Social Engineering là gì? Những loại tấn công Social Engineering phổ biến

Bạn đã từng nhận được một tin nhắn yêu cầu bạn gửi mật khẩu để xác thực điều gì đó, một link lạ trong email,…? Chúng đều có dấu hiệu của lừa đảo và được gọi là Social Engineering. Bạn nên làm điều gì trong tình huống này? Social Engineering là gì? Và những loại tấn công Social Engineering phổ biến sẽ được Tino Group chia sẻ trong bài viết này.

Tìm hiểu về Social Engineering

Social Engineering là gì?

Thông thường, hacker thường tấn công vào hệ thống dựa trên các lỗi hoặc lỗ hổng. Social Engineering cũng là một hình thức tấn công mạng nhưng không nhắm vào lỗ hổng của hệ thống mà nhắm vào con người. Hacker thao túng nạn nhân bằng cách đánh vào tâm lý của họ để lấy các thông tin cá nhân, tài khoản ngân hàng hoặc mã xác thực, OTP,…

Theo cách khác, bạn có thể hiểu Social Engineering là một phương thức “hack người” thay vì hack vào hệ thống hoặc lừa đảo qua mạng.

Hacker thường xây dựng phương án tấn công dựa trên cách mọi người suy nghĩ và hành động. Đặc biệt, những người thiếu hiểu biết về công nghệ sẽ dễ trở thành nạn nhân nhất.

Những người dùng hoặc những nhân viên “nhẹ dạ cả tin” sẽ không/ ít nhận thức được những mối đe dọa và thực hiện theo lời của Hacker. Điều này khiến thiết bị hoặc cả doanh nghiệp sẽ bị tấn công và tổn thất có thể nhiều đến mức không kiểm soát được.

Phương thức tấn công Social Engineering thực hiện như thế nào?

Hầu hết các cuộc tấn công Social Engineering đều dựa trên giao tiếp thực tế giữa hacker (hay cụ thể hơn trong trường hợp này là kẻ tấn công) và nạn nhân. Hacker sẽ có xu hướng thúc đẩy nạn nhân tự thoả hiệp với bạn thân và cung cấp thông tin cho Hacker thay vì tấn công thẳng vào máy tính/ hệ thống.

Trong thực tế, phương pháp tấn công của kẻ thực hiện sẽ đơn giản hơn hoặc vô cùng tinh vi, nhưng đều có điểm chung là: tạo dựng niềm tin sau đó đánh lừa bạn. Quy trình tấn công thường thấy sẽ bao gồm 4 bước:

1. Chuẩn bị: Hacker sẽ thu thập những thông tin cơ bản về nạn nhân hoặc một tổ chức bạn đang tham gia hoặc đang là thành viên.
2. Xâm nhập: xây dựng mối quan hệ, tương tác để xây dựng lòng tin với bạn.
3. Khai thác nạn nhân: khi Hacker có được lòng tin, Hacker sẽ khai thác những thông tin cần thiết hoặc thúc đẩy bạn thực hiện một hành động nào đó cho Hacker.
4. Tấn công và ngắt kết nối: khi bạn đã đáp ứng được những thông tin cần thiết hay thực hiện hành động Hacker mong muốn, Hacker sẽ thực hiện tấn công và ngắt kết nối với bạn.

Những loại Social Engineering phổ biến

Đặc điểm và dấu hiệu của Social Engineering

Những kẻ tấn công bằng Social Engineering sẽ có thể đóng giả những người/ tổ chức đáng tin cậy như: bạn bè, đồng nghiệp, ngân hàng, sếp, cảnh sát nhắn tin cho bạn để thực hiện một số hành vi bất thường.

Những nội dung tấn công vào cảm xúc: Hacker sẽ tấn công dựa trên những cảm xúc như: sợ hãi (nhiễm virus, bị dính vào những vụ án nào đó), giận dữ, buồn hoặc phấn khích (tiền thưởng, những đề nghị “hời”).

Tạo ra những nội dung khẩn cấp! Trình duyệt của bạn đã bị nhiễm virus! Chỉ còn 5 suất nhận 1.000.000$,… Bằng một cách nào đó, người viết bài cũng đã nhận được 1 lá thư tặng 1 triệu đô la cho doanh nghiệp ở Canada!

3 đặc điểm trên có khả năng rất cao là bước đầu của Social Engineering. Ngoài ra, chúng ta còn rất nhiều dấu hiệu bạn có thể quan sát như:

• Một đề nghị quá tốt để thành hiện thực: có rất nhiều nhóm Telegram bán “bí kíp” đăng ký miễn phí các dịch vụ Netflix, Spotify, Azure, Google Cloud, AWS,… “người bán thật thì gần như không có, kẻ lừa đảo thì nhiều”!
• Họ không chứng thực danh tính của họ: những người bạn mượn tiền bạn qua tin nhắn vì một lý do nào đó không thể gọi video hay “show mặt” cho bạn xem,…

Phishing – Lừa đảo

Tino Group chia ra làm 2 nội dung chính bao gồm: Phishing – Lừa đảo và những loại khác. Những loại khác ở đây không phải là những hình thức không phổ biến như Phishing. Nhưng do Phishing có rất nhiều loại nhỏ bên trong nên Tino Group sẽ thực hiện riêng 1 phần cho Phishing – Lừa đảo.

• Vishing: lừa đảo bằng các cuộc điện thoại gọi đến để yêu cầu mã PIN, OTP hoặc thông tin cá nhân của bạn.
• SMishing: phương pháp lừa đảo “truyền thống” bằng tin nhắn
• Angler phishing: lừa đảo bằng cách mạo danh nhân viên của một dịch vụ nào đó.
• URL phishing: những url được đính kèm trong email, tin nhắn,… khi click vào chúng sẽ tải những thứ không mong muốn xuống.
• In-session phishing: tấn công bằng cách yêu cầu bạn đăng nhập tài khoản Facebook, Google,… vào website của Hacker để tiếp tục truy cập nội dung và bạn dính bẫy

Những loại Social Engineering khác

Ngoài ra, Hacker còn có rất nhiều loại tấn công khác như:

• Tấn công ngoài đời thực: những kẻ mạo danh các tổ chức uy tín thâm nhập vào doanh nghiệp để “hỗ trợ kỹ thuật” hoặc nhân viên bị sa thải có “thù oán” với tổ chức có thể quay lại tấn công hệ thống. Trường hợp này rất ít và Tino Group chỉ liệt kê, chúng tôi không nhắm vào bất kỳ tổ chức/ cá nhân nào.
• Baiting: Hacker tấn công bằng cách đưa cho bạn thứ gì đó khiến bạn tò mò và tự thực hiện theo yêu cầu của Hacker như: phần mềm/ cách thức để gian lận một phần mềm nào đó, các phiếu mua hàng, giảm giá,…
• Watering Hole: Hacker sẽ tấn công vào các website có lượng người truy cập lớn và đính kèm những tệp tin độc hại, yêu cầu người dùng tải về khiến thiết bị nhiễm virus, malware,…

Và rất nhiều cách thức tấn công khác như: Worm, Scareware, DNS Spoofing, Quid Pro Quo, Pretexting, Spam phishing, Spear phishing…

Cách phòng chống Social Engineering hiệu quả

Sau khi đã giới thiệu về rất nhiều phương thức tấn công Social Engineering, Tino Group sẽ hướng dẫn bạn một số cách phòng chống Social Engineering và tấn công mạng nói chung một cách hiệu quả. Tuy nhiên, điều quan trọng nhất vẫn là sự chủ động của bạn nhé!

Cách giao tiếp online an toàn

• Không nhấp vào các link lạ ở bất kỳ đâu
• Không chia sẻ quá nhiều thông tin cá nhân
• Thận trọng với những mối quan hệ trên Internet
• Ghi nhớ những dấu hiệu, đặc điểm của Social Engineering để phòng tránh

Cách bảo vệ tài khoản của bạn

• Đặt mật khẩu mạnh có: chữ in hoa, in thường, số và ký tự đặc biệt
• Sử dụng xác thực 2 yếu tố
• Không cung cấp OTP cho bất kỳ ai
• Sử dụng VPN
• Cài đặt bộ lọc SMS, email spam

Cách bảo vệ thiết bị của bạn

• Hãy thận trọng khi cho người khác mượn thiết bị của bạn
• Sử dụng các phần mềm diệt virus
• Thường xuyên cập nhật các bản vá của Windows, thường sẽ là các bản vá bảo mật dù chúng sẽ là con dao 2 lưỡi khiến thiết bị của bạn hoạt động không đúng.

Đến đây, chúng ta đã tìm hiểu về Social Engineering là gì, những tác hại và những loại Social Engineering phổ biến; cũng như cách để phòng tránh Social Engineering hiệu quả nhất rồi đấy! Tino Group hi vọng rằng, những kiến thức này sẽ giúp bạn có thể an toàn hơn trên mạng Internet. Tuy nhiên, bạn vẫn nên cảnh giác với bất kỳ hành vi kỳ lạ nào (Tino Group không thể giải thích bao hàm những hành vi kỳ lạ được). Nhưng chúc bạn luôn an toàn trên Internet.

Nội dung của bài viết tham khảo từ những chuyên gia hàng đầu của lĩnh vực an ninh mạng tại: Norton, Kaspersky.

Những câu hỏi thường gặp về Social Engineering