2. Phân loại hành vi

Theo RAA Điều 3.18, Mắt Bão phân biệt hai nhóm báo cáo thuộc phạm vi nghĩa vụ tiếp nhận và xử lý của Nhà đăng ký: (i) DNS Abuse; và (ii) Hoạt động bất hợp pháp. Các hành vi khác ngoài hai nhóm này được xem xét theo pháp luật Việt Nam, hợp đồng, thỏa thuận và quy định dịch vụ áp dụng.

2.1. DNS Abuse

Loại hành vi	Ví dụ/dấu hiệu tham khảo	Bằng chứng cần xem xét
Phishing	Trang đăng nhập, thanh toán hoặc dịch vụ trực tuyến giả mạo; tên miền gần giống thương hiệu; biểu mẫu thu thập thông tin xác thực, mã xác thực hoặc dữ liệu thanh toán.	URL, ảnh chụp và thời điểm truy cập, lịch sử DNS/hosting, thông tin từ tổ chức bị giả mạo, nhật ký chuyển hướng hoặc kết quả phân tích kỹ thuật.
Malware	Tệp tải xuống, mã chèn, trang chuyển hướng, kho lưu trữ hoặc máy chủ phát tán ransomware, spyware, trojan hay mã độc khác.	URL hoặc tệp mẫu, mã băm, kết quả quét từ nguồn tin cậy, nhật ký máy chủ, chỉ dấu xâm nhập và lưu lượng tải xuống.
Botnet	Tên miền hoặc máy chủ dùng làm hạ tầng chỉ huy và kiểm soát, phân phối lệnh hoặc tiếp nhận dữ liệu từ thiết bị bị xâm nhập.	Phân tích DNS và lưu lượng, chỉ dấu hạ tầng chỉ huy và kiểm soát, dữ liệu sinkhole, nhật ký kết nối hoặc báo cáo chuyên môn.
Pharming	Can thiệp DNS, thay đổi bản ghi hoặc chuyển hướng trái phép khiến người dùng truy cập điểm đến giả mạo dù nhập đúng địa chỉ.	Lịch sử bản ghi và Name Server, dữ liệu phân giải, chuỗi chuyển hướng, nhật ký thay đổi cấu hình và dấu hiệu chiếm quyền tài khoản.
Spam dùng để phát tán DNS Abuse	Chiến dịch thư rác chứa đường dẫn hoặc tệp dẫn đến phishing, malware, botnet hoặc pharming. Thư rác độc lập không thuộc DNS Abuse.	Mẫu thư đầy đủ, thông tin định tuyến, URL đích, tệp đính kèm, chuỗi chuyển hướng và mối liên hệ với một loại DNS Abuse.

Nguyên tắc xác định căn cứ xử lý: các ví dụ và dấu hiệu trong bảng chỉ phục vụ sàng lọc. Mắt Bão xem xét tổng thể nguồn và độ tin cậy của báo cáo, khả năng kiểm chứng, tính hiện thời, mối liên hệ trực tiếp với tên miền hoặc dịch vụ, khả năng hành vi vẫn đang diễn ra và phạm vi Mắt Bão có quyền kiểm soát. Việc xuất hiện trên danh sách cảnh báo hoặc công cụ bên thứ ba không tự động dẫn đến áp dụng biện pháp.

Tên miền hoặc hệ thống bị xâm nhập: Mắt Bão phân biệt hành vi có chủ đích với sự cố chiếm quyền và ưu tiên xử lý tại nguồn gây lạm dụng. Tạm ngừng tên miền chỉ được xem xét khi biện pháp ít ảnh hưởng hơn không đủ, không khả thi hoặc mức độ nguy cơ đòi hỏi biện pháp mạnh hơn.

2.2. Hoạt động bất hợp pháp

Hoạt động bất hợp pháp là hoạt động bị pháp luật cấm hoặc có dấu hiệu vi phạm pháp luật, được báo cáo liên quan đến tên miền hoặc dịch vụ thuộc phạm vi Mắt Bão quản lý. Nhóm này rộng hơn DNS Abuse và không phải danh mục đóng. Theo RAA Điều 3.18 , Mắt Bão tiếp nhận, thực hiện các bước hợp lý và kịp thời để xem xét, phản hồi phù hợp; đối với báo cáo có căn cứ từ cơ quan thực thi pháp luật, cơ quan bảo vệ người tiêu dùng hoặc cơ quan tương tự có thẩm quyền, Mắt Bão áp dụng đầu mối chuyên trách và thời hạn xem xét tương ứng. Việc tiếp nhận báo cáo hoặc xuất hiện một dấu hiệu đơn lẻ không đồng nghĩa với kết luận có hành vi bất hợp pháp.

Loại hoạt động	Ví dụ/dấu hiệu tham khảo	Bằng chứng cần xem xét
Lừa đảo, chiếm đoạt tài sản hoặc giả mạo giao dịch	Website, thư điện tử hoặc tài khoản dùng để mời đầu tư, bán hàng, tuyển dụng, hỗ trợ kỹ thuật hoặc thanh toán giả.	Nội dung trang, lịch sử DNS/hosting, thông tin thanh toán, chứng từ giao dịch, cảnh báo từ tổ chức bị giả mạo hoặc yêu cầu của cơ quan có thẩm quyền.
Cờ bạc, cá cược hoặc tổ chức đánh bạc trái phép	Trang nhận cược, tổ chức trò chơi được–thua bằng tiền hoặc tài sản, đại lý nạp/rút, bảng tỷ lệ cược hoặc che giấu điểm truy cập.	Ảnh chụp giao diện, luồng nạp/rút, thông tin tài khoản nhận tiền, nội dung quảng bá, nhật ký truy cập và tài liệu thể hiện hoạt động không được phép.
Nội dung xâm hại trẻ em	Nội dung, đường dẫn, kho lưu trữ, diễn đàn hoặc tài khoản dùng để tạo lập, lưu trữ, chia sẻ, quảng bá hay môi giới nội dung xâm hại trẻ em.	URL hoặc vị trí dữ liệu, thời điểm truy cập, mã băm, thông tin nhận diện kỹ thuật hoặc báo cáo từ cơ quan chuyên trách; hạn chế sao chép, phát tán lại nội dung.
Xâm nhập, phá hoại, cản trở hoặc sử dụng trái phép hệ thống thông tin	Tấn công từ chối dịch vụ, truy cập trái phép, khai thác lỗ hổng, chiếm quyền tài khoản, thay đổi hoặc xóa dữ liệu, phát tán công cụ tấn công.	Nhật ký hệ thống, địa chỉ IP, dấu thời gian, mẫu lưu lượng, cảnh báo an toàn thông tin, chỉ dấu xâm nhập và kết quả phân tích kỹ thuật.
Thông tin hoặc hàng hóa, dịch vụ bị pháp luật cấm	Hạ tầng dùng để quảng bá, chào bán hoặc phân phối hàng hóa, dịch vụ bị cấm; nội dung thuộc trường hợp phải ngăn chặn, gỡ bỏ hoặc hạn chế truy cập.	Nội dung cụ thể, danh mục sản phẩm/dịch vụ, chứng từ giao dịch, thông tin chủ thể, kết luận chuyên ngành, quyết định hoặc yêu cầu của cơ quan có thẩm quyền.
Hành vi bất hợp pháp khác	Hành vi khác có dấu hiệu vi phạm pháp luật, được thực hiện thông qua hoặc liên quan trực tiếp đến dịch vụ do Mắt Bão quản lý.	Mô tả hành vi, đối tượng, thời điểm, tài liệu kiểm chứng, mối liên hệ với dịch vụ và thông tin cho thấy hành vi cần được xem xét.

Nguyên tắc xác định căn cứ xử lý: các ví dụ và dấu hiệu trong bảng chỉ phục vụ sàng lọc, không tự thân chứng minh có vi phạm. Mắt Bão xem xét tổng thể: (i) nguồn và độ tin cậy của báo cáo; (ii) khả năng kiểm chứng và tính hiện thời của bằng chứng; (iii) mối liên hệ trực tiếp giữa hành vi với tên miền hoặc dịch vụ; (iv) thẩm quyền và tính hợp lệ của yêu cầu; (v) căn cứ pháp luật, hợp đồng hoặc quy định dịch vụ; và (vi) phạm vi Mắt Bão có quyền kiểm soát. Trường hợp chưa đủ cơ sở, Mắt Bão yêu cầu bổ sung, bảo toàn thông tin cần thiết hoặc chuyển vụ việc đến cơ quan hay cơ chế có thẩm quyền; không mặc nhiên kết luận hành vi phạm tội.

2.3. Các hành vi lạm dụng khác

Các hành vi tại Mục này là hành vi không thuộc DNS Abuse quy định tại Mục 2.1 và không được phân loại là Hoạt động bất hợp pháp theo Mục 2.2, nhưng có dấu hiệu vi phạm hợp đồng, thỏa thuận, chính sách sử dụng, giới hạn kỹ thuật hoặc cơ chế quản lý dịch vụ do Mắt Bão áp dụng. Mắt Bão tiếp nhận và xem xét các hành vi này theo căn cứ tương ứng, bao gồm pháp luật Việt Nam, yêu cầu hợp lệ của cơ quan có thẩm quyền, hợp đồng, thỏa thuận, chính sách và quy định dịch vụ. Việc phân loại tại Mục 2.3 không làm phát sinh hoặc được viện dẫn như nghĩa vụ xử lý DNS Abuse của Mắt Bão theo ICANN.

Loại hành vi	Ví dụ/dấu hiệu tham khảo	Bằng chứng cần xem xét
Thư rác độc lập	Gửi hàng loạt quảng cáo hoặc tiếp thị không mong muốn, không có cơ chế từ chối phù hợp hoặc tiếp tục gửi sau khi người nhận từ chối; không dùng để phát tán DNS Abuse.	Mẫu thư đầy đủ, thông tin định tuyến, tần suất và số lượng gửi, địa chỉ nguồn, bằng chứng người nhận không đồng ý hoặc đã từ chối.
Khai thác tài nguyên trái phép hoặc gây ảnh hưởng hệ thống	Đào tiền mã hóa không được phép, sử dụng bất thường CPU/băng thông, quét cổng diện rộng, proxy mở hoặc dùng tài nguyên sai mục đích gây ảnh hưởng.	Chỉ số sử dụng tài nguyên, nhật ký tiến trình và kết nối, mẫu lưu lượng, cảnh báo giám sát, cấu hình dịch vụ và mức ảnh hưởng thực tế.
Vi phạm điều kiện hoặc mục đích sử dụng dịch vụ	Cho thuê lại trái phép, sử dụng sai gói, cung cấp sai thông tin chủ thể, chia sẻ tài khoản trái quy định hoặc né tránh giới hạn kỹ thuật.	Hợp đồng và đơn hàng, thông tin đăng ký, nhật ký quản trị, cấu hình, trao đổi với khách hàng và lịch sử cảnh báo.
Xâm phạm quyền sở hữu trí tuệ	Sử dụng trái phép nhãn hiệu, tác phẩm, phần mềm hoặc nội dung có bản quyền; phân phối hàng giả hoặc bản sao không được phép.	Tài liệu chứng minh quyền, phạm vi bảo hộ, URL và nội dung cụ thể, chứng cứ sử dụng, thông tin người yêu cầu và quyết định có thẩm quyền nếu cần.
Tranh chấp tên miền	Tranh chấp về quyền đăng ký, quyền đối với tên hoặc nhãn hiệu, đăng ký hoặc sử dụng không thiện chí; quy trình abuse không thay thế thủ tục tranh chấp.	Thông tin tên miền, tài liệu về quyền, lịch sử sử dụng và đăng ký, quyết định của tổ chức giải quyết tranh chấp, tòa án hoặc cơ quan có thẩm quyền.
Hành vi khác vi phạm thỏa thuận dịch vụ	Hành vi ngoài các nhóm trên nhưng bị cấm hoặc hạn chế rõ ràng theo hợp đồng, chính sách sử dụng hoặc đặc tính kỹ thuật của dịch vụ.	Điều khoản áp dụng, dữ liệu kỹ thuật hoặc vận hành, lịch sử thông báo, bằng chứng về hành vi và tác động.

Nguyên tắc đánh giá: Mắt Bão xem xét điều khoản pháp luật, hợp đồng, thỏa thuận, chính sách dịch vụ hoặc cơ chế tranh chấp đang có hiệu lực tại thời điểm xử lý. Dấu hiệu đơn lẻ hoặc yêu cầu không kèm thông tin kiểm chứng phù hợp chỉ được dùng để sàng lọc và yêu cầu bổ sung. Đối với tranh chấp quyền, Mắt Bão thực hiện theo quyết định hoặc cơ chế có thẩm quyền, không tự kết luận quyền sở hữu hoặc quyền sử dụng giữa các bên.

2.4. Xử lý khẩn cấp đối với nguy cơ cao hoặc ảnh hưởng diện rộng

Quyền xử lý khẩn cấp: Mắt Bão có quyền áp dụng ngay một hoặc nhiều biện pháp kiểm soát trước khi thông báo hoặc không chờ khách hàng phản hồi, khắc phục theo Mục 3.3, khi hồ sơ tại thời điểm đánh giá đáp ứng ít nhất một tiêu chí về nguy cơ và ít nhất một căn cứ kiểm chứng dưới đây. Việc áp dụng biện pháp khẩn cấp nhằm ngăn chặn hoặc hạn chế thiệt hại, không mặc nhiên là kết luận cuối cùng về lỗi, ý chí hoặc trách nhiệm pháp lý của khách hàng.

Nhóm tiêu chí	Dấu hiệu để xác định ngay	Hướng xử lý ban đầu
A. Nguy cơ thiệt hại đặc biệt nghiêm trọng	1. Phishing trực tiếp (Active Phishing): Tên miền/website đang công khai chứa giao diện giả mạo các tổ chức tài chính, ngân hàng, cổng thanh toán, cơ quan nhà nước, mạng xã hội; hoặc chứa biểu mẫu đang hoạt động nhằm đánh cắp trái phép thông tin thẻ, mật khẩu, mã OTP của người dùng.	Với Tên miền: Kích hoạt trạng thái ClientHold / ServerHold hoặc khóa cập nhật DNS để tạm ngừng phân giải.
	2. Hạ tầng mã độc & Botnet: Tên miền hoặc máy chủ được xác định đóng vai trò máy chủ điều khiển (C&C Server), phát tán mã độc tống tiền (Ransomware), mã độc gián điệp, hoặc chứa các tệp thực thi độc hại đã được phân tích chỉ dấu xâm nhập.	Với Hosting/VPS: Đình chỉ (Suspend) VirtualHost; cô lập thư mục chứa mã độc/phishing; hoặc chặn cổng kết nối (Port filter).
	3. Nội dung xâm hại đặc biệt: Chứa nội dung xâm hại trẻ em (CSAM), hoặc các hành vi lừa đảo tài chính quy mô lớn có nguy cơ tẩu tán tài sản tức thì.	Thời hạn gửi thông báo: Gửi thông báo chi tiết qua email cho khách hàng trong vòng 02 - 04 giờ sau khi xử lý kỹ thuật.
B. Ảnh hưởng diện rộng & Đe dọa hạ tầng chung	1. Phát tán thư rác/mã độc hàng loạt: Máy chủ/dịch vụ gửi thư điện tử vượt ngưỡng bất thường (hàng nghìn thư trong thời gian ngắn), tỉ lệ thư bị trả lại (bounce rate) trên 50%, hoặc làm dải địa chỉ IP của Mắt Bão rơi vào danh sách đen (Blacklist) quốc tế.	Tạm ngưng cổng gửi thư (Block port 25/SMTP); áp dụng giới hạn lưu lượng (Rate-limit) hoặc cô lập máy chủ.
	2. Chiến dịch tấn công mạng: Hệ thống ghi nhận lưu lượng tấn công từ chối dịch vụ (DDoS, Botnet scans) phát xuất từ dịch vụ của khách hàng làm nghẽn băng thông, quá tải phần cứng, gây ảnh hưởng trực tiếp đến người dùng khác trên cùng hạ tầng dùng chung.	Tạm khóa tính năng thay đổi bản ghi DNS/NameServer trên bảng điều khiển để ngăn chặn phân tán nguồn tấn công.
	3. Đăng ký/tạo lập theo chuỗi: Cùng một hành vi lạm dụng xuất hiện đồng thời từ 02 tên miền hoặc dịch vụ trở lên có cùng mối liên hệ về thông tin quản trị hoặc cấu hình kỹ thuật.	Áp dụng đồng thời biện pháp đối với các thành phần liên quan đã xác minh; mở rộng kiểm tra sang các dịch vụ cùng tài khoản.
C. Hành vi cố ý né tránh kiểm soát	1. Thay đổi hạ tầng lén lút: Thay đổi đường dẫn URL, tạo thêm subdomain mới, hoặc hoán đổi địa chỉ IP/Name Server nhằm tiếp tục duy trì hoạt động vi phạm đã bị Mắt Bão yêu cầu gỡ bỏ trước đó.	Chuyển thẳng hồ sơ sang chế tài Tái phạm lần 2 hoặc Tái phạm lần 3 (Xem xét chấm dứt dịch vụ) mà không cần qua bước nhắc nhở.
	2. Tự ý mở lại vi phạm: Tự ý mở lại mã nguồn vi phạm khi chưa thực hiện các biện pháp rà soát lỗ hổng và chưa có sự xác nhận của Mắt Bão.	Tạm ngừng toàn bộ các dịch vụ phụ thuộc liên quan đến chiến dịch né tránh.
	3. Kỹ thuật che giấu: Sử dụng các kỹ thuật che giấu trang đích (Cloaking/Geotargeting) để đánh lừa công cụ kiểm tra của bộ phận kỹ thuật.	Khóa quyền can thiệp cấu hình DNS/Hosting và bảo toàn dữ liệu phục vụ điều tra.
D. Yêu cầu khẩn cấp từ Cơ quan có thẩm quyền	Có văn bản, lệnh khẩn cấp hoặc yêu cầu nghiệp vụ bằng văn bản điện tử/công văn từ các cơ quan điều tra, cơ quan thực thi pháp luật Việt Nam, Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT), cơ quan quản lý chuyên ngành (VNNIC) hoặc tổ chức điều phối quốc tế ICANN theo quy định.	Thực thi ngay lập tức theo đúng phạm vi, đối tượng và thời hạn được yêu cầu trong văn bản của cơ quan có thẩm quyền.
E. Căn cứ kiểm chứng kỹ thuật bắt buộc (Điều kiện cần)	1. Bằng chứng kiểm chứng trực tiếp: Kỹ thuật Mắt Bão kiểm tra độc lập và ghi nhận trang giả mạo/mã độc đang hoạt động thông qua URL, ảnh chụp có dấu thời gian (timestamp), mã băm tệp tin (File Hash), hoặc log truy vấn hệ thống.	Điều kiện tiên quyết: Biện pháp khẩn cấp CHỈ ĐƯỢC PHÉP ÁP DỤNG khi có ít nhất một trong các bằng chứng tại Mục E.
	2. Báo cáo từ tổ chức an ninh uy tín: Báo cáo từ ít nhất 02 tổ chức độc lập hoặc nguồn dữ liệu an ninh mạng chuyên nghiệp (Google Safe Browsing, Netcraft, APWG, Spamhaus, VirusTotal) còn hiệu lực trong 24 giờ.	Nguyên tắc an toàn: Tuyệt đối không áp dụng xử lý khẩn cấp nếu chỉ dựa trên suy đoán tên miền tương tự, hoặc báo cáo đơn lẻ không đính kèm nhật ký/bằng chứng kiểm chứng được.
	3. Xác nhận từ bên bị hại: Báo cáo chính thức kèm bằng chứng xác thực từ đơn vị sở hữu thương hiệu bị giả mạo (Ngân hàng, cổng thanh toán, cơ quan nhà nước).	Lưu trữ hồ sơ chứng cứ đầy đủ trước khi kích hoạt quy trình xử lý khẩn cấp.

Trình tự quyết định, thông báo và hậu kiểm:

(i) Mắt Bão tiếp nhận, lập hồ sơ và ghi nhận đối tượng, nguồn bằng chứng, tiêu chí kích hoạt, phạm vi ảnh hưởng và biện pháp đề xuất theo Bước 1 Mục 3.3; đồng thời gửi xác nhận tiếp nhận trong thời hạn quy định tại Bước 2 Mục 3.3, trừ trường hợp pháp luật hoặc yêu cầu hợp lệ không cho phép phản hồi;

(ii) Khi đáp ứng điều kiện tại Mục 2.4, Mắt Bão quyết định và áp dụng ngay biện pháp cần thiết theo Bước 5 Mục 3.3 mà không phải chờ hoàn tất Bước 3 hoặc thời hạn 48 giờ để khách hàng khắc phục tại Bước 4. Biện pháp kỹ thuật tự động hoặc biện pháp ngăn chặn tức thời theo quy trình ứng cứu sự cố được thực hiện ngay; các trường hợp khác thực hiện theo thẩm quyền nội bộ. Mắt Bão ưu tiên biện pháp tác động trực tiếp đến nguồn lạm dụng, trong phạm vi cần thiết và ít ảnh hưởng nhất nhưng đủ hiệu quả;

(iii) Sau khi áp dụng biện pháp, Mắt Bão thông báo khách hàng về hành vi, biện pháp đã áp dụng, yêu cầu khắc phục và hậu quả nếu không hoàn thành. Thông báo được thực hiện trong thời hạn xem xét và thông báo khách hàng tại Bước 3 Mục 3.3, trừ khi pháp luật, yêu cầu của cơ quan có thẩm quyền, nghĩa vụ bảo mật hoặc nguy cơ cản trở xử lý không cho phép. Khách hàng thực hiện khắc phục và cung cấp kết quả hoặc bằng chứng trong thời hạn 48 giờ kể từ thời điểm nhận được thông báo, theo Bước 4 Mục 3.3; việc khắc phục không tự động làm chấm dứt biện pháp đã áp dụng;

(iv) Mắt Bão hậu kiểm căn cứ, phạm vi và mức độ cần thiết của biện pháp trong quá trình xem xét quy định tại Bước 3 Mục 3.3 và sau khi nhận được kết quả khắc phục hoặc thông tin mới. Căn cứ kết quả hậu kiểm, Mắt Bão có thể thu hẹp, thay đổi, duy trì hoặc chấm dứt biện pháp; việc mở lại dịch vụ thực hiện theo Mục 5, còn trường hợp vi phạm lặp lại thực hiện theo Mục 6. Các trường hợp không đáp ứng điều kiện xử lý khẩn cấp tại Mục 2.4 được xử lý đầy đủ theo trình tự và thời hạn tại Mục 3.3.

Giao diện mẫu Website Landing page