Email là vector tấn công phổ biến của kẻ gian và tội phạm máy tính. Nhưng nếu bạn nghĩ nó chỉ dùng lan truyền mã độc, lừa đảo (phishing), và chiêu tròNigeria tạm ứng, hãy suy nghĩ lại. Có chiêu trò lừa đảo email mới nơi kẻ tấn công giả mạo sếp của bạn, và khiến bạn chuyển hàng nghìn đô la quỹ công ty vào tài khoản ngân hàng chúng kiểm soát.
Nó được gọi là Lừa Đảo CEO, hoặc "Giả Mạo Nội Bộ" (Insider Spoofing).
Hiểu Về Cuộc Tấn Công
Vậy cuộc tấn công hoạt động như thế nào? Vâng, để kẻ tấn công thành công, họ cần biết rất nhiều thông tin về công ty mục tiêu.
Nhiều thông tin này về cấu trúc phân cấp của công ty hoặc tổ chức họ nhắm đến. Chúng cần biết ai họ sẽ mạo danh. Dù loại lừa đảo này gọi là "Lừa đảo CEO", thực tế nó nhắm vào bất kỳ ai có vai trò cấp cao — bất kỳ ai có thể khởi tạo thanh toán. Chúng cần tên, và địa chỉ email. Cũng giúp nếu biết lịch trình, và khi nào họ đi công tác, hoặc nghỉ phép.
Cuối cùng, chúng cần biết ai trong tổ chức có thể thực hiện chuyển tiền, như kế toán, hoặc nhân viên bộ phận tài chính.
Nhiều thông tin này có thể tìm tự do trên trang web công ty. Nhiều công ty vừa và nhỏ có trang "Về Chúng Tôi", liệt kê nhân viên, vai trò, trách nhiệm, và thông tin liên lạc.
Tìm lịch trình ai đó khó hơn một chút. Đa số mọi người không công khai lịch trực tuyến. Tuy nhiên, nhiều người công khai di chuyển trên mạng xã hội, như Twitter, Facebook, và Swarm (trước đây Foursquare). Kẻ tấn công chỉ cần đợi họ rời văn phòng, và tấn công.
Khi kẻ tấn công có mọi mảnh ghép cần thiết, chúng sẽ email nhân viên tài chính, mạo danh CEO, và yêu cầu khởi tạo chuyển tiền đến tài khoản ngân hàng chúng kiểm soát.
Để thành công, email phải trông thật. Chúng sẽ dùng tài khoản email trông 'hợp pháp' hoặc hợp lý (Ví dụ ten.ho.so_ngaunhien@gmail.com), hoặc qua 'giả mạo' (spoofing) email thật của CEO. Đây là nơi email được gửi với header sửa đổi, để trường "From:" chứa email thật của CEO. Một số kẻ tấn công có động lực sẽ cố gắng khiến CEO email cho họ, để có thể sao chép phong cách và thẩm mỹ email.
Kẻ tấn công hy vọng nhân viên tài chính sẽ bị áp lực khởi tạo chuyển tiền mà không kiểm tra trước với cấp trên. Cá cược này thường thành công, với một số công ty vô tình trả hàng trăm nghìn đô la. Một công ty tại Pháp được BBC phác họa mất 100.000 Euro. Kẻ tấn công cố lấy 500.000, nhưng tất cả trừ một khoản thanh toán bị ngân hàng chặn, do nghi ngờ gian lận.
Cách Hoạt Động Của Tấn Công Kỹ Thuật Xã Hội
Đe dọa an ninh máy tính truyền thống thường mang tính công nghệ. Kết quả, bạn có thể dùng biện pháp công nghệ đánh bại. Nếu bạn nhiễm mã độc, bạn cài antivirus. Nếu ai đó cố hack máy chủ web, bạn thuê người kiểm thử xâm nhập và tư vấn cách 'cứng hóa' máy chống tấn công khác.
Tấn công kỹ thuật xã hội (social engineering) — Lừa đảo CEO là ví dụ — khó giảm thiểu hơn, vì chúng không tấn công hệ thống hoặc phần cứng. Chúng tấn công con người. Thay vì khai thác lỗ hổng mã, chúng tận dụng bản chất con người, và bản năng sinh học tin tưởng người khác. Một giải thích thú vị nhất về tấn công này được trình bày tại hội nghị DEFCON 2013.
Một số vụ hack lớn nhất là sản phẩm của kỹ thuật xã hội.
Năm 2012, cựu phóng viên Wired Mat Honan bị tấn công bởi nhóm tội phạm mạng quyết tâm, muốn phá vỡ cuộc sống trực tuyến của anh. Bằng chiến thuật kỹ thuật xã hội, họ thuyết phục Amazon và Apple cung cấp thông tin cần thiết để xóa từ xa MacBook Air và iPhone, xóa tài khoản email, và chiếm đoạt tài khoản Twitter có ảnh hưởng để đăng epithets phân biệt chủng chủ và đồng tính. Bạn có thể đọc câu chuyện rùng rợn ở đây.
Tấn công kỹ thuật xã hội không phải đổi mới mới. Hacker dùng chúng hàng thập kỷ để truy cập hệ thống, tòa nhà và thông tin. Một trong những kỹ sư xã hội nổi tiếng nhất là Kevin Mitnick, người giữa những năm 90 trốn tránh cảnh sát sau chuỗi tội phạm máy tính. Anh bị giam 5 năm, và cấm dùng máy tính đến 2003. Về hacker, Mitnick gần như có địa vị rockstar. Khi cuối cùng được dùng Internet, nó được truyền hình trên The Screen Savers của Leo Laporte.
Anh cuối cùng chuyển sang hợp pháp. Anh hiện chạy công ty tư vấn an ninh máy tính riêng, và viết nhiều sách về kỹ thuật xã hội và hack. Có lẽ được đánh giá cao nhất là "Nghệ Thuật Lừa Dối" (The Art of Deception). Đây về cơ bản là tuyển tập truyện ngắn xem cách tấn công kỹ thuật xã hội thực hiện, và cách bảo vệ mình, có sẵn mua tại Amazon.
Có Thể Làm Gì Với Lừa Đảo CEO?
Vậy, hãy tóm tắt. Chúng ta biết Lừa Đảo CEO kinh khủng. Biết nó đã tốn công ty nhiều tiền. Biết nó cực khó giảm thiểu, vì nó tấn công con người, không phải máy tính. Việc cuối cùng cần bao quát là cách chúng ta chống lại nó.
Nói dễ hơn làm. Nếu bạn là nhân viên và nhận yêu cầu thanh toán đáng ngờ từ ngườiemployer hoặc sếp, bạn có thể muốn kiểm tra lại với họ (bằng phương thức không phải email) xem có thật không. Chúng có thể hơi phiền vì bạn làm phiền, nhưng chúng sẽ hơn phiền nếu bạn gửi $100.000 quỹ công ty đến tài khoản nước ngoài.
Có giải pháp công nghệ có thể dùng. Cập nhật sắp tới của Microsoft cho Office 365 sẽ chứa một số bảo vệ chống loại tấn công này, bằng cách kiểm tra nguồn mỗi email xem có đến từ liên hệ tin cậy không. Microsoft cho biết họ đạt cải thiện 500% cách Office 365 nhận diện email giả mạo hoặc spoofed.
Đừng Bị Đốt
Cách tin cậy nhất bảo vệ chống tấn công này là hoài nghi. Bất cứ khi nào bạn nhận email yêu cầu chuyển tiền lớn, hãy gọi cho sếp xem có hợp pháp không. Nếu bạn có ảnh hưởng với bộ phận IT, cân nhắc yêu cầu họ chuyển sang Office 365, dẫn đầu gói chống Lừa Đảo CEO.
Tôi hy vọng không, nhưng bạn có từng bị nạn chiêu trò email lừa tiền? Nếu có, tôi muốn nghe. Thả bình luận dưới đây, cho tôi biết chuyện gì xảy ra.
Nguồn ảnh: AnonDollar (Your Anon), Miguel The Entertainment CEO (Jorge)