Email là một phương tiện tấn công phổ biến được sử dụng bởi những kẻ lừa đảo và tội phạm máy tính. Nhưng nếu bạn nghĩ rằng nó chỉ được sử dụng để phát tán phần mềm độc hại, lừa đảo và lừa đảo phí ứng trước của Nigeria, hãy nghĩ lại. Có một thủ đoạn lừa đảo qua email mới, trong đó kẻ tấn công sẽ giả làm sếp của bạn và yêu cầu bạn chuyển hàng nghìn đô la tiền của công ty vào tài khoản ngân hàng mà chúng kiểm soát.
Nó được gọi là Gian lận CEO hay "Lừa đảo nội bộ".
Hiểu được Cuộc tấn công
Vậy, cuộc tấn công hoạt động như thế nào? Chà, để kẻ tấn công thành công, họ cần biết nhiều thông tin về công ty mà họ đang nhắm mục tiêu.
Phần lớn thông tin này là về cấu trúc phân cấp của công ty hoặc tổ chức mà họ đang nhắm mục tiêu. Họ sẽ cần biết ai họ sẽ mạo danh. Mặc dù kiểu lừa đảo này được gọi là "lừa đảo CEO", nhưng trên thực tế, nó nhắm vào bất kỳ ai với vai trò cấp cao - bất kỳ ai có thể thực hiện thanh toán. Họ sẽ cần biết tên và địa chỉ email của họ. Nó cũng sẽ giúp biết lịch trình của họ và khi nào họ sẽ đi du lịch hoặc đi nghỉ.
Cuối cùng, họ cần biết ai trong tổ chức có thể thực hiện chuyển tiền, chẳng hạn như kế toán hoặc ai đó trong bộ phận tài chính.
Phần lớn thông tin này có thể được tìm thấy miễn phí trên các trang web của công ty được đề cập. Nhiều công ty quy mô vừa và nhỏ có trang "Giới thiệu về chúng tôi", nơi họ liệt kê nhân viên, vai trò và trách nhiệm của họ cũng như thông tin liên hệ của họ.
Tìm lịch trình của ai đó có thể khó hơn một chút. Phần lớn mọi người không công khai lịch của họ trực tuyến. Tuy nhiên, nhiều người công khai các chuyển động của họ trên các trang mạng xã hội, như Twitter, Facebook và Swarm (trước đây là Foursquare). Kẻ tấn công chỉ cần đợi cho đến khi họ rời khỏi văn phòng và họ có thể tấn công.
Sau khi kẻ tấn công có mọi mảnh ghép mà anh ta cần để tiến hành cuộc tấn công, sau đó họ sẽ gửi email cho nhân viên tài chính, với mục đích là Giám đốc điều hành và yêu cầu họ thực hiện chuyển tiền vào tài khoản ngân hàng mà họ kiểm soát.
Để nó hoạt động, email phải trông chân thực. Họ sẽ sử dụng tài khoản email có vẻ 'hợp pháp' hoặc hợp lệ (Ví dụ: firstname.lastname.arbitrarynumber@gmail.com ), hoặc 'giả mạo' email chính chủ của CEO. Đây sẽ là nơi một email được gửi với các tiêu đề đã sửa đổi, vì vậy trường "Từ:" chứa email chính chủ của Giám đốc điều hành. Một số kẻ tấn công có động cơ sẽ cố gắng yêu cầu Giám đốc điều hành gửi email cho họ, để họ có thể sao chép phong cách và tính thẩm mỹ của email của họ.
Kẻ tấn công sẽ hy vọng rằng nhân viên tài chính sẽ bị áp lực để bắt đầu chuyển tiền mà không kiểm tra trước với giám đốc điều hành được nhắm mục tiêu. Việc đặt cược này thường có kết quả, với một số công ty đã bất đắc dĩ trả hàng trăm nghìn đô la. Một công ty ở Pháp được BBC đưa tin đã mất 100.000 Euro. Những kẻ tấn công đã cố gắng lấy 500.000, nhưng tất cả ngoại trừ một trong số các khoản thanh toán đã bị ngân hàng chặn, kẻ nghi ngờ là gian lận.
Cách hoạt động của các cuộc tấn công kỹ thuật xã hội
Các mối đe dọa bảo mật máy tính truyền thống có xu hướng về bản chất công nghệ. Do đó, bạn có thể sử dụng các biện pháp công nghệ để đánh bại các cuộc tấn công này. Nếu bạn bị nhiễm phần mềm độc hại, bạn có thể cài đặt một chương trình chống vi-rút. Nếu ai đó đang cố gắng hack máy chủ web của bạn, bạn có thể thuê một người nào đó để thực hiện kiểm tra thâm nhập và tư vấn cho bạn về cách bạn có thể 'làm cứng' máy trước các cuộc tấn công khác.
Các cuộc tấn công kỹ thuật xã hội - trong đó gian lận CEO là một ví dụ - khó giảm thiểu hơn rất nhiều, bởi vì chúng không tấn công hệ thống hoặc phần cứng. Họ đang tấn công mọi người. Thay vì khai thác các lỗ hổng trong mã, chúng lợi dụng bản chất con người và mệnh lệnh sinh học bản năng của chúng ta để tin tưởng người khác. Một trong những lời giải thích thú vị nhất về cuộc tấn công này đã được đưa ra tại hội nghị DEFCON năm 2013.
Một số vụ hack táo tợn nhất là sản phẩm của kỹ thuật xã hội.
Vào năm 2012, cựu nhà báo Mat Honan của tờ Wired phát hiện ra mình đang bị tấn công bởi một nhóm tội phạm mạng kiên quyết, những kẻ quyết tâm phá bỏ cuộc sống trực tuyến của anh ta. Bằng cách sử dụng các chiến thuật kỹ thuật xã hội, họ đã có thể thuyết phục Amazon và Apple cung cấp cho họ thông tin họ cần để xóa từ xa chiếc MacBook Air và iPhone của anh ấy, xóa tài khoản email của anh ấy và chiếm tài khoản Twitter có ảnh hưởng của anh ấy để đăng các bài văn về chủng tộc và kỳ thị đồng tính. . Bạn có thể đọc câu chuyện ớn lạnh ở đây.
Các cuộc tấn công kỹ thuật xã hội hầu như không phải là một sự đổi mới mới. Tin tặc đã sử dụng chúng trong nhiều thập kỷ để truy cập vào các hệ thống, tòa nhà và thông tin trong nhiều thập kỷ. Một trong những kỹ sư xã hội khét tiếng nhất là Kevin Mitnick, người ở giữa những năm 90 đã dành nhiều năm trốn tránh cảnh sát, sau khi phạm một loạt tội phạm máy tính. Anh ta đã bị bỏ tù trong 5 năm và bị cấm sử dụng máy tính cho đến năm 2003. Khi tin tặc ra tay, Mitnick càng gần bạn càng có thể trở thành ngôi sao nhạc rock. Cuối cùng, khi anh ấy được phép sử dụng Internet, nó đã được truyền hình trên The Screen Savers của Leo Laporte .
Cuối cùng anh ta đã đi hợp pháp. Hiện anh điều hành công ty tư vấn bảo mật máy tính của riêng mình và đã viết một số cuốn sách về kỹ thuật xã hội và hack. Có lẽ được đánh giá cao nhất là "Nghệ thuật lừa dối". Về cơ bản, đây là một tuyển tập các câu chuyện ngắn xem xét cách loại bỏ các cuộc tấn công kỹ thuật xã hội cũng như cách tự bảo vệ mình trước chúng và có sẵn để mua tại Amazon.
Nghệ thuật lừa dối:Kiểm soát yếu tố bảo mật của con người MUA NGAY TRÊN AMAZON Có thể làm gì về hành vi gian lận của CEO?
Vì vậy, chúng ta hãy tóm tắt lại. Chúng tôi biết rằng Hành vi gian lận của Giám đốc điều hành là khủng khiếp. Chúng tôi biết rằng nó tiêu tốn rất nhiều tiền của các công ty. Chúng tôi biết rằng nó là một cuộc tấn công cực kỳ khó để giảm thiểu, bởi vì đó là một cuộc tấn công chống lại con người, không chống lại máy tính. Điều cuối cùng cần đề cập là cách chúng ta chiến đấu chống lại nó.
Nói thì dễ hơn là làm. Nếu bạn là nhân viên và bạn đã nhận được yêu cầu thanh toán đáng ngờ từ chủ hoặc sếp của mình, bạn có thể muốn kiểm tra với họ (sử dụng một phương pháp khác ngoài email) để xem đó có phải là chính hãng hay không. Họ có thể hơi khó chịu với bạn vì đã làm phiền họ, nhưng họ có thể sẽ nhiều hơn nữa khó chịu nếu cuối cùng bạn gửi 100.000 đô la tiền của công ty vào một tài khoản ngân hàng nước ngoài.
Có những giải pháp công nghệ cũng có thể được sử dụng. Bản cập nhật sắp tới của Microsoft cho Office 365 sẽ có một số biện pháp bảo vệ chống lại kiểu tấn công này, bằng cách kiểm tra nguồn của mỗi email để xem liệu nó có đến từ một liên hệ đáng tin cậy hay không. Microsoft cho rằng họ đã đạt được cải tiến 500% về cách Office 365 xác định email giả mạo hoặc giả mạo.
Đừng lo lắng
Cách đáng tin cậy nhất để bảo vệ khỏi các cuộc tấn công này là hoài nghi. Bất cứ khi nào bạn nhận được một email yêu cầu bạn chuyển một khoản tiền lớn, hãy gọi cho sếp của bạn để xem nó có hợp pháp không. Nếu bạn có bất kỳ sự bất đồng nào với bộ phận CNTT, hãy xem xét yêu cầu họ chuyển sang Office 365, công cụ đang dẫn đầu gói khi nói đến việc chống lại Hành vi gian lận của Giám đốc điều hành.
Tôi chắc chắn hy vọng là không, nhưng bạn đã bao giờ là nạn nhân của một trò lừa đảo qua email nhằm mục đích kiếm tiền chưa? Nếu vậy, tôi muốn nghe về nó. Hãy nhận xét bên dưới và cho tôi biết điều gì đã xảy ra.
Nguồn ảnh:AnonDollar (Your Anon), Miguel The Entertainment CEO (Jorge)