Bạn nghĩ chúng tôi đã hiểu sai sao?
Hãy để chúng tôi chứng minh điều đó.

Chúng tôi nghe điều này rất nhiều. Chúng tôi sẽ không tranh cãi — nhưng thành thật mà nói, chúng tôi không thấy sự khắc nghiệt ấy nằm ở đâu, hay nhắm vào ai. Vì vậy, dưới đây là chính xác những gì chúng tôi làm, và bạn có thể tự kiểm chứng từng phần.

“Hàng loạt” mô tả số lượng tên miền lừa đảo mà chúng tôi xử lý, chứ không phải mức độ chúng tôi nhắm vào bất kỳ tên miền nào. Mỗi tên miền nhận một báo cáo, gửi tới nhà đăng ký của nó. Báo cáo tiếp theo chỉ được gửi nếu tên miền vẫn còn hoạt động, và có thể được gửi thêm tới ICANN hoặc đơn vị quản lý TLD. Các báo cáo tiếp theo bị giới hạn tần suất nghiêm ngặt: không bao giờ sớm hơn 48 giờ sau báo cáo trước đó. Theo dữ liệu của chính chúng tôi, khoảng 7% tên miền trong năm 2026 nhận được bất cứ thứ gì ngoài báo cáo đầu tiên — và tất cả đều đã được xác nhận là độc hại. Hệ thống của chúng tôi là mở: số lượng báo cáo đã gửi cho bất kỳ tên miền nào đều được công khai.

Chúng tôi không gào lên “cấm chúng đi” với các nhà đăng ký. Chúng tôi không có quyền ép buộc bất kỳ ai, và các mẫu báo cáo của chúng tôi đã được công khai từ lâu. Các mẫu đó đề nghị bộ phận xử lý lạm dụng của nhà đăng ký khẩn trương điều tra tên miền, chủ sở hữu và nội dung của nó. Chúng tôi không khẳng định chủ sở hữu có ý đồ xấu, thậm chí không khẳng định nội dung đó thuộc về họ. Chúng tôi nói rằng trang web có thể đã bị xâm nhập hoặc bị hack, và đề nghị nhà đăng ký hoặc nhà cung cấp dịch vụ lưu trữ kiểm tra. Chúng tôi tôn trọng rõ ràng các quy trình nội bộ của họ và để quyết định tùy theo AUP và Điều khoản dịch vụ của họ. Báo cáo cũng ghi chú rằng tên miền đã được thêm vào danh sách công khai của chúng tôi, kèm dấu thời gian, nhằm thông báo cho cộng đồng bảo mật.

Chúng tôi không buộc tội ai, và không đòi chặn. Làm vậy là không đúng mực, và vượt quá thẩm quyền của chúng tôi. Kết luận của chúng tôi đến từ các hệ thống quét đạt chuẩn và các chỉ báo do chính chúng tôi thu thập, nhưng không có trình quét nào, dù được chứng nhận hay không, có thể đảm bảo không mắc lỗi nào — riêng kỹ thuật che giấu (cloaking) thôi cũng đủ khiến điều đó là không thể. Chúng tôi chưa bao giờ tuyên bố rằng mình không mắc sai lầm. Ở mọi nơi, chúng tôi đều nói điều ngược lại.

Nếu chúng tôi tấn công các nhà đăng ký, họ đã đưa chúng tôi vào danh sách chặn từ lâu rồi.

Lời đồn này có tác giả. Khoảng một năm trước, những kẻ lừa đảo đã công bố một hướng dẫn cách lách các lệnh tạm ngưng của NiceNIC. Mẫu thư gửi nhà đăng ký trong đó khẳng định sòng bạc lừa đảo của họ là mục tiêu của “các cuộc tấn công hàng loạt có phối hợp do đối thủ cạnh tranh thuê”.

Không. Điều này do AI bịa ra, từ cụm từ “seed-phrase flooding”. Với AI, “flood” có nghĩa là một cuộc tấn công độc hại. Nhưng thực chất không phải vậy.

Seed flooding là việc gửi các cụm từ khôi phục giả vào biểu mẫu thu thập của một bộ công cụ lừa đảo (phishing kit). Việc này làm mất giá trị của dữ liệu bị đánh cắp và làm lộ cách bộ công cụ xử lý dữ liệu đó, nhờ vậy có thể báo cáo phần backend của nó. Các dịch vụ như EmailJS phần lớn đã phản hồi bằng cách thu hồi các khóa giúp xác định các trang lừa đảo. Chúng tôi đã sử dụng phương pháp này trong nhiều cuộc điều tra hạ tầng, và toàn bộ phương pháp được mô tả tại /seed-flooding/.

Mỗi lần chạy đều được ghi lại — mục tiêu, thời gian và số lượng yêu cầu. Khối lượng có thể lớn, đôi khi lên tới 1 triệu lượt gửi. Nhưng gần như chưa bao giờ được tự động hóa hoàn toàn. Nhiều năm trước, chúng tôi đã thử tự động hóa với các biểu mẫu lừa đảo từ quảng cáo Google, và không thành công: kẻ lừa đảo thay đổi định dạng, thêm captcha và mã hóa dữ liệu gửi đi, nên việc tự động tìm ra thời điểm thích hợp là không thể.

• Một lượt gửi chỉ là một yêu cầu POST duy nhất gồm 12 từ cộng với một trạng thái phản hồi. Việc mở một trang web từ IP của chính bạn còn nặng hơn nhiều.
• Gần như mọi lần sử dụng trong suốt những năm qua đều diễn ra bên trong Cloudflare, từ Cloudflare đến Cloudflare. Xét về kích thước gói tin, hạ tầng dùng chung và việc phân tải, nó không thể hoạt động như một cuộc tấn công. Hai trường hợp ngoại lệ đã được xử lý với các biện pháp phòng ngừa cơ bản: nhà cung cấp dịch vụ lưu trữ đã được báo trước về việc thử nghiệm của chúng tôi.
• Chúng tôi là một dự án phi lợi nhuận. Chúng tôi không có botnet, không có proxy, không có bất cứ thứ gì dùng để đánh sập máy chủ.
• Một trang web hợp pháp không có gì phải lo. Dù trang của bạn có biểu mẫu đi nữa, một cụm từ 12/24 từ cũng chẳng gây ảnh hưởng gì. Trình xử lý của bộ công cụ lừa đảo có các biến riêng; trên một trang web bình thường, đây chỉ là những yêu cầu POST vô hại không dẫn đến đâu cả.

Điều chúng tôi cần hoàn toàn ngược lại với việc làm sập trang: trang lừa đảo phải tiếp tục hoạt động trong lúc nhà đăng ký kiểm tra. PhishDestroy chưa bao giờ tấn công DDoS bất kỳ ai. Chúng tôi không cho rằng phương pháp này dễ chịu, nhưng không hề có ác ý trong đó, và chúng tôi luôn giữ nó trong giới hạn hợp lý.

Hãy báo trực tiếp cho chúng tôi — qua issue trên GitHub hoặc bot Telegram. Chúng tôi sẽ trả lời.

Chúng tôi không hề muốn đưa bất cứ thứ gì hợp pháp hay bị nhầm lẫn vào danh sách. Chúng tôi chẳng được lợi gì từ đó, chỉ bị tổn hại uy tín và phải siết chặt bộ lọc trên chính hệ thống của mình. Nhưng hệ thống có những người đóng góp. Quyền gửi mà không qua kiểm tra chỉ có được sau khi một số lượng đáng kể tên miền đã vượt qua quy trình xét duyệt tiêu chuẩn trước. Vị thế đó có giá trị, và đã từng bị lạm dụng, như trường hợp một số dịch vụ “stress-test” và một đường dây sòng bạc xám ở Indonesia.

Chúng tôi kiên quyết phản đối việc bất kỳ ai sử dụng PhishDestroy để trục lợi cá nhân thay vì chống lừa đảo. Ngay cả khi dịch vụ của bạn không hoàn toàn trong sạch, nếu bạn tin rằng ai đó đang trả tiền để thuê gỡ bỏ trang web, hãy gửi cho chúng tôi tên miền đó hoặc các tên miền đó. Chúng tôi sẽ kiểm tra. Nếu một thành viên trong cộng đồng của chúng tôi bán dịch vụ gỡ bỏ, chúng tôi sẽ chặn thành viên đó cùng mọi tên miền mà họ đã đưa vào danh sách vì mục đích thương mại. Mọi vấn đề đều có thể giải quyết. Nhưng nếu trang web của bạn thực sự bất hợp pháp, nhiều khả năng chúng tôi sẽ không gỡ nó.

Có. Mọi trường hợp báo sai đều được phản hồi ngược trở lại vào các quy tắc của chúng tôi. Các trường hợp hàng loạt hoặc bất thường — nhiều trang hợp pháp cùng lúc có mặt trong cơ sở dữ liệu — không bao giờ bị bỏ qua: chúng tôi tìm ra tín hiệu nào đã sai, nguồn nào đã cung cấp nó, và nguồn đó còn ảnh hưởng đến những gì khác.

Có. Mọi tên miền bị báo sai đều được gỡ công khai khỏi GitHub và được thêm vào allow/allowlist.json dưới dạng một commit riêng. Một chỉnh sửa mà không ai có thể kiểm chứng thì chẳng có giá trị gì.