Các chiến dịch tấn công lừa đảo nâng cao: kỹ thuật, ví dụ và biện pháp phòng vệ

Informatec Digital » Recursos » Các chiến dịch tấn công lừa đảo nâng cao: kỹ thuật, ví dụ và biện pháp phòng vệ

Các chiến dịch lừa đảo tinh vi đã trở thành một trong những vấn đề nan giải nhất đối với doanh nghiệp và người dùng thông thường. Chúng ta không còn nói về những email viết kém và dễ bị phát hiện, mà là những thông điệp được soạn thảo tỉ mỉ, bắt chước hoàn hảo các ngân hàng, nhà cung cấp, nền tảng đám mây, hoặc thậm chí cả đồng nghiệp của chúng ta.

Trong bối cảnh này, tấn công phi kỹ thuật (social engineering) đang kết hợp với các kỹ thuật công nghệ ngày càng tinh vi : đánh cắp cookie phiên, vượt qua xác thực đa yếu tố (MFA), lạm dụng dịch vụ đám mây, lời mời trên lịch, các tệp SVG chứa phần mềm độc hại, và thậm chí cả trí tuệ nhân tạo để soạn thảo những email "hoàn hảo". Hãy cùng phân tích cách thức hoạt động của các chiến dịch này, những chiến thuật chúng ta đang thấy trong năm 2025, và những gì chúng ta có thể làm để khiến kẻ tấn công khó thực hiện hơn.

Tấn công lừa đảo nâng cao là gì và nó khác với tấn công lừa đảo truyền thống như thế nào?

Tấn công lừa đảo kiểu cũ tập trung vào việc đánh cắp tên người dùng và mật khẩu bằng cách giả mạo một tổ chức nổi tiếng thông qua một email đơn giản hoặc trang web giả mạo. Điều này đủ để chúng có được quyền truy cập vào tài khoản ngân hàng, hồ sơ mạng xã hội hoặc bảng điều khiển doanh nghiệp.

Mặt khác, tấn công lừa đảo nâng cao tiến thêm một bước (hoặc nhiều bước) nữa . Nó không chỉ nhằm mục đích đánh cắp thông tin đăng nhập mà còn nhằm chiếm đoạt phiên đăng nhập đã được xác thực – tức là trạng thái mà người dùng đã vượt qua tất cả các bước kiểm tra bảo mật (bao gồm cả xác thực hai yếu tố). Điều này chủ yếu được thực hiện bằng cách đánh cắp hoặc sử dụng lại cookie phiên hoặc các mã thông báo khác mà máy chủ sử dụng để ghi nhớ rằng bạn đã đăng nhập.

Kiểu tấn công này dựa vào các kỹ thuật lừa đảo xã hội rất tinh vi và các công nghệ hiện đại: máy chủ proxy thời gian thực, bộ công cụ phần mềm độc hại chuyên dụng, dịch vụ lừa đảo trực tuyến (PhaaS) , lạm dụng API dịch vụ đám mây hoặc cửa sổ đăng nhập một lần (SSO) giả mạo như của Google hoặc Microsoft.

Tác động tiềm tàng là vô cùng lớn ở cả cấp độ doanh nghiệp và cá nhân : việc xâm phạm chỉ một tài khoản đặc quyền cũng có thể làm tê liệt toàn bộ tổ chức, và trong phạm vi gia đình, một vụ lừa đảo được thiết kế tinh vi có thể rút sạch tài khoản ngân hàng hoặc làm lộ nhiều năm email và tài liệu riêng tư.

Hơn nữa, tin tặc không còn chỉ giới hạn ở email . Chúng đang tận dụng mạng xã hội, tin nhắn tức thời, cuộc gọi điện thoại, lời mời trên lịch và thậm chí cả quảng cáo trên công cụ tìm kiếm để dụ dỗ nạn nhân vào bẫy.

Các đặc điểm chính của các chiến dịch lừa đảo trực tuyến nâng cao

Một trong những đặc điểm nổi bật của các cuộc tấn công lừa đảo tinh vi là mức độ cá nhân hóa . Các email hoặc tin nhắn hầu như không thể phân biệt được với các thông tin liên lạc hợp pháp: cùng một logo, cùng một giọng điệu, chữ ký giống thật, và thậm chí cả những tham chiếu đến các cuộc trò chuyện hoặc dự án thực tế.

Để đạt được điều này, tội phạm mạng lợi dụng các cơ sở dữ liệu bị rò rỉ và việc theo dõi mạng xã hội . Chúng có thể lấy được tên đầy đủ, số điện thoại, chức danh công việc, công ty bạn đang làm việc, nhà cung cấp bạn hợp tác, hoặc thậm chí cả những thông tin chi tiết như số chứng minh nhân dân của bạn. Dữ liệu này được mua bán trên các diễn đàn web đen và được sử dụng để xây dựng các cuộc tấn công lừa đảo có chủ đích (spear phishing) cực kỳ tinh vi.

Kỹ thuật thao túng tâm lý là cốt lõi của những trò lừa đảo này . Thay vì khai thác các lỗ hổng phần mềm, chúng khai thác điểm yếu của con người: sự vội vàng, lòng tin, nỗi sợ mất quyền truy cập vào tài khoản, mong muốn giải quyết vấn đề nhanh chóng hoặc tận dụng một cơ hội được cho là duy nhất. Đó là lý do tại sao rất nhiều chiến dịch dựa vào các thông điệp khẩn cấp, việc sắp bị khóa tài khoản, phạt tiền hoặc các giao dịch đáng ngờ.

Trong khi đó, tin tặc đang chuyển sang sử dụng các công cụ và nền tảng hiện đại . Dịch vụ tấn công lừa đảo (Phishing-as-a-Service) cung cấp các mẫu, cơ sở hạ tầng và dịch vụ gửi thư hàng loạt dựa trên đăng ký, giúp dân chủ hóa việc tiếp cận tội phạm mạng. Các công cụ như GoPhish cho phép bất kỳ ai cũng có thể dàn dựng các chiến dịch quy mô lớn, trong khi các framework như Evilginx được sử dụng để thiết lập các máy chủ proxy chặn thông tin đăng nhập và cookie phiên, ngay cả khi đã bật xác thực đa yếu tố (MFA).

Do đó, đào tạo và nâng cao nhận thức về an ninh mạng không còn là điều tùy chọn đối với bất kỳ công ty nào . Yếu tố con người vẫn là mắt xích yếu nhất, và chỉ thông qua đào tạo liên tục, những chi tiết tinh vi tố cáo email độc hại mới có thể được phát hiện, cho dù nó trông có vẻ hoàn hảo đến đâu.

Các kỹ thuật phổ biến trong các chiến dịch lừa đảo tinh vi

Thuật ngữ chung "tấn công lừa đảo nâng cao" bao gồm nhiều chiến thuật khác nhau , thường được kết hợp trong một chiến dịch duy nhất để tăng cơ hội thành công. Một số nhắm mục tiêu vào các hồ sơ cụ thể; số khác tập trung vào việc vượt qua các biện pháp phòng vệ kỹ thuật.

Tấn công lừa đảo có chủ đích: các cuộc tấn công nhắm mục tiêu chính xác vào các cá nhân cụ thể.

Tấn công spear phishing là một hình thức tấn công lừa đảo cực kỳ nhắm mục tiêu . Thay vì gửi hàng nghìn email chung chung, kẻ tấn công sẽ nghiên cứu một người cụ thể hoặc một nhóm nhỏ (ví dụ: nhóm tài chính hoặc nhóm CNTT) và soạn thảo một thông điệp được cá nhân hóa.

Để đạt được điều này, chúng dựa vào OSINT (tình báo công khai) , dữ liệu bị rò rỉ và bất kỳ manh mối nào chúng có thể tìm thấy: LinkedIn, thông cáo báo chí, mạng xã hội, thông tin nhà cung cấp, v.v. Kết quả là một email hoàn toàn phù hợp với vai trò, bối cảnh và cuộc sống hàng ngày của nạn nhân.

Thông thường, các tài khoản mục tiêu có quyền hạn cao : quản trị viên hệ thống, quản lý tài chính, giám đốc điều hành có thẩm quyền phê duyệt thanh toán, hoặc người dùng có quyền truy cập vào thông tin đặc biệt nhạy cảm. Một cuộc tấn công thành công duy nhất có thể mở ra cánh cửa cho phần còn lại của tổ chức.

Săn bắt cá voi: Săn lùng những người quản lý cấp cao

Tấn công "cá voi" là một biến thể của tấn công lừa đảo có chủ đích, nhắm vào "những con cá lớn" : Giám đốc điều hành (CEO), Giám đốc tài chính (CFO), Giám đốc vận hành (COO), thành viên hội đồng quản trị, v.v. Đây là những đối tượng có quyền quyết định đáng kể và quyền truy cập quan trọng, do đó, công sức chuẩn bị thường lớn hơn.

Trong các chiến dịch kiểu này, kẻ tấn công giả mạo các nhà cung cấp chính, đối tác chiến lược, thành viên gia đình, hoặc thậm chí là các giám đốc điều hành khác . Các email được viết bằng ngôn ngữ rất chuyên nghiệp, với các thông tin tham khảo thực tế, và thường bao gồm các yêu cầu nhạy cảm như phê duyệt chuyển khoản khẩn cấp, chia sẻ tài liệu chiến lược hoặc cấp quyền truy cập tạm thời.

Do mức độ chi tiết cao như vậy, các tin nhắn giả mạo nhằm mục đích đánh cắp thông tin cá voi rất khó phân biệt với thông tin liên lạc thực sự . Đó là lý do tại sao việc ban lãnh đạo cấp cao được đào tạo chuyên biệt và không bị loại trừ khỏi các chương trình nâng cao nhận thức lại rất quan trọng.

Lừa đảo qua mạng xã hội

Mạng xã hội là môi trường lý tưởng cho các hoạt động thao túng tâm lý . Tại đây, tội phạm mạng có thể quan sát ai đang nói chuyện với ai, những thương hiệu nào được nhắc đến, những lời phàn nàn công khai nào người dùng đưa ra và mối quan hệ mà họ dường như có với một công ty.

Một chiến thuật phổ biến là mạo danh thương hiệu bằng cách sử dụng các hồ sơ giả mạo bắt chước các tài khoản chính thức của ngân hàng, nhà mạng di động, dịch vụ nhắn tin hoặc cửa hàng trực tuyến. Từ các tài khoản này, kẻ tấn công trả lời các bài đăng công khai hoặc gửi tin nhắn trực tiếp yêu cầu dữ liệu cá nhân, thông tin đăng nhập hoặc số thẻ tín dụng, thường dưới vỏ bọc "xác minh sự cố".

Một thủ đoạn nguy hiểm khác là giả mạo người thân hoặc bạn bè . Thông qua tin nhắn riêng, tội phạm có thể giả vờ là một người họ hàng xa, một người bạn thời thơ ấu, hoặc một người quen trong công việc “bị mất điện thoại” và cần trợ giúp tài chính khẩn cấp. Yếu tố tình cảm đóng vai trò then chốt ở đây.

Các cuộc tấn công thời gian thực: các cuộc gọi và tin nhắn củng cố sự lừa dối.

Nhiều chiến dịch hiện đại kết hợp nhiều kênh để tăng độ tin cậy : một email cảnh báo về một sự cố bị cáo buộc được bổ sung bằng một cuộc gọi điện thoại hoặc tin nhắn WhatsApp để "giúp" giải quyết vấn đề.

Trong những trường hợp này, kẻ tấn công giả mạo nhân viên ngân hàng, nhà cung cấp dịch vụ, kỹ thuật viên hỗ trợ hoặc quan chức chính phủ . Nhờ thông tin chúng có sẵn (tên, một phần số tài khoản, địa chỉ, v.v.), lời nói của chúng nghe có vẻ hợp pháp, và nạn nhân mất cảnh giác.

Kẻ giả mạo thường gây áp lực bằng cách tạo ra cảm giác khẩn cấp giả tạo : một giao dịch chuyển khoản đáng ngờ, tài khoản sắp bị khóa hoặc một hình phạt hành chính sắp xảy ra. Mục tiêu là lừa nạn nhân giao nộp mật khẩu, mã xác thực hai yếu tố (2FA) hoặc nhấp vào các liên kết độc hại mà không suy nghĩ kỹ.

Chiêu trò này cũng thường thấy trong các ứng dụng nhắn tin tức thời như WhatsApp hoặc các cuộc trò chuyện nội bộ doanh nghiệp . Kẻ lừa đảo giả mạo là quản lý nhân sự đang tuyển dụng, nhà cung cấp "cập nhật" thông tin thanh toán, hoặc đồng nghiệp yêu cầu mật khẩu "vì họ không thể truy cập hệ thống".

Trình duyệt trong trình duyệt (BitB) và cửa sổ SSO giả mạo

Một thủ đoạn đặc biệt nổi bật là tấn công Trình duyệt trong Trình duyệt (BitB) , lợi dụng sự tin tưởng của chúng ta vào các cửa sổ bật lên đăng nhập từ Google, Microsoft hoặc các nhà cung cấp SSO khác.

Sử dụng HTML, CSS và JavaScript, bọn tội phạm mô phỏng một cửa sổ trình duyệt nổi ngay trong trang web, khiến nó trông giống như một cửa sổ bật lên thực sự: bao gồm thanh tiêu đề, nút đóng và thậm chí cả thanh địa chỉ trông có vẻ hợp lệ. Tuy nhiên, tất cả chỉ là ảo ảnh thị giác; thông tin đăng nhập được nhập vào sẽ được gửi đến máy chủ của kẻ tấn công.

Kiểu lừa đảo này đặc biệt hiệu quả khi người dùng đã quen với việc đăng nhập bằng Google/Microsoft chỉ bằng một cú nhấp chuột và không bình tĩnh kiểm tra xem cửa sổ đó có thực sự đến từ trình duyệt hay là một phần của trang mà họ đang truy cập hay không.

Lừa đảo qua email với các chiêu trò tinh vi: lịch, giọng nói và mã CAPTCHA.

Các email lừa đảo cũng đang ngày càng tinh vi hơn về thủ đoạn . Một phương pháp đã xuất hiện trở lại là lừa đảo qua lời mời sự kiện trên lịch . Nội dung email chứa rất ít văn bản; cái bẫy nằm ở phần mô tả sự kiện, nơi một liên kết độc hại được giấu kín.

Khi người dùng mở lời mời, sự kiện sẽ tự động được thêm vào lịch của họ và họ bắt đầu nhận được lời nhắc. Những thông báo lặp đi lặp lại này làm tăng khả năng họ sẽ nhấp vào và truy cập vào một trang đăng nhập giả mạo, thường là trang giả mạo Microsoft hoặc một công cụ của công ty nào đó.

Một xu hướng khác là lừa đảo liên quan đến thư thoại giả mạo . Một email đơn giản được gửi đến người nhận thông báo về thư thoại mới kèm theo một liên kết để nghe. Nhấp vào liên kết sẽ đưa nạn nhân qua nhiều màn hình có mã CAPTCHA, được thiết kế để vượt qua các hệ thống bảo mật tự động, cho đến khi họ đến một trang trông giống như trang đăng nhập của Google hoặc nhà cung cấp khác. Tại đó, tên người dùng và mật khẩu bị đánh cắp.

Song song đó, việc giả mạo dịch vụ đám mây để vượt qua xác thực đa yếu tố (MFA) đang gia tăng . Các chiến dịch bắt chước các nền tảng như pCloud gửi các phản hồi hỗ trợ kỹ thuật giả mạo với các liên kết đến các tên miền gần như giống hệt với tên miền thật (ví dụ: với các TLD khác nhau). Các trang web này tương tác thông qua API với dịch vụ hợp pháp, xác thực email của nạn nhân và yêu cầu mật khẩu hoặc mã OTP; bằng cách này, kẻ tấn công có được mọi thứ chúng cần để truy cập vào tài khoản, ngay cả khi đã bật xác thực đa yếu tố.

Cookie phiên và việc đánh cắp phiên đã xác thực

Một trong những thay đổi lớn nhất trong các chiến dịch hiện đại là việc tập trung vào phiên hoạt động, chứ không chỉ là mật khẩu . Ngày càng có nhiều cuộc tấn công được thiết kế đặc biệt để thu thập cookie phiên hoặc các mã thông báo tương đương.

Cookie phiên là các mã định danh mà máy chủ gửi đến trình duyệt của bạn sau khi bạn đã nhập tên người dùng, mật khẩu và, nếu có, yếu tố xác thực thứ hai. Chúng cho phép bạn đăng nhập lại cho mọi thao tác bạn thực hiện trong dịch vụ.

Nếu kẻ tấn công lấy được cookie đó, chúng có thể tải nó vào trình duyệt của mình và mạo danh bạn , ngay cả khi không biết mật khẩu của bạn. Từ góc nhìn của trang web, đây là một phiên đã được xác thực, mở ra cánh cửa cho việc di chuyển ngang, đánh cắp dữ liệu, thay đổi cấu hình, v.v.

Tình huống này giải thích tại sao nhiều biện pháp phòng vệ hiện đại tập trung vào bảo vệ phiên làm việc, chứ không chỉ là thông tin đăng nhập. Việc cấu hình đúng các cờ như HttpOnly, Secure và SameSite, giới hạn thời gian tồn tại của cookie và phát hiện hành vi bất thường là rất quan trọng trong các ứng dụng web hiện nay.

Bên cạnh hình thức lừa đảo trực tiếp (phishing), còn có những phương thức khác cho phép tin tặc xâm phạm cookie . Ví dụ, các lỗ hổng Cross-Site Scripting (XSS) cho phép chèn mã JavaScript vào các trang web hợp pháp và đánh cắp các cookie không được bảo vệ, hoặc việc sử dụng phần mềm độc hại "info-stealer" quét hệ thống để tìm các tệp trình duyệt cục bộ và gửi các cookie đó cho kẻ tấn công.

Các kỹ thuật lừa đảo nâng cao nhằm vượt qua xác thực hai yếu tố (2FA) và xác thực đa yếu tố (MFA).

Xác thực đa yếu tố đã nâng cao đáng kể mức độ bảo mật , nhưng tin tặc vẫn không ngừng tìm cách. Nhiều chiến dịch hiện nay được thiết kế đặc biệt để vượt qua hoặc lợi dụng các hệ thống xác thực hai yếu tố/đa yếu tố.

Tấn công lừa đảo qua máy chủ proxy thời gian thực (Man-in-the-Middle)

Một trong những chiến thuật mạnh mẽ nhất là tấn công lừa đảo qua máy chủ proxy thời gian thực . Trong chiến thuật này, kẻ tấn công thiết lập một máy chủ trung gian nằm giữa nạn nhân và trang web hợp pháp. Người dùng sẽ thấy trang web trông có vẻ là trang web thật, nhưng trên thực tế, họ đang tương tác với một bản sao chuyển tiếp mọi yêu cầu đến dịch vụ gốc.

Quá trình này thường diễn ra như sau: nạn nhân nhận được một liên kết dẫn đến trang web do kẻ tấn công kiểm soát . Họ nhập tên người dùng, mật khẩu và, khi được yêu cầu, mã xác thực hai yếu tố (2FA). Máy chủ proxy gửi thông tin đăng nhập này đến trang web hợp pháp, lấy cookie phiên hợp lệ và thu thập nó.

Chỉ trong vài giây, tội phạm đã có sẵn một phiên đăng nhập được xác thực , không cần yêu cầu thêm mã và không gây ra sự nghi ngờ ngay lập tức cho nạn nhân, người có thể chỉ thấy một lỗi chung chung hoặc một chuyển hướng tưởng chừng như bình thường.

tấn công mệt mỏi do xác thực hai yếu tố (2FA)

Một vấn đề khác được quan sát thấy rõ rệt là sự mệt mỏi do thông báo xác thực hai yếu tố (2FA) , đặc biệt là trong các hệ thống mà yếu tố thứ hai được chấp thuận chỉ bằng một nút "Chấp nhận" đơn giản trong ứng dụng xác thực.

Trong những trường hợp này, kẻ tấn công thường đã có được thông tin đăng nhập từ trước thông qua một số phương pháp cổ điển (lừa đảo trực tuyến, phần mềm độc hại, rò rỉ dữ liệu, v.v.). Từ đó, chúng liên tục cố gắng đăng nhập để kích hoạt hàng loạt yêu cầu xác thực trên thiết bị di động của nạn nhân.

Mục tiêu hoàn toàn mang tính tâm lý: khiến người dùng, vì mệt mỏi với việc nhận thông báo hoặc đang bị phân tâm, chấp nhận một trong các yêu cầu . Ngay khi điều đó xảy ra, kẻ tấn công sẽ xâm nhập "vào hệ thống", lấy được cookie phiên hợp lệ và không cần làm phiền người dùng nữa.

Tấn công lừa đảo bằng AI nâng cao: các cuộc tấn công siêu thực tế

Trí tuệ nhân tạo đã cải thiện đáng kể các cuộc tấn công lừa đảo . Nhờ các mô hình ngôn ngữ tiên tiến, tội phạm mạng có thể tạo ra email, tin nhắn và đoạn chat nghe hoàn toàn tự nhiên, không có lỗi chính tả hoặc những biểu hiện kỳ ​​lạ từng giúp phát hiện nhiều vụ lừa đảo trước đây.

Hệ thống AI có thể phân tích email đã lọc, hồ sơ công khai và mạng xã hội để tìm hiểu phong cách giao tiếp của một công ty, một người quản lý hoặc một đồng nghiệp. Từ đó, chúng soạn thảo các tin nhắn tổng hợp bắt chước giọng điệu, từ vựng và thậm chí cả những câu nói cửa miệng điển hình.

Điều này dẫn đến việc các email trông như được viết bởi các nhà quản lý, nhà cung cấp hoặc khách hàng thực sự , với những tham chiếu hợp lý đến các dự án, hóa đơn, lời mời họp hoặc các vấn đề kỹ thuật. Các liên kết và tệp đính kèm được hiển thị một cách liền mạch, khiến việc gây nghi ngờ trở nên khó khăn hơn nhiều.

Hơn nữa, nó không chỉ giới hạn ở email . Các chatbot độc hại và trình tạo văn bản được sử dụng để thực hiện các cuộc trò chuyện trên WhatsApp, Teams, Slack hoặc mạng xã hội với mức độ chân thực mà chỉ vài năm trước đây là điều không thể tưởng tượng nổi. Điều này làm tăng đáng kể hiệu quả của các vụ lừa đảo tài chính, các chiến dịch lừa đảo qua email doanh nghiệp (BEC) và gian lận hỗ trợ nội bộ.

Hậu quả của việc mắc bẫy rất nghiêm trọng: đánh cắp thông tin đăng nhập quan trọng, chuyển khoản gian lận, xâm nhập vào hệ thống nội bộ , các hình phạt pháp lý do vi phạm dữ liệu và thiệt hại về uy tín có thể mất nhiều năm để khắc phục. Đây không chỉ là "một email lạ", mà là một rủi ro chiến lược đối với doanh nghiệp.

Các chiến dịch quảng cáo sáng tạo và phần mềm độc hại: SVG, tên miền lỗi thời và thương hiệu giả mạo.

Các chiến dịch lừa đảo tinh vi cũng dựa vào những phương thức ít rõ ràng hơn , được thiết kế để vượt qua các bộ lọc hoặc ngụy trang chúng giữa lưu lượng truy cập hợp pháp.

Một ví dụ là việc sử dụng các tệp SVG làm vectơ tấn công ban đầu . Chúng được gửi đi dưới dạng các tài liệu giao dịch tài chính hoặc nội dung vô hại khác, nhưng trên thực tế, chúng chứa mã JavaScript được nhúng, khi được mở ra sẽ ghi một tệp ZIP vào hệ thống. Tệp ZIP này chứa một kịch bản khác tiếp tục chuỗi lây nhiễm, cuối cùng triển khai các phần mềm độc hại truy cập từ xa (RAT) như Blue Banana, SambaSpy hoặc SessionBot.

Những công cụ này cho phép kẻ tấn công đánh cắp thông tin đăng nhập, chiếm quyền kiểm soát phiên làm việc, theo dõi người dùng và đánh cắp dữ liệu . Để không bị phát hiện, chúng liên lạc thông qua các dịch vụ như Amazon S3 hoặc API bot Telegram, hòa lẫn vào lưu lượng truy cập mà các hệ thống bảo mật liên tục giám sát.

Một chiến dịch đáng chú ý khác được các nhà nghiên cứu phân tích liên quan đến việc giả mạo hơn 100 thương hiệu thời trang, giày dép và phụ kiện nổi tiếng . Những kẻ tấn công đã đăng ký hàng nghìn tên miền kết hợp tên thương hiệu với thành phố hoặc quốc gia (ví dụ: brand-city.com), cho phép chúng trở nên lỗi thời và xây dựng các cửa hàng trực tuyến giả mạo rất giống thật.

Nhiều tên miền trong số này đã đạt thứ hạng cao trong kết quả tìm kiếm , tạo cho chúng vẻ ngoài nguy hiểm và không đáng tin cậy. Các trang web này có phần "Giới thiệu", thông tin liên hệ và quy trình thanh toán tưởng chừng như bình thường. Hành vi gian lận có thể bao gồm việc không giao sản phẩm, gửi hàng nhái kém chất lượng, hoặc đơn giản là đánh cắp và bán lại thông tin thẻ tín dụng đã nhập.

Ngoài tác động đến người dùng cuối, những kỹ thuật này cũng có thể được sử dụng để nhắm vào nhân viên công ty , lợi dụng việc nhiều người sử dụng các thương hiệu quen thuộc tại nơi làm việc. Chỉ cần kết hợp trang web giả mạo với email hoặc chiến dịch quảng cáo được nhắm mục tiêu là chu trình lừa đảo hoàn tất.

Cách nhận biết các dấu hiệu của lừa đảo trực tuyến cấp cao

Phát hiện các cuộc tấn công lừa đảo tinh vi không phải lúc nào cũng dễ dàng, nhưng có những dấu hiệu đáng để học hỏi . Càng tự động hóa được nhiều dấu hiệu này, chúng ta càng giảm thiểu cơ hội cho kẻ tấn công.

Những lỗi nhỏ về ngôn ngữ và ngữ cảnh

Mặc dù email hiện đại được viết tốt hơn nhiều, nhưng vẫn còn những lỗi ngôn ngữ nhỏ : từ ngữ thay đổi giống, cách diễn đạt không phù hợp với ngữ cảnh, câu có cấu trúc hơi kỳ lạ, hoặc sự pha trộn ngôn ngữ không cần thiết.

Điều quan trọng nữa là phải xem xét ngữ cảnh của tin nhắn . Liệu việc nhà cung cấp đó yêu cầu thông tin của bạn vào lúc này có hợp lý không? Liệu việc ngân hàng của bạn liên hệ với bạn từ địa chỉ đó có hợp lý không? Bộ phận nhân sự có thực sự xử lý lời mời làm việc theo cách này không? Đôi khi không có lỗi nào, nhưng có những điểm không nhất quán mà, nếu suy nghĩ kỹ, sẽ trở nên rõ ràng.

URL và tên miền không hoàn toàn khớp nhau

Các liên kết là một trong những yếu tố quan trọng nhất . Để đảm bảo an toàn kỹ thuật số, bạn nên cảnh giác với email từ các dịch vụ mà bạn chưa đăng ký, tin nhắn không mong muốn và đặc biệt là bất kỳ yêu cầu đăng nhập nào mà bạn không tự khởi xướng.

Trước khi nhấp chuột, hãy di chuột qua liên kết và kiểm tra URL thực tế . Nếu email tự xưng là từ một ứng dụng nổi tiếng, hãy xác minh rằng tên miền đó chính xác là tên miền chính thức chứ không phải là một biến thể có thay đổi nhỏ về chữ cái, các TLD bất thường hoặc các tên miền được thêm vào. Các trang web như VirusTotal.com hoặc URLVoid.com có ​​thể giúp bạn phân tích các liên kết đáng ngờ một cách an toàn.

Tình huống khẩn cấp, mối đe dọa và những yêu cầu kỳ lạ

Yếu tố thời gian là một trong những vũ khí ưa thích của kỹ thuật thao túng tâm lý . Nếu tin nhắn cố gắng thúc ép bạn, đe dọa đóng cửa ngay lập tức, phạt tiền, phí quá cao hoặc cơ hội không thể lặp lại, đã đến lúc bạn nên dừng lại và xem xét lại.

Trong trường hợp yêu cầu khẩn cấp, hãy luôn xác minh bằng một kênh chính thức khác : gọi đến số điện thoại được liệt kê trên trang web của ngân hàng, kiểm tra với nhà cung cấp dịch vụ của bạn thông qua cổng thông tin thường dùng của họ, hoặc hỏi trực tiếp đồng nghiệp của bạn qua một kênh khác. Không bao giờ chỉ dựa vào kênh được đề xuất trong chính tin nhắn.

Tệp đính kèm và phần mở rộng tệp bất thường

Tệp đính kèm email vẫn là một phương thức lây nhiễm phần mềm độc hại kinh điển , đặc biệt là trong các chiến dịch tấn công lừa đảo có chủ đích. Hãy cảnh giác với bất kỳ tệp nào bạn không mong đợi, ngay cả khi nó có vẻ đến từ một người liên lạc quen biết.

Điều quan trọng là luôn kiểm tra phần mở rộng tệp thực tế . Nhiều kẻ tấn công cố gắng ngụy trang các tệp thực thi (.exe, .msi, .cmd, .bat, .lnk, v.v.) bằng các biểu tượng của tệp PDF hoặc tài liệu Office để chúng trông có vẻ vô hại. Nếu nghi ngờ, tốt nhất là nên tải tệp lên một trình quét trực tuyến an toàn hoặc tham khảo ý kiến ​​​​của nhóm bảo mật trước khi mở tệp.

Các chiến lược và công cụ để ngăn chặn tấn công lừa đảo nâng cao

Tin tốt là các biện pháp phòng thủ cũng đã được cải thiện đáng kể . Việc bảo vệ chống lại các cuộc tấn công mạng tiên tiến không đòi hỏi một giải pháp thần kỳ duy nhất, mà là sự kết hợp giữa công nghệ, quy trình và đào tạo.

Xác minh danh tính mạnh mẽ và xác thực đa yếu tố

Một yếu tố then chốt là tăng cường cách chúng ta xác minh ai đang truy cập vào những gì . Ngoài tên người dùng và mật khẩu, các hệ thống sinh trắc học (vân tay, khuôn mặt, võng mạc) bổ sung thêm một lớp bảo mật khó làm giả nếu được quản lý đúng cách.

Các mã thông báo vật lý hoặc ảo tạo ra mã duy nhất và trên hết là các phương thức xác thực chống lừa đảo (như FIDO2 và Passkeys) giúp giảm đáng kể hiệu quả của các cuộc tấn công dựa trên các trang web giả mạo và máy chủ proxy thời gian thực, vì thông tin đăng nhập không được chia sẻ theo cùng một cách.

Xác thực đa yếu tố (MFA) vẫn là bắt buộc đối với bất kỳ tài khoản nhạy cảm nào , mặc dù cần phải cấu hình một cách khôn ngoan: tránh các phương pháp quá dễ dàng để được chấp thuận mà không cần kiểm tra, sử dụng ứng dụng xác thực hoặc khóa bảo mật, và, nếu có thể, hãy chọn các tùy chọn được thiết kế đặc biệt để chống lại các cuộc tấn công lừa đảo.

Cập nhật phần mềm và cơ sở hạ tầng liên tục

Nhiều chiến dịch lừa đảo dựa vào các lỗ hổng đã biết trong hệ điều hành, trình duyệt hoặc ứng dụng của doanh nghiệp để leo thang đặc quyền hoặc đánh cắp dữ liệu sau khi đã giành được quyền truy cập ban đầu.

Việc cập nhật các bản vá bảo mật trên máy chủ, máy trạm và thiết bị di động giúp giảm đáng kể nguy cơ bị tấn công. Các lỗ hổng như chuyển hướng mở, rò rỉ dữ liệu hoặc XSS có thể là điểm khởi đầu cho các cuộc tấn công phức tạp hơn, vì vậy việc loại bỏ những mục tiêu dễ bị tấn công này là rất cần thiết.

Quản lý mật khẩu an toàn

Việc tái sử dụng mật khẩu vẫn là một quả bom hẹn giờ . Nếu thông tin đăng nhập bị rò rỉ trên một dịch vụ không quan trọng và được tái sử dụng trên các hệ thống nhạy cảm hơn, kẻ tấn công có thể kích hoạt một chuỗi truy cập trái phép theo hiệu ứng domino.

Trình quản lý mật khẩu giúp dễ dàng tạo mật khẩu dài, độc đáo và phức tạp ( ít nhất 12 ký tự bao gồm chữ cái, số và ký hiệu) và ngăn người dùng phải nhớ tất cả chúng. Ở cấp độ doanh nghiệp, chúng cũng cho phép chia sẻ thông tin đăng nhập một cách an toàn giữa các nhóm khi cần thiết.

Nên thay đổi mật khẩu định kỳ dựa trên mức độ quan trọng của chúng : mật khẩu cho các hệ thống truy cập nhạy cảm nhất nên được thay đổi thường xuyên hơn và luôn đi kèm với xác thực đa yếu tố (MFA - Management by Administration). Việc cho nhân viên trải nghiệm các tình huống giả lập vi phạm dữ liệu và các bài tập kiểm tra mật khẩu giúp họ hình thành những thói quen tốt.

Bộ lọc chống lừa đảo và bảo vệ email nâng cao

Email vẫn là điểm tiếp cận ưa thích cho vô số chiến dịch. Việc sở hữu các giải pháp lọc thư rác và chống lừa đảo mạnh mẽ (như Cisco Email Security, Proofpoint, Microsoft Defender hoặc các bộ phần mềm chuyên dụng từ các nhà cung cấp bảo mật) là điều cần thiết cho bất kỳ tổ chức nào.

Các hệ thống này cho phép phân tích các tệp đính kèm, URL, các mẫu hành vi và tiêu đề kỹ thuật , cũng như tận dụng các chính sách như SPF, DKIM và DMARC để ngăn chặn giả mạo tên miền. Trong nhiều trường hợp, chúng cũng có thể xác định các tên miền gian lận, các trang web lạm dụng API dịch vụ đám mây và các mẫu né tránh như sử dụng chuỗi CAPTCHA.

Mô phỏng tấn công lừa đảo và nâng cao nhận thức liên tục

Đào tạo lý thuyết rất tốt, nhưng việc học thực sự đến từ thực hành . Các bài tập mô phỏng tấn công lừa đảo có kiểm soát cho phép bạn đo lường mức độ tiếp xúc thực tế của một nhóm và củng cố những điểm yếu của họ.

Các nền tảng được thiết kế cho mục đích này, cùng với các công cụ như GoPhish, tạo điều kiện thuận lợi cho việc triển khai các chiến dịch tấn công giả mạo nội bộ có đạo đức . Người dùng mắc bẫy sẽ được đào tạo thêm cụ thể, và tổ chức sẽ thu được các số liệu cụ thể về hiệu quả hoạt động theo thời gian.

Điều quan trọng là các chiến dịch nâng cao nhận thức không chỉ là một khóa học duy nhất mỗi năm một lần. Cần duy trì sự cảnh báo liên tục : các mô-đun đào tạo ngắn, lời nhắc nhở thường xuyên, áp phích, các bài kiểm tra nhỏ và bài tập thực hành giúp thông điệp được ghi nhớ và không bị lãng quên sau hai tháng.

Phân tích tình báo mối đe dọa

Các nền tảng tình báo mối đe dọa cho phép các công ty chủ động dự đoán các chiến dịch thay vì chỉ phản ứng . Bằng cách phân tích cách thức hoạt động của các nhóm tấn công (bao gồm cả APT) và các lĩnh vực mà chúng nhắm mục tiêu, các tổ chức có thể điều chỉnh các biện pháp kiểm soát của mình trước khi trở thành mục tiêu tấn công.

Trong nhiều vụ việc nghiêm trọng, các nhóm APT đã sử dụng tấn công spear phishing làm điểm xâm nhập ban đầu . Việc có các nguồn cấp dữ liệu IOC cập nhật, các báo cáo ngành và các công cụ tích hợp thông tin tình báo này vào hệ thống giám sát email và mạng sẽ giúp tăng cường đáng kể khả năng phòng thủ.

Vai trò quyết định của yếu tố con người

Dù công nghệ có được triển khai đến đâu, nhân viên vẫn là tuyến phòng thủ đầu tiên và cuối cùng . Họ là những người mở email, trả lời nhà cung cấp, quản lý ứng dụng nhắn tin và duyệt web hàng ngày.

Nếu nhân viên không được trang bị kiến ​​thức thực tiễn để nhận diện các chiến dịch độc hại , thì việc ai đó trở thành nạn nhân của một trò lừa đảo được thiết kế tinh vi chỉ là vấn đề thời gian. Chìa khóa nằm ở việc kết hợp đào tạo kỹ thuật đơn giản, các ví dụ thực tế, mô phỏng và một văn hóa nội bộ mà ở đó việc báo cáo hoạt động đáng ngờ không bị coi là phiền toái, mà là trách nhiệm chung.

Các nghiên cứu về khả năng ghi nhớ thông tin cho thấy các buổi đào tạo riêng lẻ có hiệu quả rất hạn chế theo thời gian . Việc nâng cao nhận thức phải được duy trì liên tục để giữ cho "ăng-ten an ninh" luôn hoạt động. Cuối cùng, bảo vệ tổ chức khỏi các cuộc tấn công lừa đảo tinh vi là trách nhiệm của tất cả mọi người.

Tất cả những gì chúng ta đã thấy đều cho thấy rõ ràng rằng các chiến dịch lừa đảo tinh vi không còn là vấn đề nhỏ nhặt hay chỉ đơn thuần là vấn đề kỹ thuật . Chúng kết hợp kỹ thuật thao túng tâm lý tinh vi, lạm dụng sáng tạo các dịch vụ hợp pháp, đánh cắp cookie phiên và, ngày càng nhiều hơn, trí tuệ nhân tạo có khả năng tạo ra các thông tin liên lạc siêu thực. Cách duy nhất thực tế để chống lại chúng là kết hợp các biện pháp phòng thủ công nghệ mạnh mẽ (xác thực đa yếu tố chống lừa đảo, bộ lọc email, phân tích mối đe dọa và cập nhật liên tục) với một văn hóa bảo mật năng động, nơi người dùng và các công ty đặt câu hỏi về những gì họ nhận được, xác minh thông tin thông qua các kênh thay thế và duy trì các thói quen vệ sinh kỹ thuật số nhằm giảm thiểu cơ hội cho kẻ tấn công.