Lừa đảo phishing qua mạng xã hội là dạng tấn công mạng dùng trang mạng xã hội thay vì email. Mặc dù kênh khác nhau, mục tiêu giống nhau - lừa bạn cung cấp thông tin cá nhân hoặc tải tệp độc hại.
Mạng xã hội là nơi yêu thích của tội phạm mạng vì không thiếu nạn nhân. Và vì môi trường được tin tưởng, có mỏ vàng dữ liệu riêng tư họ dùng để tấn công spear-phishing tiếp theo.
Dưới đây là cách họ làm trên một số nền tảng phổ biến nhất.
Facebook là thương hiệu thứ ba bị mạo danh nhiều nhất cho tấn công phishing. Với hơn 2,6 tỷ người dùng toàn cầu, dễ hiểu tại sao. Nền tảng cung cấp overabundance (sự dồi dào) hồ sơ và tin nhắn tràn ngập thông tin cá nhân để kẻ phishing khai thác.
Tấn công trên Facebook thường nhắm vào người tiêu dùng chứ không phải tổ chức lớn. Kẻ phishing dùng kỹ thuật xã hội (social engineering) dụ nạn nhân không ngờ tiết lộ dữ liệu.
Họ sẽ mạo danh Facebook và gửi email cho người dùng về cảnh báo bảo mật, ví dụ. Từ đó, người dùng được hướng dẫn đăng nhập hồ sơ Facebook và đổi mật khẩu. Sau đó họ được dẫn đến trang đăng nhập Facebook giả nơi thông tin đăng nhập bị thu hoạch.
Cách Phishing Nhắm Vào Bạn Bè Của Bạn
Nếu họ truy cập được tài khoản bạn, họ có thể撒 lưới rộng hơn bằng cách làm nạn nhân danh bạ của bạn. Họ cũng có thể dùng thông tin bạn bè chia sẻ với bạn cho chiến dịch spear-phishing nhắm mục tiêu hơn.
Kẻ phishing sẽ dùng tài khoản bạn gửi tin nhắn hoặc đăng trạng thái có liên kết độc hại. Vì bạn bè tin bạn, cơ hội họ click vào lớn hơn.
Angler Phishing Là Gì?
Đây là loại phishing dùng mạng xã hội nhưng có thủ pháp (MO) tinh vi hơn. Họ nhắm vào người dùng đăng bài (thường là phàn nàn) về dịch vụ hoặc tài khoản. Kẻ tấn công mạo danh nhà cung cấp dịch vụ, sau đó gửi người dùng liên kết để liên hệ nhân viên chăm sóc khách hàng.
Nhưng bạn đoán đúng: liên kết dẫn đến trang giả thu thập thông tin.
Từ thư viện selfie, Instagram đã trở thành doanh nghiệp hàng triệu đô la dùng bởi thương hiệu và người ảnh hưởng lớn nhất thế giới.
Giống như kẻ phishing trên Facebook, những kẻ khai thác Instagram gửi email cho người dùng cảnh báo về vấn đề bảo mật. Ví dụ, có thể là thông báo về lần đăng nhập từ thiết bị không xác định. Email có liên kết gửi người dùng đến trang giả nơi thông tin đăng nhập bị thu hoạch.
Khi có quyền truy cập, họ sẽ có mỏ vàng thông tin cá nhân khai thác nhiều cách. Một tấn công tàn độc, ví dụ, liên quan đến uy hiếp bạn hoặc bạn bè bằng cách đe dọa rò rỉ ảnh bạn chia sẻ riêng tư hoặc qua Instagram Direct Messenger (IGdm) nếu bạn không nhường.
Lừa Đảo Vi Phạm Bản Quyền Là Gì?
Nếu kẻ phishing nắm được tài khoản doanh nghiệp, đặc biệt là tài khoản đã xác thực, họ có thể phát động chiến dịch phishing tàn độc hơn qua IGdm.
Một tài khoản đã xác thực cho chi nhánh tại Chile của tập đoàn lớn, ví dụ, bị người dùng báo cáo tháng 6 năm 2020 vì gửi tin nhắn phishing.
Tin nhắn cảnh báo người dùng về vi phạm bản quyền trong bài đăng. Phần còn lại: "Nếu bạn nghĩ vi phạm bản quyền là sai, bạn nên đưa ra phản hồi. Ngược lại, tài khoản sẽ bị đóng trong 24 giờ." Liên kết cho phản hồi đương nhiên là trang Instagram giả thu thập thông tin đăng nhập.
Lừa Đảo Dấu Tích Xanh Là Gì?
Không gì cảm thấy hợp pháp như có dấu tích xanh kia. Kẻ phishing khai thác điều này.
Một lừa đảo phishing Instagram liên quan đến gửi email cho người dùng cung cấp huy hiệu xác thực. Khi người dùng click nút "Verify Account" (Xác thực tài khoản), họ bị đưa đến trang phishing nơi thông tin cá nhân bị thu hoạch. Hầu hết thời gian, người ảnh hưởng (influencers) và người dùng "Insta-famous" là mục tiêu cho loại tấn công này.
Xem hướng dẫn cách xác thực trên Instagram để vượt qua những kẻ lừa này.
Nền tảng chính cho cộng đồng kinh doanh thế giới dùng bởi hơn 700 triệu chuyên gia cũng là mục tiêu yêu thích của kẻ phishing.
Người dùng tin tưởng LinkedIn hơn bất kỳ trang mạng xã hội nào khác theo báo cáo niềm tin số字. Người dùng cũng có xu hướng đăng chi tiết công việc hơn, khiến họ thành mục tiêu chính cho spear phishing và whaling (nhắm vào người cấp cao).
Cách Kẻ Tuyển Dụng Giả Lừa Đảo Người Dùng LinkedIn
Một trong những chiến dịch phishing mạng xã hội tàn nhẫn nhất là tấn công nhắm vào người tìm việc trên LinkedIn. Tội phạm mạng giả vờ nhà tuyển dụng và liên hệ người dùng về bài đăng việc làm giả qua LinkedIn Messaging.
Kẻ phishing lôi kéo bạn bằng cách nói hồ sơ bạn hoàn hảo cho vị trí họ muốn tuyển. Họ làm cho nó hấp dẫn hơn với gói thù lao tăng cao.
Bạn sẽ thấy liên kết mà kẻ phishing nói có tất cả chi tiết về việc. Hoặc họ có thể gửi tệp đính kèm Microsoft Word hoặc Adobe PDF để tải xuống.
Nghe hấp dẫn, nhất là cho người đang tìm việc. Nhưng liên kết dẫn đến trang đích giả mạo (spoofed) và tệp Word có Macro chạy mã độc. Điều sau có thể đánh cắp dữ liệu hoặc mở cửa sau (backdoor) vào hệ thống.
LIÊN QUAN: Cách Chặn Ai Đó Trên LinkedIn
Bạn Có Nhận Được Lời Mời Kết Nối Giả Không?
Có hai loại lời mời kết nối giả phổ biến nhất. Loại đầu tiên thấy người dùng nhận email cảnh báo có lời mời kết nối. Đi kèm liên kết dẫn đến trang đăng nhập LinkedIn giả.
Loại thứ hai phức tạp hơn: liên quan đến tạo tài khoản giả và gửi lời mời kết nối từ bên trong LinkedIn. Khi bạn chấp nhận lời mời, kẻ phishing có quyền truy cập thêm thông tin trong hồ sơ bạn và gần hơn với tất cả kết nối của bạn.
Sau đó họ có thể gửi tin nhắn phishing hoặc dùng thông tin bạn để tấn công nhắm mục tiêu hơn vào người bạn của bạn. Trở thành kết nối cấp 1 (1st-degree) cũng làm hồ sơ họ có vẻ hợp pháp hơn.
Cách Bảo Vệ Bản Thân Khỏi Phishing Mạng Xã Hội
Để bảo vệ mình khỏi các loại tấn công này, đừng click liên kết trong email và tin nhắn riêng (DM). Kiểm tra kỹ nguồn. Dù có vẻ tin nhắn từ người bạn tin tưởng, vẫn có cơ hội tài khoản của họ đã bị xâm phạm.
Gọi điện cho người đó trước để chắc chắn nó thật, đặc biệt nếu tin nhắn chứa tệp đính kèm bạn được yêu cầu tải xuống.
Luôn kiểm tra URL trang web bạn truy cập. Hacker tạo URL giả (spoofed) bằng cách thay đổi một hoặc nhiều chữ cái của URL trang web nổi tiếng. Chúng cũng có thể dùng ký hiệu trông như chữ cái gốc. Di chuột qua liên kết để xem toàn bộ URL, hiển thị ở dưới trình duyệt.
Nhớ rằng thư từ chính thức từ mạng xã hội và tổ chức khác không bao giờ đến từ ai dùng email @gmail hoặc @yahoo.
Dấu hiệu nhận biết khác là lỗi chính tả và ngữ pháp hoặc tin nhắn ép bạn hành động gấp. Loại sau được thiết kế gây sợ hãi hoặc hoảng loạn để bạn không kịp suy nghĩ.
Mạng Xã Hội Cũng Gây Nguy Hiểm Cho Người Thân
Nếu bạn phơi mình trước tấn công phishing mạng xã hội, bạn rủi ro bạn bè và người thân, vì hacker có thể dùng tài khoản bạn làm cửa ngõ đến họ.
May mắn là, chút cẩn trọng và sự lý trí giúp rất nhiều trong việc bảo vệ mình.