Phishing là một loại tấn công trực tuyến trong đó tác nhân gây hại đóng giả là một tổ chức hoặc công ty uy tín để lừa đảo người dùng và thu thập thông tin nhạy cảm của họ – chẳng hạn thông tin thẻ tín dụng, tên đăng nhập, mật khẩu v.v. Do phishing hoạt động dựa trên sự thao túng tâm lý và sai lầm của người dùng (thay vì dựa trên lỗi ở phần cứng hoặc phần mềm) nên nó được coi là một dạng tấn công social engineering (phương pháp phi kỹ thuật đột nhập vào hệ thống hoặc mạng công ty).
Thông thường, các cuộc tấn công phishing sử dụng email giả mạo để thuyết phục người dùng nhập các thông tin nhạy cảm vào trang web giả mạo. Thông thường đó là những email yêu cầu người dùng đặt lại mật khẩu của mình hoặc xác nhận thông tin thẻ tín dụng, và sau đó đưa họ đến một trang web giả mạo trông rất giống trang web thật. Có ba hình thức phishing chính gồm clone phishing, spear phishing, và pharming.
Các cuộc tấn công phishing đang ngày càng trở nên phổ biến trong hệ sinh thái tiền điện tử, trong đó các tác nhân gây hại cố gắng ăn cắp Bitcoin hoặc các loại tiền điện tử khác của người dùng. Ví dụ, kẻ tấn công có thể làm điều này bằng cách xây dựng một trang web giả giống hệt trang web thật và đổi địa chỉ ví thành địa chỉ ví của hắn, khiến người dùng tưởng rằng họ đang thanh toán cho một dịch vụ hợp pháp trong khi thực ra tiền của họ đang bị đánh cắp.
Có những loại phishing nào?
Có nhiều loại phishing khác nhau và các loại này thường được phân loại theo đối tượng và hướng tấn công. Dưới đây là một số ví dụ thường gặp.
- Clone phishing: kẻ tấn công sử dụng một email thật đã được gửi trước đó và sao chép vào một email tương tự có chứa đường dẫn đến một trang giả mạo. Kẻ tấn công sau đó sẽ thông báo đây là một đường dẫn mới hoặc cập nhật, có thể nói rằng đường dẫn cũ đã hết hạn.
- Spear phishing: loại hình tấn công trực tuyến này nhằm vào một người hoặc tổ chức (thường là một người nổi tiếng), bằng cách thu thập và sử dụng các thông tin có thể nhận dạng được, chẳng hạn tên của một người họ hàng hoặc người bạn thân.
- Pharming: kẻ tấn công làm hỏng một bản ghi DNS, trong đó sẽ chuyển hướng khách truy cập từ một trang web hợp pháp đến trang web giả mạo mà kẻ tấn công đã xây dựng lên từ trước. Đây là loại tấn công nguy hiểm nhất vì các bản ghi DNS không nằm trong sự kiểm soát của người dùng, bởi vậy người dùng không có biện pháp nào để phòng vệ.
- Whaling: một hình thức spear phishing hướng vào những người giàu có và quan trọng, chẳng hạn các CEO và các quan chức chính phủ.
- Email Spoofing: Email lừa đảo thường giả mạo thông tin liên lạc từ các công ty hoặc nhân thân hợp pháp. Trong email lừa đảo, các đường link tới các trang web độc hại được hiển thị cho nạn nhân, nơi mà những kẻ tấn công sẽ thu thập thông tin xác thực đăng nhập và PII bằng cách sử dụng các trang đăng nhập được ngụy trang khéo léo. Trang độc hại có thể chứa trojan, keylogger và các tập lệnh độc hại khác nhằm ăn cắp thông tin cá nhân.
- Website Redirects: Website Redirects (điều hướng trang web) điều hướng người dùng đi đến các URL khác không đúng như ý định truy cập của người dùng. Bằng cách khai thác lỗ hổng, kẻ tấn công có thể chèn các redirect và cài đặt phần mềm độc hại lên máy tính của người dùng.
- Typosquatting: Typosquatting điều hướng truy cập đến các trang web giả mạo có tên miền là tiếng nước ngoài, có những lỗi chính tả phổ biến hoặc có các biến thể nhỏ trong tên miền cấp cao nhất. Kẻ tấn công sử dụng các miền để bắt chước giao diện của trang web hợp pháp, lợi dụng việc việc nhập sai hoặc đọc sai URL của người dùng.
- The ‘Watering Hole’: Với tấn công Watering hole, kẻ tấn công nghiên cứu hồ sơ của người dùng và xác định các trang web mà họ thường xuyên truy cập. Kẻ tấn công quét các trang web này để tìm ra các lỗ hổng bảo mật và, nếu có thể, sẽ chèn các tập lệnh độc hại được thiết kế để nhắm vào người dùng trong lần truy cập tiếp theo vào trang web đó.
- Impersonation & Giveaways: Mạo danh các nhân vật có ảnh hưởng trên truyền thông xã hội là một kỹ thuật khác được sử dụng để lừa đảo. Những kẻ lừa đảo có thể mạo danh các lãnh đạo chủ chốt của các công ty và, bằng sự ảnh hưởng của mình, những kẻ này có thể quảng cáo việc trao thưởng hoặc tham gia vào các hành vi lừa đảo khác. Nạn nhân của thủ đoạn này thậm chí có thể bị kẻ lừa đảo nhắm đến bằng cách áp dụng phương pháp tấn công phi kỹ thuật nhằm tìm ra những người dùng cả tin. Kẻ lừa đảo có thể đánh cắp tài khoản đã được xác minh và sửa đổi tên người dùng để mạo danh một nhân vật thật trong khi vẫn duy trì được trạng thái đã được xác minh. Nạn nhân có nhiều khả năng tương tác và cung cấp PII cho các nhân vật có vẻ như có tầm ảnh hưởng này, tạo cơ hội cho những kẻ lừa đảo khai thác thông tin của họ.
Gần đây, những kẻ lừa đảo đang nhắm mạnh đến các nền tảng như Slack, Discord và Telegram cho các mục đích giống nhau, trò chuyện giả mạo, mạo danh cá nhân và bắt chước các dịch vụ hợp pháp.
- Advertisements: Quảng cáo trả tiền là một chiến thuật khác được sử dụng để lừa đảo. Những quảng cáo giả mạo này sử dụng các tên miền mà những kẻ tấn công áp dụng chiêu trò typosquatting và trả tiền để tên miền của chúng được đẩy lên trên trong kết quả tìm kiếm. Các trang này thậm chí có thể xuất hiện dưới dạng kết quả tìm kiếm hàng đầu khi tiến hành tìm kiếm các công ty hoặc dịch vụ hợp pháp, chẳng hạn như Binance. Các trang này thường được sử dụng như một phương tiện để lừa đảo lấy thông tin nhạy cảm, có thể bao gồm thông tin xác thực đăng nhập cho tài khoản giao dịch của bạn.
- Malicious Applications: Những kẻ lừa đảo cũng có thể sử dụng các ứng dụng độc hại làm vectơ để chèn phần mềm độc hại nhằm giám sát hành vi của bạn hoặc đánh cắp thông tin nhạy cảm. Các ứng dụng này có thể là trình theo dõi giá, ví tiền và các công cụ liên quan đến tiền điện tử khác (các ứng dụng lừa đảo này bố trí sẵn một lượng người dùng nhằm dẫn dắt nạn nhân trong việc giao dịch tiền điện tử).
- Text and Voice Phishing: Lừa đảo bằng tin SMS, bằng tin nhắn và bằng giọng nói là các phương tiện khác để kẻ tấn công tìm cách lấy thông tin cá nhân.
Phishing và Pharming
Mặc dù một số người coi pharming là một loại tấn công phishing, nhưng nó dựa trên một cơ chế khác. Sự khác biệt chính giữa phishing và pharming là, phishing cần nạn nhân phải mắc một sai lầm, trong khi pharming chỉ cần nạn nhân cố gắng tiếp cận một trang web hợp pháp mà kẻ tấn công đã khống chế được bản ghi DNS của nó.
Làm thế nào để đề phòng phishing?
- Hãy cảnh giác: cách tốt nhất để tránh trở thành nạn nhân của phishing là hãy tư duy có phê phán về những email bạn nhận được. Bạn có đang chờ một email từ ai đó về chủ đề này không? Bạn có nghi ngờ rằng thông tin mà người gửi đang cố gắng khai thác không có liên quan gì đến họ? Nếu có bất kỳ nghi ngờ gì, hãy cố gắng liên hệ với người gửi qua một phương thức khác.
- Kiểm tra nội dung: bạn có thể nhập một phần nội dung (hoặc địa chỉ email của người gửi) vào một công cụ tìm kiếm để kiểm tra liệu có bất kỳ ghi chép nào về cuộc tấn công phishing nào đã từng sử dụng phương pháp đó.
- Thử các cách thức khác: Nếu email mà bạn nhận được có vẻ là một yêu cầu hợp lý yêu cầu bạn xác nhận các thông tin đăng nhập vào một tài khoản ở một tổ chức quen thuộc của bạn, hãy thử xác nhận bằng các cách khác thay vì bấm vào đường dẫn trong email.
- Kiểm tra liên kết URL: trỏ chuột lên đường dẫn nhưng không bấm vào liên kết để kiểm tra liệu nó có bắt đầu bằng HTTPS chứ không phải HTTP. Tuy nhiên, hãy nhớ chỉ riêng thông tin này không thể đảm bảo trang web đó là trang web hợp pháp.
- Không chia sẻ khóa cá nhân của bạn: không bao giờ cung cấp khóa cá nhân để truy cập vào ví Bitcoin của bạn, và hãy tỉnh táo để đưa ra quyết định liệu sản phẩm mà người bán mà bạn định thanh toán tiền điện tử có hợp pháp hay không. Điểm khác biệt giữa giao dịch bằng tiền điện tử và giao dịch bằng thẻ tín dụng là không có một cơ quan có thẩm quyền nào để bạn có thể khiếu nại nếu bạn không nhận được hàng hóa hoặc dịch vụ đã thỏa thuận. Bởi vậy bạn phải đặc biệt cẩn thận khi thực hiện các giao dịch tiền điện tử.
Kết luận
Phishing là một trong những kỹ thuật tấn công trực tuyến phổ biến nhất. Mặc dù các công cụ lọc email của các dịch vụ email phổ biến khá hiệu quả trong việc lọc các thư giả mạo, người dùng vẫn cần cẩn thận và thực hiện các biện pháp để bảo vệ các thông tin của bản thân. Hãy cẩn thận với những email yêu cầu các thông tin nhạy cảm hoặc riêng tư của bạn. Nếu có thể, hãy luôn tìm một phương thức liên lạc khác để có thể xác nhận người gửi và yêu cầu đó là hợp pháp. Đừng bấm vào các liên kết trong email về các trường hợp bảo mật và hãy tự điều hướng đến trang web bằng trình duyệt của mình, đồng thời kiểm tra các đường dẫn URL có bắt đầu bằng giao thức HTTPS hay không. Cuối cùng, hãy đặc biệt cẩn trọng về các giao dịch tiền điện tử vì không có cách thức nào có thể đảo ngược chúng, nếu người bán không thực hiện phần việc của mình trong giao dịch. Hãy luôn bảo mật các mã khóa cá nhân và mật khẩu của bạn và đừng bao giờ quá tin tưởng vào điều gì đó.
