Trong bối cảnh Internet ngày càng trở nên phổ biến, vấn đề liên quan đến việc đánh cắp thông tin để lợi dụng trở thành một điều đáng quan ngại. Sự phát triển nhanh chóng của công nghệ đã làm tăng đáng kể số lượng người sử dụng Internet, đồng thời cung cấp cơ hội lớn cho các hacker để thực hiện các hoạt động tấn công. Trong đó, phishing email đặt ra một mối lo đặc biệt cao vì tính nguy hiểm của nó.
Thuật ngữ “phishing” được sử dụng để mô tả một hình thức tấn công mạng có độ nguy hiểm cao. Phương pháp này thường bao gồm việc lừa đảo người sử dụng Internet bằng cách giả mạo thông điệp hoặc trang web hợp pháp để đánh cắp thông tin cá nhân, thông tin tài khoản ngân hàng hoặc mật khẩu. Phishing email, một biến thể của phương thức này, đã gây ra nhiều thiệt hại nặng nề đối với cá nhân và tổ chức.
Bài viết dưới đây sẽ cung cấp thông tin chi tiết về khái niệm phishing email, đồng thời trình bày các biện pháp phòng tránh để bảo vệ bản thân và thông tin cá nhân khỏi những cuộc tấn công này. Hãy cùng theo dõi để hiểu rõ hơn về cách ngăn chặn mối đe dọa từ phishing email!
Phishing email là gì và làm thế nào để phòng tránh?
Phishing email là gì?
Phishing, hay tấn công giả mạo, là một hình thức tấn công mạng mà kẻ tấn công giả mạo thành một tổ chức có uy tín để đánh lừa người dùng, nhằm chiếm đoạt thông tin cá nhân. Thông thường, chúng ta thấy các kẻ tấn công này giả mạo thành các ngân hàng, trang web thương mại, ví điện tử, hay các công ty thẻ tín dụng để đánh lừa người dùng cung cấp thông tin như tên đăng nhập, mật khẩu, mật khẩu giao dịch, thông tin thẻ tín dụng, và nhiều thông tin quan trọng khác.
Phương thức này thường được thực hiện qua email và tin nhắn. Người dùng, khi mở email và click vào các liên kết bên trong, sẽ bị yêu cầu đăng nhập. Nếu họ thực hiện hành động này, tin tặc sẽ ngay lập tức có được thông tin cá nhân của họ.
Phương thức phishing đã xuất hiện lần đầu vào năm 1987 và có nguồn gốc từ sự kết hợp của hai từ “phreaking” (trò lừa đảo sử dụng điện thoại của người khác mà không trả phí) và “fishing for information” (câu thông tin).
Các phương thức tấn công của phishing email
Giả tạo email
Một trong những kỹ thuật thường xuyên được áp dụng trong các chiến dịch lừa đảo qua email là việc tạo ra các email giả mạo. Kẻ tấn công thường gửi những thư điện tử trang trí bằng tên của các tổ chức uy tín hay đơn vị có thẩm quyền, nhằm mục đích lừa dối người nhận để nhấp chuột vào các liên kết dẫn tới trang web giả mạo và thu thập thông tin cá nhân.
Những email giả mạo này thường được chế tạo sao cho rất giống với các email chính thống, chỉ có những thay đổi nhỏ nhất để khiến người dùng gặp khó khăn trong việc phân biệt. Sự tương đồng này tạo ra một hiệu ứng nhầm lẫn, đặt người dùng vào tình trạng dễ trở thành nạn nhân của các chiến dịch lừa đảo trực tuyến.
Để đánh lừa được người dùng, kẻ tấn công luôn cố gắng ngụy trang bằng cách:
- Giả mạo địa chỉ người gửi gần giống thật. VD địa chỉ đúng là sale.congtyA@gmail.com thì thì tên địa chỉ giả mạo có dạng sales.congtyA@gmail.com.
- Chèn hình ảnh, Logo của các tổ chức đáng tin cậy.
- Thiết kế giao diện trang web giống y hệt bản gốc cả về màu sắc lẫn font chữ.
- Sử dụng kỹ thuật giả mạo đường dẫn để lừa người sử dụng. VD https://portal.vietcombank.com.vn/ nhưng khi click vào lại dẫ đến trang chuyển hướng https://mail.www-vietcombank.com.vn/.
Những kẻ tấn công phishing email sử dụng những đường link giả để lừa người dùng
Giả mạo Website
Thực chất của việc giả mạo này là làm giả một Landing page chứ không phải là toàn bộ trang web. Trang được làm giả thường là trang đăng nhập để lấy cắp thông tin. Kỹ thuật làm giả của các tin tặc có đặc điểm sau:
- Thiết kế giống đến 99% so với trang web chính thức.
- Đường link chỉ khác 1 ký tự duy nhất. VD reddit.com và redit.com.
- Luôn có những thông điệp khuyến khích người dùng đăng nhập vào trang web.
Vượt qua các bộ lọc Phishing
Ngày nay, mặc dù các dịch vụ email hàng đầu như Google và Microsoft đã triển khai các bộ lọc chống thư rác để bảo vệ người dùng, nhưng phương pháp này vẫn dựa vào việc kiểm tra văn bản (text) trong email để xác định liệu nó có phải là một cuộc tấn công lừa đảo hay không. Ý tưởng này đã tạo ra cơ hội cho những kẻ tấn công sáng tạo, họ đã chuyển đổi chiến thuật bằng cách sử dụng hình ảnh hoặc video thay vì dựa vào văn bản như trước đây.
Vì vậy, trong trường hợp của những email chứa các nội dung sử dụng hình ảnh hoặc video để lừa đảo, người dùng cần phải duy trì sự cảnh báo cao. Mặc dù bộ lọc thư rác hiện đại có khả năng phát hiện một số mô hình của chiến dịch này, nhưng vẫn có khả năng một số email lừa đảo có thể tránh được phát hiện.
Vì vậy, để bảo vệ bản thân, người dùng cần tự giác và cẩn trọng khi đối mặt với các email chứa nội dung không phải là văn bản. Cần thiết phải duy trì tinh thần cảnh báo và học cách nhận biết những dấu hiệu có thể chỉ ra rằng một email có thể là một phương tiện lừa đảo tiềm ẩn. Điều này là quan trọng để ngăn chặn các hình thức tấn công mới mà kẻ tấn công có thể sử dụng để đánh lừa người dùng và đảm bảo an toàn cho thông tin cá nhân.
Những loại phishing email hiện nay
Hiện nay có nhiều loại phishing khác nhau tùy thuộc vào từng đối tượng và hướng tấn công. Những loại phishing email thường gặp là:
- Clone phishing: Kẻ tấn công sẽ sao chép một email thật vào một email tương tự và có chứa đường dẫn đến một trang giả mạo. Tiếp sau đó chúng sẽ thông báo đường dẫn cũ đã hết hạn, đây là một đường dẫn mới hoặc cập nhật.
- Spear phishing: Loại hình này nhắm vào một người hoặc một tổ chức (thường là một người nổi tiếng), thông qua việc thu thập và sử dụng các thông tin có thể nhận dạng được như tên của một người họ hàng hoặc người bạn thân.
- Pharming: Kẻ tấn công sẽ làm hỏng một bản ghi DNS và chuyển hướng khách truy cập từ trang web hợp pháp đến giả mạo mà chúng đã xây dựng từ trước. Đây là loại tấn công nguy hiểm nhất bởi người dùng không thể kiểm soát được các bản ghi DNS do vậy không có biện pháp để phòng vệ.
- Whaling: Đây cũng là một hình thức spear phishing hướng vào những người giàu và có địa vị, chẳng hạn như CEO và các quan chức chính phủ.
- Email Spoofing: Email lừa đảo thường chứa các thông tin giả mạo như thông tin liên lạc từ các công ty hoặc nhân thân hợp pháp. Trong email lừa đảo này, các đường link tới những trang web độc hại sẽ được hiển thị. Đây chính là nơi mà những kẻ tấn công thu thập thông tin xác thực đăng nhập. Trang độc hại này có thể chứa keylogger, trojan và các tập lệnh độc hại khác nhằm mục đích ăn cắp thông tin cá nhân.
- Website Redirects: Kẻ tấn công sử dụng các trang web điều hướng để đưa người dùng đi đến các URL không đúng như ý định truy cập ban đầu. Bằng cách khai thác lỗ hổng, chúng có thể chèn các redirect và cài phần mềm độc hại lên máy tính của người sử dụng.
Có nhiều loại phishing khác nhau tùy thuộc vào đối tượng và hướng tấn công
- Typosquatting: Loại phishing này sẽ điều hướng người truy cập đến các trang web giả mạo với tên miền là tiếng nước ngoài, có lỗi chính tả phổ biến. Kẻ tấn công sử dụng các miền có giao diện bắt chước các trang web hợp pháp, lợi dụng việc nhập sai hoặc đọc sai URL của người dùng.
- The ‘Watering Hole’: Với cách tấn công này, kẻ tấn công sẽ nghiên cứu hồ sơ người dùng và xác định những trang web mà họ thường xuyên truy cập. Chúng sẽ quét các trang web đó để tìm ra các lỗ hổng bảo mật và chèn các tập lệnh độc hại nhắm vào người dùng trong lần truy cập tiếp theo nếu có thể.
- Impersonation & Giveaways: Kẻ tấn công sẽ mạo danh những người có tầm ảnh hưởng trên truyền thông và xã hội để quảng cáo việc trao thưởng hoặc tham gia vào các hành vi lừa đảo khác.
- Advertisements: Quảng cáo có trả phí để đưa trang web lừa đảo trên top đầu tìm kiếm cũng là một chiến thuật khác được sử dụng. Mục đích của việc chạy quảng cáo này để lừa đảo lấy thông tin nhạy cảm, có thể bao gồm thông tin xác thực đăng nhập cho tài khoản giao dịch.
- Malicious Applications: Những kẻ lừa đảo có thể sử dụng các ứng dụng để chèn phần mềm độc hại nhằm giám sát hành vi của người dùng hay những thông tin nhạy cảm. Các ứng dụng này có thể là trình theo dõi giá, ví điện tử,…
- Text and Voice Phishing: Lừa đảo bằng tin nhắn và bằng giọng nói là các phương tiện khác để kẻ tấn công tìm cách lấy thông tin cá nhân.
Làm thế nào để phòng tránh được phishing email?
Đối với cá nhân
Để tránh bị kẻ xấu sử dụng tấn công phishing để lừa đảo trên Internet nhằm thu thập dữ liệu cá nhân hay những thông tin nhạy cảm, các bạn nên:
- Không click vào các đường link qua email nếu bạn không chắc chắn 100% nó an toàn.
- Không gửi thông tin bí mật qua email.
- Không trả lời thư lừa đảo.
- Sử dụng tường lửa để diệt virus và luôn cập nhật bản mới nhất của phần mềm.
- Hãy chuyển tiếp các thư rác đến spam@uce.gov hoặc gửi mail đến reportphishing@antiphishing.org để tổ chức này giúp bạn chống lại các phishing khác.
Chuyển các thư rác đến spam@uce.gov để phòng tránh phishing email
Đối với tổ chức, doanh nghiệp
Một số những phương pháp phòng chống nạn phishing email được khuyến cáo cho các tổ chức doanh nghiệp như:
- Training cho nhân viên những kiến thức sử dụng internet an toàn.
- Không nên sử dụng dịch vụ Gmail miễn phí vì dễ bị giả mạo.
- Triển khai bộ lọc SPAM để phòng tránh tin rác, lừa đảo.
- Luôn cập nhật ứng dụng, phần mềm để hạn chế các lỗ hổng bảo mật.
- Chủ động bảo mật những thông tin nhạy cảm, quan trọng.
Những email lừa đảo đã gian lận và chiếm đoạt hàng triệu thông tin người dùng với những chiêu thức ngày càng phức tạp. Điều này đặt ra một thách thức lớn cho cộng đồng mạng, đồng thời đòi hỏi mọi người phải học cách bảo vệ mình khỏi những mối đe dọa này.
Bài viết trên hy vọng đã giúp bạn hiểu rõ hơn về hiện tượng phishing email, từ cách chúng hoạt động đến những phương pháp tấn công phổ biến. Đặc biệt, nó cung cấp những gợi ý cụ thể về cách ngăn chặn và bảo vệ thông tin cá nhân khỏi những kỹ thuật lừa đảo này.
Chúng tôi rất mong nhận được sự chia sẻ từ bạn về mọi thắc mắc liên quan đến phishing email hoặc thông tin công nghệ nói chung. Đừng ngần ngại để lại ý kiến hoặc đặt câu hỏi, chúng tôi sẽ hỗ trợ bạn ngay lập tức. An toàn thông tin là trách nhiệm của chúng ta cùng nhau, hãy cùng đối mặt và chống lại những rủi ro trực tuyến.
