Kỹ thuật tấn công Social Engineering ngày càng trở nên phổ biến và là điều không có gì mới mẻ ngày nay. Tuy nhiên, bạn đã nắm rõ những vấn đề cơ bản xung quanh Social Engineering để có thể chống lại được những trò lừa đảo hết sức đơn giản hay chưa?
1. Social Engineering là gì?
Social engineering là một phương pháp phi kỹ thuật. Nội dung của phương pháp này là đột nhập vào hệ thống hoặc mạng của công ty, tổ chức hoặc doanh nghiệp. Cụ thể hơn, đây là quá trình đánh lừa người dùng của hệ thống bằng cách thuyết phục họ cung cấp thông tin có giá trị nhằm giúp chúng ta đánh bại bộ phận an ninh. Vì tính nguy hiểm của hình thức tấn công này, mà việc phải tìm hiểu về Social engineering rất quan trọng, hacker lợi dụng tấn công vào chính yếu tố con người là yếu tố quan trọng nhất. Từ đó phá vỡ hệ thống kỹ thuật an ninh hiện tại. Phương pháp này có thể sử dụng để thu thập thông tin trước hoặc trong cuộc tấn công.
Social engineer ưu tiên tiến hành khai thác các thói quen tự nhiên của người dùng hơn là tìm kiếm các lỗ hổng bảo mật của hệ thống. Điều này đồng nghĩa với việc người dùng với kiến thức bảo mật càng kém sẽ tạo điều kiện cho kĩ thuật tấn công này.
2. Ví dụ về Social Engineering
Vụ dụ 1: Nghe trộm
Nam là người đứng giữa giữa A và B. Nam nghi ngờ A và B có chuyện gì đó giấu mình, do đó Nam đã tiến hành tấn công nghe trộm cuộc hội thoại giữa hai người. Phương pháp tấn công nghe trộm dựa trên yếu tố con người có thể thực hiện hành động qua điện thoại và email.
Ví dụ 2: Pop-up Windows
Đã bao giờ bạn thấy các cửa sổ Pop-up trong máy tính, thiết bị của mình chưa? Hãy cẩn thận và đừng click vội vào Pop-up đó, vì rất có thể bạn bạn sẽ trở thành nạn nhân bị Hacker tấn công. Bởi lẽ, sau khi bạn Click vào đường dẫn, link đó sẽ dẫn tới 1 website khác của hacker, sau đó hacker yêu cầu người dùng đăng nhập đầy đủ thông tin hoặc tải phần phần mềm chứa mã độc về máy.
Ví dụ 3: Tấn công Email Phishing
Đã có khá nhiều người bị tấn công Social Engineering bởi hình thức này. Những kẻ tấn công thường gửi email rác, email mạo danh người thân, quảng cáo trúng thưởng. Sau đó, kẻ tấn công sẽ yêu cầu nạn nhân nhấp vào liên kết hoặc tệp đính kèm để điền thông tin về cá nhân, số tài khoản ngân hàng, địa chỉ…
3. Hai loại hình tấn công Social Engineering
Tấn công dựa trên yếu tố con người
Dựa trên yếu tố con người, hacker có thể tấn công nạn nhân trực tiếp bằng những loại như:
Mạo danh: Tin tặc có thể đóng giả là nhân viên chính thức của một tổ chức và có quyền truy cập tới hệ thống mạng, đánh cắp dữ liệu thông tin quan trọng. Những người này thường mặc đồng phục và làm thẻ giả của công ty, sau đó trà trộn vào nội bộ để thu thập hoặc ăn cắp thông tin.
Lục thùng rác: Kẻ xấu có thể vào phòng giám đốc kiểm tra thùng rác để tìm những bản nháp, giấy tờ, hoặc bản in quan trọng. Vì vậy, nếu bạn là giám đốc cần hết sức cẩn thận về việc bảo mật dữ liệu, thông tin.
Đóng vai là người dùng cuối: Với kiểu tấn công Social Engineering này, tin tặc sẽ tự nhận mình là người dùng hợp pháp, sau đó gọi điện cho đối tượng với nội dung “Xin chào! Tôi là X ở phòng ban Y. Tôi không nhớ mật khẩu, anh có thể đọc mật khẩu giúp tôi không?”
Tấn công dựa vào yếu tố kỹ thuật
Một số kiểu tấn công bằng phương pháp này mà bạn hay gặp và khá phổ biến như sau:
Popup – Windows: thường có cửa số xuất hiện trên màn hình, người dùng click vào Popup đó sẽ bị chuyển đến trang web của tin tặc. Sau đó, tin tặc sẽ yêu cầu bạn đăng nhập thông tin hoặc tải phền mềm chứa mã độc về máy.
Tấn công Phishing
Mạo danh website
4. Ảnh hưởng to lớn của Social Engineering
Tấn công Social Engineering sẽ xảy ra trên mọi doanh nghiệp và tổ chức với mọi quy mô, với mọi mức độ thiệt hại khác nhau. Những thiệt hại tiêu biểu có thể kể tới như sau:
Mất thông tin, dữ liệu
Một cuộc tấn công Social Engineering có thể làm mất thông tin dữ liệu, đồng thời cũng có thể khiến tổ chức bị thất thoát tài chính bởi dữ liệu chính là tiền.
Đánh mất niềm tin của công chúng
Khi doanh nghiệp bị Social Engineering tấn công, rất có thể niềm tin khách hàng, người tiêu dùng và đối tác của DN sẽ bị ảnh hưởng.
Mất quyền riêng tư
Tin tặc có thể thực hiện cuộc tấn công, sau đó lấy cắp thông tin cá nhân, đánh cắp tài liệu mật riêng tư.
Tạm ngừng hoạt động
Nếu Hacker tấn công mạnh vào máy chủ website hoặc máy chủ hệ thống mạng, rất có thể chúng sẽ đánh sập hệ thống. Vì thế mà website của công ty, tổ chức có thể bị treo (tạm ngừng hoạt động dịch vụ).
5. Cách phòng chống tấn công Social Engineering
Cách phòng chống cho cá nhân
Cá nhân cần hết sức cảnh giác với hình thức lừa đảo qua email, không click vào các đường dẫn lạ, không chat với người lạ, cảnh giác các tin nhắn giả đóng vai là người thân…
Cách phòng chống cho doanh nghiệp, tổ chức
Các chuyên gia bảo mật khuyến cáo các tổ chức, doanh nghiệp nên tiến hành các giải pháp phòng chống, chú ý đến an ninh mạng và bảo mật thông tin hơn nữa:
- Phân chia tài khoản, quyền và trách nhiệm rõ ràng đối với các tài khoản mạng xã hội, website, hệ thống.
- Tránh sử dụng một mật khẩu cho nhiều tài khoản khác nhau nhằm tránh nguy cơ lộ lọt thông tin.
- Hạn chế đăng những thông tin cá nhân, công ty, doanh nghiệp lên mạng xã hội để tránh kẻ xấu mạo danh.
- Giáo dục nhân viên kiến thức về Social Engineering, bảo mật, an toàn mạng.