- Email là phương thức tấn công chính, do đó bảo mật phải dựa trên nhiều lớp kỹ thuật và tổ chức.
- Xác thực tên miền, trí tuệ nhân tạo để phát hiện mối đe dọa và xác thực đa yếu tố chống lừa đảo là những trụ cột thiết yếu của bất kỳ giải pháp nào.
- Việc đào tạo liên tục biến người dùng thành một lực lượng phòng thủ chủ động chống lại các chiêu trò lừa đảo trực tuyến và các kỹ thuật tấn công phi kỹ thuật khác.
- Các chính sách rõ ràng, việc lưu trữ, kiểm toán và quản lý tập trung đảm bảo tính nhất quán và bền vững của việc bảo vệ email theo thời gian.
Email vẫn là kênh liên lạc được sử dụng rộng rãi nhất trong kinh doanh , nhưng nó cũng là điểm xâm nhập ưa thích của tội phạm mạng. Lừa đảo qua email, phần mềm độc hại, gian lận tài chính, đánh cắp thông tin đăng nhập và rò rỉ dữ liệu thường bắt đầu bằng một email đơn giản mà ai đó mở ra mà không suy nghĩ nhiều. Đó là lý do tại sao việc biết cách nhận diện email lừa đảo là vô cùng quan trọng.
Nếu tổ chức của bạn chỉ dựa vào các bộ lọc cơ bản của nhà cung cấp email và thái độ "cẩn thận", bạn đang đùa với lửa. Ngày nay, bạn cần một giải pháp bảo mật email kết hợp công nghệ tiên tiến, quy trình rõ ràng và đào tạo liên tục cho người dùng. Trong các phần tiếp theo, bạn sẽ thấy tổng quan chi tiết về các mối đe dọa hiện có, các biện pháp tốt nhất được các nhà lãnh đạo ngành áp dụng và các công nghệ cụ thể mà bạn nên triển khai để bảo mật email của mình.
Tại sao email là mục tiêu quan trọng
Email không chỉ tiện lợi mà còn là kênh liên lạc trực tiếp với nhân viên. Điều này khiến nó trở thành phương thức tấn công ưa thích trong các chiến dịch kỹ thuật xã hội , nơi điểm yếu không phải là hệ thống mà là cá nhân. Thay vì phá vỡ tường lửa hoặc khai thác lỗ hổng phức tạp, kẻ tấn công chỉ cần thuyết phục ai đó nhấp chuột vào nơi không nên nhấp hoặc chia sẻ thông tin bí mật.
Tấn công phi kỹ thuật (social engineering) dựa vào các chiến thuật tâm lý như tạo cảm giác khẩn cấp, uy quyền và sự tin tưởng : email giả mạo đến từ ngân hàng, nhà cung cấp, sếp hoặc thậm chí là cơ quan chính phủ. Mục tiêu là lừa bạn thực hiện các hành động không an toàn: tải xuống tệp đính kèm độc hại, nhập thông tin đăng nhập vào trang web giả mạo, chấp thuận thanh toán gian lận hoặc gửi tài liệu nhạy cảm cho bên thứ ba.
Hậu quả của nó vượt xa việc chỉ ảnh hưởng đến một vài máy tính bị nhiễm virus. Một cuộc tấn công kiểu này có thể gây ra rò rỉ dữ liệu trị giá hàng triệu đô la, thiệt hại về uy tín, các hình phạt theo quy định (ví dụ: vi phạm GDPR hoặc các tiêu chuẩn ngành như HIPAA), và ảnh hưởng trực tiếp đến hoạt động kinh doanh liên tục.
Hơn nữa, email được tích hợp chặt chẽ với phần còn lại của cơ sở hạ tầng: các giải pháp cộng tác, lịch, công cụ quản lý tài liệu, ứng dụng đám mây… Nếu kẻ tấn công chiếm quyền kiểm soát tài khoản email, chúng thường sẽ có quyền truy cập vào phần lớn hệ sinh thái kỹ thuật số của công ty bạn.
Tệ hơn nữa, nhiều tổ chức vẫn sử dụng email để lưu trữ hoặc chia sẻ thông tin cực kỳ nhạy cảm : dữ liệu tài chính, hợp đồng, hồ sơ khách hàng, thông tin đăng nhập, tài liệu thuế, v.v. Tất cả những điều này khiến email trở thành mục tiêu ưu tiên hàng đầu.
Bối cảnh các mối đe dọa qua email đã thay đổi như thế nào?
Thời đại của những tin nhắn "hoàng tử Nigeria" sến súa điển hình đã qua rồi. Ngày nay, tội phạm mạng sử dụng mô hình ngôn ngữ và trí tuệ nhân tạo tạo sinh để viết những email hoàn hảo, không lỗi và không có điểm bất thường, với giọng điệu chuyên nghiệp nhưng thân thiện, và được cá nhân hóa cho từng người nhận.
Việc cá nhân hóa này khiến các cuộc tấn công lừa đảo trở nên đáng tin hơn nhiều. Với dữ liệu công khai (mạng xã hội, trang web doanh nghiệp, các vụ rò rỉ trước đó, tin tức ngành, v.v.) và các tài khoản đã bị xâm phạm, kẻ tấn công có thể bắt chước hoàn hảo phong cách giao tiếp của một người thật , xâm nhập vào các chuỗi email hợp pháp hoặc tiếp tục các cuộc trò chuyện đang diễn ra.
Kết quả là ranh giới giữa nội dung hợp pháp và nội dung độc hại ngày càng trở nên mờ nhạt . Các bộ lọc truyền thống chỉ dựa trên chữ ký hoặc các mẫu đơn giản là không đủ để chống lại các chiến dịch năng động liên tục thay đổi liên kết, tên miền và kỹ thuật.
Các số liệu chứng minh thực tế này: chi phí trung bình của một vụ vi phạm dữ liệu đã lên tới hàng triệu đô la ngay cả ở các công ty có ít hơn 500 nhân viên , và các cuộc tấn công lừa đảo qua email doanh nghiệp (BEC) gây thiệt hại lên tới vài tỷ đô la mỗi năm trên toàn cầu, theo các báo cáo an ninh mạng hàng đầu.
Song song đó, các bộ công cụ lừa đảo "tất cả trong một" đang lan tràn trên dark web, tích hợp các cuộc tấn công trung gian (AiTM) , khả năng đánh cắp thông tin đăng nhập và mã phiên với xác thực đa yếu tố (MFA), các mẫu trang gần như giống hệt trang thật và các cơ chế tự động để né tránh các bộ lọc truyền thống.
Các mối đe dọa phổ biến nhất trong email
Hiểu rõ các mối đe dọa chính là bước đầu tiên trong việc thiết kế một giải pháp bảo mật email hiệu quả. Các mối đe dọa nghiêm trọng nhất được mô tả chi tiết bên dưới, cùng với cách thức hoạt động và tác động tiềm tàng của chúng.
Tấn công lừa đảo hàng loạt vẫn là mối đe dọa phổ biến nhất. Đây thường là các chiến dịch gửi đến nhiều người dùng, không được cá nhân hóa đáng kể, mạo danh các thương hiệu hoặc dịch vụ nổi tiếng. Chúng thường bao gồm các liên kết đến các trang web giả mạo hoặc tệp đính kèm bị nhiễm virus. Hậu quả thường gặp bao gồm đánh cắp mật khẩu, cài đặt phần mềm độc hại, chiếm đoạt tài khoản và truy cập trái phép vào các hệ thống nội bộ.
Tấn công "Quishing" hay lừa đảo qua email bằng mã QR . Thay vì một liên kết hiển thị rõ ràng, email này bao gồm một mã QR. Chúng ta đã quá quen với việc quét mã QR cho mọi thứ đến nỗi mất cảnh giác. Chiêu trò tinh vi hơn là mã này thường được quét bằng điện thoại di động cá nhân, vốn ít được bảo vệ hơn so với máy tính công ty , chuyển hướng cuộc tấn công sang thiết bị có ít biện pháp kiểm soát của công ty hơn.
Tấn công lừa đảo có chủ đích (spear phishing) và lừa đảo qua email doanh nghiệp (BEC) . Đây là những cuộc tấn công tinh vi, nhắm mục tiêu cụ thể, trong đó kẻ tấn công giả mạo một người cụ thể: một giám đốc điều hành, một nhà cung cấp đáng tin cậy, một đối tác chiến lược, v.v. Email ban đầu không phải lúc nào cũng chứa liên kết hoặc tệp đính kèm; thay vào đó, nó thường có một đoạn hội thoại được soạn thảo cẩn thận nhằm thao túng nạn nhân. Mục tiêu thường là để lấy thông tin chuyển tiền, thông tin thuế (như mẫu W-2 ở một số quốc gia), mua thẻ quà tặng hoặc thay đổi chi tiết tài khoản ngân hàng để thanh toán cho nhà cung cấp.
Phần mềm độc hại được phát tán qua email . Email vẫn là một trong những phương tiện chính để phát tán mã độc tống tiền , Trojan và các loại phần mềm độc hại khác. Điều này thường được thực hiện thông qua các tệp đính kèm tưởng chừng vô hại (tài liệu Office, PDF, tệp nén) hoặc các liên kết dẫn đến các tệp tải xuống độc hại. Sau khi được thực thi, phần mềm độc hại có thể mã hóa dữ liệu của bạn, di chuyển ngang qua mạng hoặc đánh cắp thông tin nhạy cảm.
Tấn công trung gian (AiTM) . Trong phương pháp này, kẻ tấn công tự đặt mình giữa người dùng và dịch vụ hợp pháp. Thông qua một liên kết lừa đảo, chúng chuyển hướng bạn đến một trang sao chép màn hình đăng nhập thực. Khi bạn nhập thông tin đăng nhập, hệ thống độc hại thực chất sẽ gửi chúng đến nhà cung cấp, yêu cầu bạn nhập mã MFA nếu có và sử dụng lại mọi thứ trong thời gian thực. Kết quả là kẻ tấn công có được các phiên đăng nhập hợp lệ ngay cả trên các tài khoản được bảo vệ bằng MFA truyền thống.
Thư rác và thư không mong muốn . Mặc dù đôi khi chỉ gây khó chịu, thư rác tiêu tốn tài nguyên, làm đầy hộp thư đến và thường là phương tiện chứa các liên kết hoặc tệp đính kèm độc hại. Hơn nữa, lượng thư rác lớn có thể che giấu các cuộc tấn công có chủ đích giữa mớ hỗn độn đó.
Các thực tiễn kỹ thuật quan trọng: xác thực, lọc và mã hóa
Một giải pháp bảo mật email hiện đại phải dựa trên nhiều lớp công nghệ hỗ trợ lẫn nhau. Phần mềm chống virus hoặc bộ lọc thư rác đơn giản là không đủ. Bạn cần xác thực người gửi, kiểm soát truy cập mạnh mẽ, kiểm tra nội dung nâng cao và bảo vệ dữ liệu.
Việc cấu hình SPF, DKIM và DMARC là vô cùng quan trọng, không chỉ trên tên miền chính mà còn trên các tên miền phụ, tên miền thử nghiệm và các tên miền cũ vẫn nằm dưới sự kiểm soát của bạn. Kẻ tấn công rất thích lợi dụng các tên miền bị bỏ quên. Các công cụ quản lý DMARC chuyên dụng giúp đơn giản hóa nhiệm vụ này và tự động hóa phần lớn quá trình giám sát.
Đối với việc lọc mối đe dọa, việc chỉ phân tích danh sách đen và các chữ ký phần mềm độc hại đã biết là không còn đủ. Giải pháp email của bạn cần tích hợp khả năng phát hiện mối đe dọa với trí tuệ nhân tạo (AI) và máy học , có khả năng đánh giá nhiều tín hiệu trong tin nhắn (văn bản, siêu dữ liệu, uy tín người gửi, mô hình hành vi, v.v.) để xác định xem email đó là hợp lệ, thư rác hay độc hại.
Đối với các tệp đính kèm, rất nên sử dụng môi trường hộp cát (sandbox) để mở từng tệp một cách có kiểm soát và quan sát hành vi của chúng. Điều này cho phép phát hiện các nỗ lực khai thác hoặc hoạt động đáng ngờ, ngay cả đối với các mối đe dọa zero-day mà hiện vẫn chưa có chữ ký nhận dạng nào được biết đến.
Việc dựa vào người dùng tự nhớ bật mã hóa thủ công là một công thức dẫn đến thảm họa. Lý tưởng nhất là mã hóa nên được tự động hóa dựa trên các chính sách phát hiện các mẫu thông tin nhạy cảm (IBAN, số an sinh xã hội, mã số thuế, v.v.) và tự động áp dụng mã hóa khi cần thiết.
Tăng cường quyền truy cập: mật khẩu, xác thực đa yếu tố (MFA) và bảo vệ tài khoản.
Phần lớn các sự cố bảo mật email xảy ra do ai đó đã có được thông tin đăng nhập hợp lệ. Do đó, một giải pháp tốt cần phải tăng cường cả độ mạnh của mật khẩu và các cơ chế xác thực bổ sung.
Các chính sách hiện đại khuyến nghị sử dụng mật khẩu dài, khó đoán và độc nhất cho mỗi dịch vụ , thay vì các tổ hợp ngắn nhưng nhiều ký hiệu. Để thực hiện điều này trên quy mô lớn, việc sử dụng trình quản lý mật khẩu doanh nghiệp có khả năng tạo, lưu trữ và đồng bộ hóa thông tin đăng nhập một cách an toàn là điều gần như thiết yếu.
Dựa trên cơ sở này, xác thực đa yếu tố (MFA) thực tế là bắt buộc. Tuy nhiên, không phải tất cả các phương pháp MFA đều cung cấp cùng mức độ bảo vệ. Mã SMS hoặc cuộc gọi thoại có thể bị chặn, sử dụng lại trong các cuộc tấn công AITM hoặc bị thao túng bằng các kỹ thuật "gây mệt mỏi MFA" (dội bom người dùng bằng các yêu cầu cho đến khi họ chấp nhận một yêu cầu nào đó vì kiệt sức).
Do đó, nên triển khai xác thực đa yếu tố (MFA) chống lừa đảo , chẳng hạn như khóa bảo mật dựa trên FIDO (USB, NFC), thông tin xác thực nền tảng như Windows Hello for Business, các giải pháp tương đương trên macOS hoặc mật khẩu liên kết với điện thoại thông minh. Các phương pháp này không hoạt động trên các trang web giả mạo: thiết bị sẽ xác minh tên miền thực trước khi xác thực, vì vậy chúng không thể được sử dụng lại trên các trang web lừa đảo.
Việc cấu hình chính sách truy cập để chặn các phương thức xác thực yếu hơn cũng rất quan trọng . Nhiều bộ công cụ lừa đảo hiện đại có thể buộc người dùng hạ cấp xuống các yếu tố bảo mật kém hơn nếu các phương thức này vẫn được bật. Việc sử dụng mật khẩu sẽ vô ích nếu bạn vẫn chấp nhận SMS như một phương thức thay thế phổ biến.
Cuối cùng, không nên bỏ qua rủi ro liên quan đến nhóm hỗ trợ hoặc bộ phận trợ giúp . Có những nhóm tin tặc chuyên gọi điện đến bộ phận hỗ trợ kỹ thuật, giả mạo nhân viên bị mất điện thoại di động hoặc máy tính xách tay, và lừa họ đặt lại thông tin đăng nhập hoặc vô hiệu hóa xác thực đa yếu tố (MFA). Chính sách bảo mật phải bao gồm các thủ tục xác minh danh tính nghiêm ngặt đối với bất kỳ thay đổi thông tin đăng nhập nào.
Đào tạo và nâng cao nhận thức: biến người dùng thành tường lửa
Không có giải pháp bảo mật email nào là hoàn hảo. Luôn luôn sẽ có một số thư rác lọt qua bộ lọc và đến được hộp thư đến. Lúc đó, tuyến phòng thủ cuối cùng của bạn chính là con người. Đó là lý do tại sao việc nâng cao nhận thức về an ninh mạng và cung cấp đào tạo thường xuyên lại vô cùng quan trọng.
Các khóa đào tạo chung chung, chỉ diễn ra một lần mỗi năm, hầu như không có tác dụng. Phương pháp hiệu quả nhất là các chương trình nâng cao nhận thức về lừa đảo trực tuyến năng động , thường xuyên gửi cho nhân viên các bài tập mô phỏng. Nếu ai đó mắc bẫy trong bài tập mô phỏng, họ sẽ được đào tạo ngắn gọn, cụ thể và phù hợp ngay tại chỗ.
Cách tiếp cận này giúp củng cố trí nhớ và giúp người dùng ghi nhớ các dấu hiệu đáng ngờ như: liên kết đáng ngờ, yêu cầu dữ liệu nhạy cảm, sự khẩn cấp không chính đáng, thay đổi tài khoản ngân hàng không được xác nhận hoặc tệp đính kèm không mong muốn. Mục tiêu là giúp họ phát triển thái độ hoài nghi lành mạnh và học cách báo cáo bất cứ điều gì có vẻ đáng ngờ.
Hơn nữa, một số giải pháp dựa trên trí tuệ nhân tạo cho phép điều chỉnh mức độ đào tạo cho từng người dùng : những người mắc nhiều lỗi hơn sẽ nhận được nhiều bài tập mô phỏng và nội dung hơn, trong khi những người thể hiện thói quen tốt sẽ nhận được ít bài tập hơn. Điều này tối đa hóa hiệu quả mà không gây quá tải cho nhân viên.
Điều quan trọng cần ghi nhớ là nếu bạn yêu cầu nhân viên báo cáo nhiều email đáng ngờ hơn, khối lượng công việc của nhóm bảo mật có thể tăng vọt. Đây là lúc các công cụ như phân tích email dựa trên trí tuệ nhân tạo phát huy tác dụng , chúng có khả năng tự động xem xét các email được báo cáo, phân loại chúng và ưu tiên những email thực sự nguy hiểm.
Khóa đào tạo cũng nên bao gồm các biện pháp thực hành tốt nhất cơ bản dành cho người dùng cuối, chẳng hạn như: chọn mật khẩu mạnh, không sử dụng lại mật khẩu, không chia sẻ mật khẩu, không tải phần mềm từ các nguồn không đáng tin cậy, luôn kiểm tra địa chỉ thật của người gửi, di chuột qua các liên kết trước khi nhấp chuột, cảnh giác với các yêu cầu thanh toán hoặc thông tin tài chính, và luôn sử dụng các kênh liên hệ chính thức khi có điều gì đó đáng ngờ.
Quản lý môi trường, thiết bị và tính liên tục của email
Ngoài bản thân các email, một giải pháp bảo mật email toàn diện cần phải xem xét hệ sinh thái nơi chúng được sử dụng: thiết bị, ứng dụng, các kênh cộng tác khác và tính khả dụng của dịch vụ email.
Trước hết, điều cần thiết là phải luôn cập nhật tất cả phần mềm của bạn : hệ điều hành, trình duyệt, ứng dụng email, ứng dụng văn phòng và bất kỳ thành phần nào khác tương tác với tin nhắn. Các bản cập nhật thường bao gồm các bản vá bảo mật cho các lỗ hổng mà kẻ tấn công thường khai thác.
Thứ hai, nên thường xuyên xem xét các ứng dụng và tiện ích mở rộng trình duyệt đã cài đặt , gỡ bỏ bất kỳ ứng dụng nào không cần thiết hoặc chưa được xác minh rõ ràng. Mỗi ứng dụng bổ sung đều là một điểm xâm nhập tiềm tàng, đặc biệt là trên các thiết bị xử lý dữ liệu nhạy cảm.
Sự gia tăng của hình thức làm việc từ xa và sử dụng thiết bị di động đồng nghĩa với việc bảo mật email trên điện thoại thông minh, máy tính bảng và máy tính xách tay khi sử dụng ngoài văn phòng phải được ưu tiên hàng đầu . Các chính sách quản lý thiết bị di động (MDM) cần quy định bắt buộc mã hóa thiết bị, khóa tự động, xóa dữ liệu từ xa trong trường hợp bị mất hoặc bị đánh cắp, và chỉ kết nối với các mạng an toàn.
Kết nối email từ các mạng Wi-Fi công cộng không bảo mật (ở quán cà phê, sân bay, khách sạn) tiềm ẩn rủi ro cao hơn, vì những môi trường này dễ bị khai thác để chặn lưu lượng truy cập hoặc thiết lập các điểm truy cập trái phép. Một chính sách doanh nghiệp hiệu quả nên hạn chế hoặc bảo vệ các loại kết nối này bằng cách sử dụng VPN và các biện pháp kiểm soát truy cập bổ sung.
Đối với việc duy trì hoạt động kinh doanh, email vô cùng quan trọng đến mức bất kỳ sự cố gián đoạn kéo dài nào cũng có thể làm tê liệt hoạt động của công ty. Do đó, nhiều tổ chức lựa chọn các giải pháp cung cấp hộp thư khẩn cấp luôn sẵn sàng . Nếu nền tảng chính (ví dụ: các giải pháp SaaS như Microsoft 365 ) gặp sự cố, các hộp thư này sẽ tự động được kích hoạt để nhân viên có thể tiếp tục gửi và nhận tin nhắn.
Cuối cùng, cần phải xem xét đến việc tuân thủ quy định và bảo quản bằng chứng. Một dịch vụ lưu trữ tự động và chống giả mạo cho phép bảo quản email trong khoảng thời gian theo quy định, đảm bảo tính toàn vẹn của chúng và giúp chúng có thể được sử dụng cho các cuộc kiểm toán hoặc điều tra ngay cả khi chúng bị xóa hoặc sửa đổi trong hộp thư của người dùng.
Chính sách bảo mật email, kiểm toán và quản trị
Công nghệ thôi chưa đủ. Một giải pháp bảo mật email hoàn thiện cần được hỗ trợ bởi các chính sách rõ ràng, quy trình được xác định rõ ràng và các đánh giá thường xuyên để đảm bảo mọi thứ được áp dụng nhất quán.
Chính sách sử dụng email cần quy định rõ cách thức xử lý, chia sẻ và lưu trữ dữ liệu trên kênh này: loại thông tin nào có thể được gửi, khi nào cần mã hóa, cách quản lý tệp đính kèm, những gì bị cấm (ví dụ: gửi mật khẩu hoặc thông tin ngân hàng mà không được bảo vệ), và quy trình báo cáo sự cố hoặc email đáng ngờ.
Điều quan trọng là chính sách này phải dễ hiểu, dễ tìm và là một phần của quy trình hội nhập dành cho nhân viên mới. Hơn nữa, chính sách này cần được xem xét định kỳ và thông báo mỗi khi có những thay đổi quan trọng, đồng thời yêu cầu nhân viên xác nhận sự chấp nhận của họ.
Các chính sách phải phù hợp với luật bảo vệ dữ liệu và quyền riêng tư hiện hành , cả luật chung (như GDPR ở châu Âu) và luật cụ thể theo từng lĩnh vực. Điều này bao gồm các khía cạnh như thời gian lưu giữ email, giới hạn việc gửi dữ liệu cá nhân, yêu cầu mã hóa, nghĩa vụ thông báo vi phạm và kiểm soát đối với các nhà cung cấp bên thứ ba.
Trong các tổ chức lớn hoặc những tổ chức có nhiều môi trường Microsoft 365 (do sáp nhập, mua lại, thành lập công ty con, v.v.), việc quản lý có thể trở nên phức tạp. Trong những trường hợp như vậy, các công cụ quản trị đa người dùng là vô cùng hữu ích , cho phép bạn xem cấu hình bảo mật của từng môi trường một cách nhanh chóng, so sánh với các mẫu của công ty và tự động sửa chữa mọi sai lệch.
Các nhà cung cấp dịch vụ quản lý (MSP) quản lý cơ sở hạ tầng cho nhiều doanh nghiệp vừa và nhỏ cũng được hưởng lợi từ cái nhìn tổng quan thống nhất này, vì nó giúp đơn giản hóa việc duy trì các chính sách bảo mật email nhất quán trên hàng chục hoặc hàng trăm khách hàng khác nhau.
Tóm lại, tất cả các yếu tố này—xác thực tên miền, phân tích nâng cao dựa trên trí tuệ nhân tạo, xác thực đa yếu tố chống lừa đảo, mã hóa tự động, đào tạo liên tục, kiểm soát thiết bị, lưu trữ tuân thủ và các chính sách rõ ràng—tạo nên một chiến lược bảo mật email đa lớp . Cách tiếp cận này giúp giảm đáng kể khả năng xảy ra một cuộc tấn công email thành công và giảm thiểu tác động khi kẻ tấn công tìm cách vượt qua các biện pháp phòng thủ.
