Với sự trỗi dậy của giao tiếp số, rủi ro tấn công kỹ thuật xã hội (social engineering) đối với tổ chức ngày càng tăng, nhưng đối với tội phạm mạng thì càng ngày càng dễ dàng.
Kỹ thuật xã hội là nghệ thuật xâm nhập mạng, hệ thống hoặc dữ liệu của tổ chức bằng cách khai thác tâm lý con người. Thay vì dùng kỹ thuật hacking để truy cập thông tin, tội phạm mạng dùng kỹ thuật xã hội để lừa người dùng tiết lộ thông tin mật.
Một kẻ tấn công xã hội có thể gọi cho nhân viên, giả vờ là nhân viên hỗ trợ IT, và lừa họ tiết lộ mật khẩu và thông tin bảo mật.
Nếu bạn nghĩ hệ thống bảo mật của mình đã "hoàn hảo", bạn đang sai lầm. Một kẻ tấn công khéo léo dễ dàng lách luật, vì mỗi ngày hacker lại sáng tạo ra phương pháp mới lừa đảo nhân viên và cá nhân để lấy cắp thông tin quý giá.
Social Engineering là gì?
Nghệ thuật lợi dụng hành vi con người để thực hiện gian lận gọi là Social Engineering. Khác với niềm tin phổ biến cho rằng hacking chỉ liên quan đến lỗ hổng phần mềm/hệ điều hành, việc tội phạm mạng tìm kiếm và khai thác lỗ hổng trong hành vi, thói quen con người cũng là một dạng hacking - và có thể gây thiệt hại an ninh tổ chức nghiêm trọng hơn bất cứ thứ gì.
Ví dụ kinh điển nhất: Hy Lạp dùng ngựa Trojan để xâm nhập thành Troy. Kẻ tội phạm mạng hiện đại (kẻ tấn công xã hội) đi trên con đường tương tự: họ dùng sai lầm của con người để vượt qua các biện pháp bảo mật công nghệ.
Tại sao công ty bị rủi ro?
Người dùng cuối (End User) là mối đe dọa bảo mật lớn nhất đối với bất kỳ tổ chức nào, và kẻ tấn công xã hội biết rõ điều này. Do đó, họ nghiên cứu kỹ lưỡng về tổ chức, nhân viên, cách vận hành... thông qua mạng xã hội như Facebook, LinkedIn...
Kẻ tấn công biết con người thường không thận trọng khi chia sẻ thông tin trên mạng xã hội, giúp họ thu thập dữ liệu để chế tạo email lừa đảo, gọi điện giả danh cấp trên, cơ quan chức năng hoặc đồng nghiệp để lấy mật khẩu và thông tin nhạy cảm.
Cơ chế hoạt động của Social Engineering
Social engineering - một trong những phương tiện tấn công mạng phổ biến nhất - đang trở nên phổ biến vì tội phạm nhắm vào "điểm yếu nhất trong chuỗi bảo mật".
Người dùng thường bị tấn công theo 2 cách: qua điện thoại hoặc trực tuyến.
Qua điện thoại
Tội phạm giả danh nhân viên, cấp quản lý cao, hoặc cơ quan chức năng để chiếm được sự tin tưởng. Họ thậm chí đặt câu hỏi để xác thực. Khi nạn nhân tin tưởng, họ yêu cầu thông tin đăng nhập, mật khẩu - điều mà nạn nhân cung cấp mà không ngờ vì tin vào người gọi.
Lừa đảo trực tuyến (Phishing)
Kỹ thuật gian lận phổ biến nhất. Nạn nhân chia sẻ thông tin vì tin rằng mình đang truy cập trang web an toàn, uy tín. Cách khác là qua tệp đính kèm độc hại.
Các loại tấn công Social Engineering phổ biến
Tổ chức cần đào tạo nhân viên nhận biết các loại tấn công thường gặp: spear phishing, quid pro quo, baiting, phishing, pretexting, tailgating.
Công ty có thể dùng tường lửa, bộ lọc email, công cụ giám sát mạng... nhưng không giảm được rủi do sai lầm con người. Do đó, nhân viên phải biết các loại tấn công phổ biến và cách xử lý.
1. Spear Phishing
Loại phishing nhắm mục tiêu cụ thể vào một tổ chức hoặc cá nhân. Để tấn công thành công và trông hợp pháp, kẻ tấn công dùng thông tin thu thập từ mạng xã hội hoặc hoạt động trực tuyến của nạn nhân.
2. Quid Pro Quo
Kẻ tấn công yêu cầu thông tin mật đổi lấy thứ gì đó nạn nhân cần. Ví dụ: yêu cầu đăng nhập tài khoản hoặc chia sẻ thông tin cá nhân để nhận quà tặng. Luôn nhớ: nếu điều gì nghe quá tốt để là thật, chắc chắn có vấn đề.
3. Baiting (Đưa mồi)
Kẻ tấn công để USB/CD nhiễm mã độc ở nơi dễ thấy, ai đó nhặt lên cắm vào máy. Ngay lập tức mã độc cài đặt, kẻ tấn công kiểm soát thiết bị.
4. Phishing
Nạn nhân mắc lừa cài mã độc, chia sẻ thông tin cá nhân, tài chính, doanh nghiệp. Kẻ gian gửi thông tin giả mạo nguồn uy tín. Thường khai thác thiên tai, gửi email kêu gọi từ thiện để lừa tiền và thu thập thông tin thanh toán.
5. Pretexting (Tạo kịch bản giả)
Kẻ tấn công tạo tình huống giả để ép nạn nhân cấp quyền truy cập thông tin/bảo mật. Ví dụ: giả danh nhân viên uy tín của tổ chức để lừa tiết lộ mật khẩu.
6. Tailgating (Theo đuổi)
Kỹ thuật tấn công vật lý: người không có quyền theo người có quyền vào khu vực bảo mật để đánh cắp thông tin.
Social engineering là mối đe dọa nghiêm trọng, liên tục. Bước đầu để an toàn: giáo dục nhân viên, làm cho họ nhận thức được các thủ pháp tinh vi.
Cách đào tạo người dùng cuối phòng tránh Social Engineering
- Đào tạo nhận thức bảo mật lặp lại cho nhân viên.
- Chạy chương trình đào tạo bảo mật toàn diện, cập nhật liên tục về mối đe dọa lừa đảo mới.
- Đào tạo cho cả cấp quản lý cao và nhân viên cấp thấp.
- Đảm bảo không ai chia sẻ dữ liệu mật qua điện thoại hoặc email.
- Rà soát quy trình hiện hành định kỳ.
- Email giả danh CEO/cấp trên yêu cầu thông tin tài chính/bí mật phải được coi là "cờ đỏ" - không bao giờ tin.
- Tổ chức 演习 (mock test) kiểm tra nhận thức nhân viên về phishing/social engineering.
- Không bao giờ chia sẻ thông tin đăng nhập, mật khẩu. Người hợp pháp sẽ tự truy cập được mà không cần hỏi bạn.
- Kiểm tra URL thật sự trước khi nhập tên đăng nhập, mật khẩu, thông tin tài khoản.
- Không bao giờ mở/tải tệp đính kèm từ người lạ.
Các vụ tấn công Social Engineering nổi tiếng (thực tế)
- 2016: Democratic National Convention - Spear phishing đánh cắp 150.000 email từ 12 nhân viên chiến dịch Clinton.
- 2016: Bộ Tư pháp Mỹ - Hacker giả danh nhân viên mới, lừa cấp mã truy cập, rò rỉ dữ liệu 20.000 nhân viên FBI và 9.000 DHS.
- 2015: Ubiquiti Networks - Mất 46,7 triệu USD do BEC (Business Email Compromise) - spear phishing giả danh cấp cao yêu cầu chuyển khoản.
- 2014: Sony Pictures Hack
- 2014: Yahoo Hack - 500 triệu tài khoản bị ảnh hưởng, spear phishing nhắm vào nhân viên "bán đặc quyền".
- 2013: Associated Press Twitter, Bit9 Certificate Theft, Target POS, US Dept of Labor Watering Hole
- 2011: RSA SecurID
Kết luận
Bài viết này có thể khiến một số người cảm thấy "quyết định bảo mật kém", nhưng thực tế: không ai an toàn trước social engineering, ngay cả người am hiểu nhất cũng có thể thành nạn nhân. Do đó, hãy coi trọng an ninh trực tuyến và luôn giữ mắt hoài nghi đối với mọi yêu cầu trực tuyến.