nhận dạng khi chưa được yêu cầu; liên kết bảo mật để thanh toán thuế và phí, có thể xác minh bằng FedEx Import Tool; fedx.com và fed-ex.com là ví dụ giả; abuse@fedex.com) fedex.com
• UPS, Fight Fraud (đừng chọn liên kết trong tin nhắn bạn không chắc; dùng "ups.com" thay vì liên kết nhúng) ups.com
• Amazon, "Amazon scam trends" (đừng nhấp vào liên kết trong tin nhắn đáng ngờ; các trang web Amazon thật chứa "amazon.com"; reportascam@amazon.com) aboutamazon.com
• PayPal, Report suspicious messages (đừng nhấp vào liên kết trong tin nhắn có vẻ không đúng; phishing@paypal.com) paypal.com
• PayPal Help, nhận biết email và trang web giả mạo hoặc lừa đảo (mật khẩu chỉ nhập trên trang đăng nhập của PayPal) paypal.com
• Apple Support, nhận biết và tránh lừa đảo phishing (không bao giờ hỏi mật khẩu hay mã xác minh để hỗ trợ; reportphishing@apple.com; đổi mật khẩu Tài khoản Apple) support.apple.com
• Colorado DMV, thông cáo báo chí tháng 6 năm 2025 (không chủ động liên hệ bằng tin nhắn không được yêu cầu để đòi thanh toán vé phạt) dmv.colorado.gov
• Virginia DMV, cảnh báo lừa đảo tin nhắn phí cầu đường ("DMV sẽ KHÔNG BAO GIỜ gửi tin nhắn hay email về tiền phạt hoặc việc đình chỉ của bạn") dmv.virginia.gov
• E-ZPass Group (tin nhắn từ E-ZPass Group nói rằng bạn nợ phí cầu đường là lừa đảo) e-zpassgroup.org
• Pennsylvania Turnpike, Security & Fraud (không nhắn tin cho khách hàng E-ZPass hay Toll By Plate; các cơ quan thu hồi nợ có thể nhắn tin về các khoản nợ quá hạn lớn) paturnpike.com
• Google Messages Help, bảo vệ khỏi spam và lừa đảo (nhận diện spam và phishing; bật ở chế độ bảo vệ tiêu chuẩn) support.google.com
• Android Help, Scam Detection (một số thiết bị Android chọn lọc; "có thể không phát hiện được mọi vụ lừa đảo") support.google.com
• Ứng dụng NoLinkTrap, kết quả và các mục kiểm tra trong ứng dụng (Không phát hiện vấn đề nào được biết đến / Cẩn trọng / Đường dẫn này KHÔNG phải là …; danh sách trang chính thức; ký tự giống nhau; mở rộng liên kết rút gọn) play.google.com

Các công ty thay đổi cách liên hệ với khách hàng theo thời gian. Nếu điều gì ở đây không khớp với những gì một công ty nói hiện nay, hãy làm theo trang chính thức hiện hành của công ty đó.