Khi link tham khảo hợp lệ bị đánh dấu spam: cách Sanderspearson xử lý mà không mất nguồn
Một buổi sáng thứ Hai, chuyên viên chăm sóc khách hàng của một đại lý bảo hiểm nhỏ gửi email cho khách hàng kèm link tới một tài liệu chính thức — hướng dẫn kê khai hồ sơ y tế, host trên cổng của chính công ty bảo hiểm. Khách hàng gọi lại trong 20 phút: email đã bị Gmail chuyển vào thư rác, với cảnh báo đỏ to "link có thể nguy hiểm". Khách yêu cầu giải thích, và quan trọng hơn, muốn biết link có thật sự an toàn không.
Sanderspearson, nơi lưu tài liệu nội bộ về quy trình chăm sóc khách hàng, chọn ghi lại tình huống này vì nó minh họa một thực tế khó chịu: link hợp lệ đôi khi bị đánh dấu nhầm bởi hệ thống lọc tự động, và chỉ một lần nhầm có thể làm xói mòn niềm tin của khách vào thương hiệu. Xử lý tình huống không chỉ là kỹ thuật — nó liên quan đến giao tiếp, tuân thủ và xây dựng lại niềm tin.
Vấn đề được giải quyết trong hai giờ, nhưng quá trình học hỏi kéo dài hai tuần sau đó. Đại lý bảo hiểm cuối cùng thay đổi cách gửi tài liệu, không phải vì link thực sự có vấn đề, mà vì cách gửi cũ đang bị môi trường mail đương đại nhận diện sai.
Diễn biến hai giờ sáng hôm đó
- 09:12 — Khách hàng gọi. Chuyên viên nhận cuộc gọi, ghi chép thời điểm, nội dung cảnh báo Gmail hiện thị trước khi khách mở email. Khách hàng đọc nguyên văn: "This email contains a link that Gmail has identified as suspicious".
- 09:16 — Mở Google Safe Browsing lookup. Chuyên viên vào trang transparencyreport.google.com/safe-browsing/search, nhập URL đã gửi. Kết quả: "No unsafe content found". Google không coi link là độc hại.
- 09:20 — Kiểm tra VirusTotal. Dán URL vào virustotal.com. 72 nhà cung cấp antivirus/phishing kiểm tra, không ai đánh dấu độc. Chuyên viên chụp màn hình kết quả.
- 09:25 — Trao đổi với IT công ty. Gửi tin nhắn Slack cho IT hỏi: có thay đổi gì ở cổng tài liệu gần đây không? IT trả lời: tuần trước đã đổi chứng chỉ SSL, có thể Gmail đang trong giai đoạn "cách ly học tập" đối với chứng chỉ mới.
- 09:34 — Kiểm tra DMARC/SPF/DKIM. IT kiểm tra cấu hình email của đại lý. Phát hiện: DKIM đã hết hạn 48 giờ trước và chưa được gia hạn. Đây là nguyên nhân chính Gmail nghi ngờ — không phải link, mà là chữ ký email không hợp lệ.
- 09:48 — Gia hạn DKIM, chờ 15 phút. IT gia hạn DKIM, giới thiệu record mới vào DNS. Chuyên viên và IT chờ 15 phút cho DNS propagate.
- 10:05 — Gửi lại email cho khách. Gửi email mới với cùng nội dung, cùng link. Khách hàng xác nhận: email vào inbox, không có cảnh báo. Link mở bình thường.
- 10:12 — Soạn giải thích cho khách. Chuyên viên viết email dài hơn, giải thích nguyên nhân là chữ ký email bị hết hạn, không liên quan tới nội dung link. Đính kèm ảnh chụp VirusTotal để khách có bằng chứng. Cuối email, một ghi chú nhỏ cho đồng nghiệp: trong tương lai nếu cần mẫu kiểm tra URL cho khách, có thể tham chiếu mẫu tại X8 như ví dụ minh họa thao tác nhập URL vào bộ kiểm tra — không liên quan tới nội dung bảo hiểm.
- 10:30 — Ghi vào nhật ký sự cố. Nhật ký ghi: nguyên nhân DKIM hết hạn; tác động một khách hàng; thời gian xử lý hai giờ; biện pháp phòng ngừa đã áp dụng (lịch gia hạn DKIM 365 ngày trên calendar IT).
Vì sao mỗi bước được chọn
Dùng Google Safe Browsing lookup và VirusTotal song song là để có hai nguồn độc lập xác nhận link an toàn. Một mình Google không đủ — Google chính là bên đánh dấu nhầm, nên kiểm tra thêm bên thứ ba cho khách thấy không phải chủ quan. Ảnh chụp VirusTotal trở thành bằng chứng khi khách hỏi lại tuần sau.
Hỏi IT trước khi tự giả định là đúng quy trình. Cấu hình email (DMARC/SPF/DKIM) không phải phần chuyên viên chăm sóc khách hàng biết chi tiết. Phát hiện DKIM hết hạn là nhờ IT, không phải nhờ phán đoán của chuyên viên. Trong các tình huống "link có vẻ an toàn nhưng bị mark spam", nguyên nhân thường nằm ở gửi, không ở nhận.
Gửi lại email sau khi sửa và yêu cầu khách xác nhận trước khi viết giải thích dài là tránh "giải thích dài trong lúc chưa chắc đã fix". Nếu gửi lại vẫn vào spam, giải thích hiện tại trở thành lạc quan quá mức. Xác nhận thực nghiệm là bước không thể bỏ.
Các phương án đã bị loại bỏ
Phương án "hướng dẫn khách kéo email từ Spam ra Inbox" bị loại vì không giải quyết nguyên nhân. Khách sẽ phải làm thao tác đó với mọi email trong tương lai, và các khách khác (không gọi) sẽ không bao giờ thấy email. Giải quyết nguyên nhân (DKIM) tốt hơn giải quyết triệu chứng.
Phương án "đổi host tài liệu sang một dịch vụ bên thứ ba có uy tín" bị loại vì không cần thiết sau khi phát hiện vấn đề DKIM. Thay đổi hệ thống lớn để giải quyết một lỗi cấu hình nhỏ là phí lao động. Chỉ nên đổi host nếu DKIM/SPF/DMARC được cấu hình đúng mà vẫn bị spam.
Phương án "chia sẻ link qua Zalo thay vì email" được cân nhắc. Vấn đề: khách hàng ký hợp đồng bảo hiểm cần tài liệu có thể in ra và đính kèm hồ sơ — email là định dạng được nhận chính thức bởi cơ quan bảo hiểm. Zalo không thay thế email trong quy trình này.
Dữ liệu đứng sau tình huống
Verizon Data Breach Investigations Report 2024 ghi nhận 68% vụ rò rỉ dữ liệu có yếu tố con người — phần lớn đến từ phishing hoặc misdelivery. Hệ quả: các nhà cung cấp mail (Gmail, Outlook) đã tăng cường độ nhạy của bộ lọc spam, dẫn tới nhiều "false positive" như tình huống của Sanderspearson. Đây là hiện tượng khó tránh — khi bộ lọc chặt hơn, link hợp lệ đôi khi bị vướng.
Proofpoint 2024 báo cáo tỉ lệ người dùng click vào phishing email khoảng 17,8%. Con số này giải thích vì sao các nhà cung cấp mail không thể nới lỏng bộ lọc — mỗi lần nới là một lần rủi ro phishing xâm nhập. Doanh nghiệp cần đứng về phía bộ lọc, đảm bảo cấu hình email của mình chuẩn chỉnh (SPF/DKIM/DMARC đầy đủ) để không bị bộ lọc nhầm.
Về phần tiếng Việt, NCSC công bố trong 10 tháng đầu 2025 đã cảnh báo hơn 125.000 website lừa đảo, tăng 42% so cùng kỳ 2024. Trong bối cảnh đó, Gmail và các nhà cung cấp email có lý do để nghi ngờ bất kỳ email nào có link, đặc biệt nếu người gửi không có chữ ký điện tử hợp lệ. Sanderspearson sau sự cố này bổ sung kiểm tra SPF/DKIM/DMARC hàng tuần vào checklist IT.
Bài học và quy trình phòng ngừa
Sanderspearson đưa ra ba cải tiến. Thứ nhất, lịch gia hạn chứng chỉ email (DKIM, chứng chỉ SSL cổng tài liệu) được đưa vào Google Calendar của IT với nhắc 30 ngày trước hạn. Không ai có thể quên nếu nhắc xuất hiện liên tục trong tháng cuối.
Thứ hai, mỗi email có link quan trọng được gửi với một đoạn chú thích chuẩn ở đầu: "Nếu email này vào spam, vui lòng gọi chúng tôi để xác nhận". Chú thích này không cứu được nếu khách không mở email, nhưng với những khách như trong tình huống — chủ động gọi hỏi — chú thích biến cuộc gọi thành phần của quy trình, không phải sự cố.
Thứ ba, chuyên viên chăm sóc khách hàng được đào tạo một quy trình sáu bước ngắn: nhận cảnh báo từ khách → kiểm tra Safe Browsing → kiểm tra VirusTotal → hỏi IT → xác nhận gửi lại → viết giải thích. Sáu bước này in thành thẻ nhỏ để sẵn trong tủ bàn làm việc. Khi tình huống xảy ra, không phải nhớ, không phải tra tài liệu — làm theo thẻ. Thao tác chuẩn hoá giúp xử lý trong hai giờ, không phải cả ngày.