Phishing Scam và 6 phương thức phổ biến

Phishing là một hình thức tấn công mạng nguy hiểm, có thể gây ra nhiều thiệt hại cho các cá nhân, tổ chức, hay doanh nghiệp. Cùng tìm hiểu Tấn công Phishing là gì? và một số cách thức nhận biết và phòng chống tấn công Phishing qua website giả mạo được áp dụng hiệu quả hiện nay.

Phishing Scam là gì?

• Phishing (Tấn công giả mạo) là hình thức tấn công mạng mà kẻ tấn công giả mạo thành một đơn vị uy tín để lừa đảo người dùng cung cấp thông tin cá nhân cho chúng.
• Thông thường, tin tặc sẽ giả mạo thành ngân hàng, trang web giao dịch trực tuyến, ví điện tử, các công ty thẻ tín dụng để lừa người dùng chia sẻ các thông tin nhạy cảm như: tài khoản & mật khẩu đăng nhập, mật khẩu giao dịch, thẻ tín dụng và các thông tin quý giá khác.
• Phương thức tấn công này thường được tin tặc thực hiện thông qua email và tin nhắn. Người dùng khi mở email và click vào đường link giả mạo sẽ được yêu cầu đăng nhập. Nếu “mắc câu”, tin tặc sẽ có được thông tin ngay tức khắc.
• Phương thức phishing được biết đến lần đầu tiên vào năm 1987. Nguồn gốc của từ Phishing là sự kết hợp của 2 từ: fishing for information (câu thông tin) và phreaking (trò lừa đảo sử dụng điện thoại của người khác không trả phí). Do sự giống nhau giữa việc “câu cá” và “câu thông tin người dùng”, nên thuật ngữ Phishing ra đời.

• Mục tiêu của scam là chiếm đoạt tài sản và xâm phạm thông tin cá nhân người khác để trục lợi. Với sự phát triển mạnh mẽ của các nền tảng mạng xã hội, hệ thống mạng internet nên các hành vi scam càng tinh vi hơn với nhiều chiêu trò đa dạng.
• Theo đó, scammer chính là một cá nhân hay một tổ chức thực hiện hành vi lừa đảo. Những đối tượng này không chỉ ở Việt Nam mà có thể sống ở nước ngoài. Scammer tận dụng lợi thế của mạng viễn thông và kết nối xuyên quốc gia của internet để thực hiện chiêu trò lừa đảo.

Phishing hoạt động như thế nào?

Tấn công phishing thông thường sẽ bắt đầu bằng một email lừa đảo hoặc những dạng thông tin khác được thiết kế để thu hút nạn nhân. Thông tin được tạo ra để trông như thể nó đến từ một người gửi đáng tin cậy.

Nếu đánh lừa được nạn nhân, họ sẽ bị lợi dụng để cung cấp thông tin bí mật (thường là trên một trang web lừa đảo). Đôi khi các phần mềm độc hại cũng được tải xuống máy tính của mục tiêu.

Hacker bắt đầu bằng cách xác định một nhóm cá nhân mà chúng muốn nhắm mục tiêu. Sau đó, chúng tạo email và tin nhắn văn bản có vẻ hợp pháp nhưng thực sự chứa các liên kết, tệp đính kèm hoặc lợi dụng mục tiêu của họ thực hiện một hành động nguy hiểm, không xác định. Tóm lại:

• Những hacker thường đánh vào tâm lý tò mò, sợ hãi của mục tiêu để buộc người nhận mở tệp đính kèm hoặc nhấp vào liên kết độc hại.
• Các cuộc tấn công phishing được các hacker giả mạo để mục tiêu cảm thấy dường như thông tin đến từ các công ty và cá nhân hợp pháp.
• Hacker liên tục đổi mới và ngày càng trở nên tinh vi hơn.
• Chỉ cần một cuộc tấn công phishing thành công là có thể xâm nhập hệ thống và lấy cắp dữ liệu của bạn, đó là lý do tại sao việc suy nghĩ trước khi nhấp vào luôn quan trọng .

Các phương thức tấn công Phishing

Phishing là hình thức tấn công mạng phổ biến với đa dạng các hình thức tấn công khác nhau. Dưới đây là các dạng tấn công phishing phổ biến.

Phishing Spear

• Các cuộc tấn công lừa đảo dạng này thường được triển khai nhằm thu thập thông tin cá nhân có giá trị, chẳng hạn như thông tin chi tiết về tài khoản ngân hàng và liên hệ cá nhân của đối tượng. Một số trò lừa đảo lại có tính cá nhân hóa rất cao. Ví dụ, trong Spear Phishing, kẻ lừa đảo tùy chỉnh email tấn công bằng tên, chức danh, công ty, số điện thoại và các thông tin khác nhằm mục đích lừa người nhận tin rằng họ có liên quan đến người gửi.
• Mục tiêu cũng giống như Deceptive Phishing: dụ nạn nhân nhấp vào URL độc hại hoặc tệp đính kèm trong email, từ đó kể tấn công lấy được dữ liệu cá nhân của họ. Spear Phishing đặc biệt phổ biến trên các trang mạng xã hội, nơi kẻ tấn công có thể sử dụng nguồn thông tin từ nhiều người để tạo một email tấn công mục tiêu.

• Để chống lại kiểu lừa đảo này, các tổ chức nên tiến hành huấn luyện nâng cao nhận thức bảo mật liên tục cho nhân viên, qua đó khuyến cáo người dùng không nên đăng tải thông tin cá nhân hoặc thông tin nhạy cảm của doanh nghiệp lên các phương tiện truyền thông xã hội.
• Công ty cũng nên đầu tư vào các công cụ có khả năng phân loại email gửi đến để phát hiện các liên kết / tệp đính kèm nguy hiểm.

Phishing qua Microsoft 365

• Tội phạm mạng đánh cắp thông tin định danh của tài Microsoft Office không phải là điều mới. Tuy nhiên, phương thức mà tin tặc sử dụng ngày càng tiên tiến hơn. Các phương pháp được những kẻ tấn công sử dụng để giành quyền truy cập vào tài khoản email Microsoft 365 khá đơn giản và trở nên phổ biến nhất.
• Các chiến dịch lừa đảo này thường ở dạng email giả mạo từ Microsoft. Email chứa đường dẫn khi người dùng nhấp vào đường dẫn xuất hiện yêu cầu đăng nhập, cho biết người dùng cần đặt lại mật khẩu của họ, chưa đăng nhập gần đây hoặc có vấn đề với tài khoản cần họ lưu ý.
• Một bức thư giả mạo thông thường sẽ chứa đường dẫn tới một website giả mạo. Người dùng thường được khuyến nghị rằng, đường dẫn cần được kiểm tra cẩn thận cả văn bản chúng hiển thị và địa chỉ Web thực sự mà chúng dẫn tới (đưa con trỏ chuột lên đường dẫn URL để làm hiển thị ra địa chỉ thực sự).

Trước khi click vào đính kèm, cần đặt ra một số câu hỏi như sau:

1. Bạn có biết người gửi này không? Liệu người dùng này có khả năng để lại tin nhắn thoại cho bạn không?
2. Việc gửi tin nhắn thoại qua email có phải là thường thấy tại doanh nghiệp của bạn không? Thực sự đây không phải là phương thức trao đổi thông tin được sử dụng nhiều, vì Microsoft 365 đã ngừng hỗ trợ thư thoại kể từ tháng 01/2020.
3. Bạn có biết thông tin gì về ứng dụng gửi thông báo này không? MS Recorder không phải là một phần của gói Office – mà thực tế, Microsoft sử dụng ứng dụng tên là Voice Recorder để ghi lại âm thanh có thể dùng để gửi thư thoại, chứ không phải ứng dụng MS Recorder.
4. Liệu tệp tin đính kèm trông có giống tệp tin âm thanh không? Voice Recorder có thể chia sẻ bản ghi âm nhưng dưới định dạng .m3a. Thậm chí, nếu bản ghi được gửi từ một ứng dụng không hề biết và nó được lưu trữ trên một máy chủ, thì nên có một đường dẫn tới máy chủ này chứ không phải một tệp tin HTML đính kèm.

Phishing Email doanh nghiệp

• Email Phishing (email lừa đảo) là một trong những phương thức hủy hoại doanh nghiệp nhanh nhất. Những mối đe dọa này mang lại những hậu quả tàn khốc ví dụ như ransomware.
• Các chuyên gia ước tính rằng, 60% công ty ngừng hoạt động kinh doanh sau khi bị tấn công mạng. Mọi nhân viên và mọi lĩnh vực đều có nguy cơ trở thành nạn nhân của một cuộc tấn công lừa đảo, nhưng một số có khả năng trở thành mục tiêu cao hơn những người khác.
• Hacker tấn công và giả mạo email để mạo danh người giám sát, giám đốc điều hành hoặc nhà cung cấp của công ty bạn. Sau đó, chúng yêu cầu một khoản thanh toán có vẻ hợp pháp. Email có vẻ xác thực, dường như đến từ một nhân vật có thẩm quyền đã biết, vì vậy các nhân viên sẽ tuân thủ yêu cầu.

Phishing Whaling

• Khi những kẻ tấn công săn đuổi một “con cá lớn” như một CEO, nó được gọi là Whaling.
• Whaling tự thân nó không phải là một kỹ thuật cao cấp. Ở mức độ cơ bản, nó là một phương thức lừa đảo phức tạp hơn Phishing. Tuy nhiên, chính triết lý đằng sau nó có thể làm cho Whaling có thể gây thiệt hại lớn hơn.

• Whaling sửa chữa những yếu điểm của Phishing để dụ người dùng làm theo những gì tin tặc muốn. Vấn đề chính của Phishing là nó đã trở nên kém hiệu quả. Lý do là cộng đồng người dùng đã ngày càng cảnh giác phát hiện các cuộc tấn công lừa đảo Phishing, nên nó đã không còn hiệu quả như trước.
• Do đó, các tin tặc phải nỗ lực nhiều hơn để tiến hành lừa đảo bằng thủ đoạn khác. Người dùng đang luôn được nhắc nhở không hoàn toàn tin tưởng vào những dữ liệu được gởi bởi đồng nghiệp, bạn bè và ngay cả người thân trong gia đình. Chính vì vậy, các tin tặc đã chuyển hướng sang Whaling.
• Whaling là khi một tin tặc nhắm vào một người nào đó đang giữ chức vụ cao trong một công ty. Thông thường, tin tặc sẽ tiến hành thu thập thông tin về người đó để tìm hiểu nhiều hơn về họ. Tin tặc cũng có thể tiếp cận mạng của công ty đó và tiến hành một số điều tra về cách thức hoạt động của công ty.

• Trong các cuộc tấn công whale phishing, kẻ gian sẽ không ngần ngại nhắm mục tiêu trực tiếp đến những nhân vật cao cấp, đang nắm giữ vị trí quan trọng chiến lược trong tổ chức, doanh nghiệp như CEO hoặc chủ tịch công ty.
• Nhìn chung, nạn nhân của whale phishing sẽ là những người nắm trong tay khả năng ra quyết định, hoặc là người giữ vai trò chủ chốt trong các hoạt động ra quyết định trong tổ chức.

Social Media Phishing

Phishing bằng giọng nói

Những cách anti-phishing hiệu quả

Anti-phishing cho người dùng cá nhân

Để  việc anti-phishing hiệu quả, người dùng hãy thực hiện theo các hướng dẫn dưới đây:

+ Để anti-phishing, người dùng không nên trả lời các email lạ yêu cầu bạn xác nhận hay cung cấp thông tin cá nhân.

+ Không nhấp vào bất kỳ liên kết nào đính kèm trong mục thư rác. Bởi lẽ, nó có thể tiềm ẩn rất nhiều rủi ro về an ninh mạng.

+ Không tải xuống bất kỳ tệp tin nào trong các email lạ.

+ Anti-phishing và bảo vệ máy tính bằng cách sử dụng tường lửa và các phần mềm diệt virus (phiên bản mới nhất).

Anti-phishing cho doanh nghiệp

+ Cách anti-phishing khá hiệu quả cho các doanh nghiệp là việc đào tạo kiến thức an ninh mạng cho toàn bộ nhân viên.

+ Tổ chức các buổi tập huấn cho nhân viên với các tình huống giả mạo.

+ Mã hóa toàn bộ thông tin quan trọng của tổ chức, doanh nghiệp để việc anti-phishing được hiệu quả hơn.

+ Triển khai một bộ lọc spam để loại bỏ toàn bộ thư rác tiềm ẩn những sự nguy hiểm.

+ Thường xuyên cập nhật hệ điều hành và các phần mềm đang sử dụng lên phiên bản mới nhất.

Vậy là qua bài viết trên Chúng Ta đã hiểu thêm về các phương thức tấn công Phishing Scam cũng như cách phòng chống hiệu quả. Cảm ơn các bạn đã đọc

P.A Việt Nam tiên phong trong thị trường Internet & Web.
Là nhà đăng ký tên miền lớn nhất Việt Nam. Chuyên nghiệp trong lĩnh vực Tên miền, Website, Email, Server, Thiết kế Web.

Thông tin kiến thức vps-dedicated-colocation tại: https://kb.pavietnam.vn/category/vps-dedicated-colocation
Đăng ký dịch vụ P.A Việt Nam: https://www.pavietnam.vn/
P.A Việt Nam cung cấp đa dạng cấu hình VPS và Dedicated tại: Cloud Server –  Cloud Server Pro  –  Máy Chủ Riêng
Tham khảo các Ưu đãi hiện có tại: https://www.pavietnam.vn/vn/tin-khuyen-mai/
Facebook: https://www.facebook.com/pavietnam.com.vn