Vào ngày 12 tháng 1 năm 2016, một cuộc tấn công mạng đã được thực hiện, ảnh hưởng đến 80.000 khách hàng của một nhà cung cấp điện lực tại Ukraine (Prykarpattyaoblenergo). Đây là lần đầu tiên chúng ta có thể ghi chép và xác nhận đầy đủ rằng một sự cố mất điện do tin tặc từ xa gây ra. Những tin tặc này không phải lúc nào cũng có trang thiết bị hay nguồn lực tốt nhất. Đổi lại, họ có thái độ và tài năng đối phó với các biện pháp bảo vệ dựa trên một nguyên tắc duy nhất: Điểm yếu nhất trong hệ thống bảo mật là con người sử dụng nó.
Điều tra vụ tấn công trên kết luận rằng đó là một sự kiện spear phishing (nhắm mục tiêu). Mặc dù chủ đề này đã được đề cập ngắn gọn trong bài viết trước, tôi cho rằng đây là thời điểm thích hợp để mở rộng chủ đề và cung cấp nhiều thông tin quan trọng nhất có thể về loại tấn công này.
Spear Phishing Là Gì?
Cốt lõi của spear phishing nằm ở việc thu thập thông tin cá nhân (ngày sinh, tên, các dữ liệu liên quan khác) trước khi thực hiện tấn công. Cuộc tấn công sẽ sử dụng thông tin đó để thuyết phục nạn nhân rằng người gửi là một thực thể hợp pháp "biết" đến họ. Spear phishing nguy hiểm vì nó khai thác mối quan hệ tin cậy giữa cá nhân và tổ chức để đạt mục đích — thường là lấy cắp thông tin quan trọng (thường mang tính tài chính, nhưng không chỉ vậy, ví dụ như đánh cắp danh tính).
Trang web của FBI đưa ra ví dụ giả định: tin tặc giả danh công ty viễn thông, gửi cho khách hàng một liên kết đến trang giả mạo yêu cầu nhập ngày sinh và số an sinh xã hội. Đấy là ví dụ điển hình của spear phishing. Thường thì các nạn nhân có liên hệ gì đó với nhau: cùng là khách hàng của một công ty, đồng nghiệp, hoặc bạn cùng lớp.
Khác Biệt Giữa Spear Phishing Và Phishing Thông Thường
Phishing truyền thống gửi email hàng loạt đến danh sách dài người ngẫu nhiên, hy vọng vài người mắc bẫy. Hầu hết không bị lừa. Nhờ sự tinh vi, spear phishing hiệu quả hơn nhiều, dễ tạo ra nạn nhân ngay cả những người được cho là "biết rõ" không nên tin email đó. Một số tấn công thậm chí dùng địa chỉ chính thức của công ty bị mạo danh (kỹ thuật gọi là spoofing), làm tăng độ nguy hiểm.
Tin tặc thông minh không nhìn vào rò rỉ dữ liệu lớn (như vụ Target tháng 3/2014) như danh sách email ngẫu nhiên để "thử 운", mà xem đó là cơ hội dùng thông tin thu được để lừa khách hàng, mồi nhử là niềm tin của họ vào công ty. Đảo chiều? Có. Gây hại? Chắc chắn. Tinh vi? Hoàn toàn!
Cách Bảo Vệ Bản Thân Trước Spear Phishing
Để chống spear phishing, phòng ngừa là chìa khóa. Hãy hoạt động theo nguyên tắc: không công ty nào yêu cầu thông tin cá nhân qua email. Đừng bao giờ gọi số điện thoại có trong email — số đó có thể do tin tặc điều khiển. Hãy tự tìm số điện thoại chính thức của công ty và gọi trực tiếp nếu nhận được email đáng ngờ.
Nếu email đến từ bạn bè, người thân, hãy gọi lại cho họ thay vì trả lời qua email — địa chỉ có thể bị mạo danh.
Bạn còn mẹo nào khác để ngăn chặn spear phishing? Hãy chia sẻ trong phần bình luận!