Tìm hiểu Social Engineering là gì? Hoạt động ra sao? Cách ngăn chặn hiệu quả

Đồng hành cùng với sự phát triển ngày càng thông minh của thiết bị và công nghệ, các công cụ dùng để tấn công và khai thác lỗ hổng bảo mật của người dùng cũng ngày càng được cải tiến và mánh khóe của chúng càng khó nhận ra hơn. Bài viết này sẽ giới thiệu Social Engineering là gì và cách phòng ngừa và bảo vệ máy tính.

1. Social Engineering là gì?

Được ghép từ Social (xã hội, cộng đồng) và Engineering (kỹ thuật, mánh khóe), Social Engineering được hiểu là một cuộc tấn công phi kỹ thuật nhầm sử dụng các mánh khóe nhắm vào bản tính xã hội của con người.

Khai thác điểm yếu của con người luôn dễ dàng hơn việc tìm ra lỗ hổng bảo mật của mạng hoặc phần mềm. Do đó, tin tặc sẽ tìm cách xây dựng mối quan hệ tin tưởng có chủ đích với nạn nhân và thường che giấu đi danh tính thật hoặc mục đích cuối cùng của mình, làm cho đối phương mất cảnh giác, rồi từ đó dễ dàng xâm nhập vào cơ sở dữ liệu hoặc thông tin cá nhân của nạn nhân.

2. Social Engineering hoạt động ra sao?

Nhìn chung, mỗi cuộc tấn công Social Engineering thường gồm ba giai đoạn:

2.1. Khai thác thông tin, phân tích hành vi

Bước đầu, các tin tặc sẽ thực hiện nghiên cứu và khảo sát về mục tiêu.

Ví dụ:

– Nếu mục tiêu tấn công là doanh nghiệp, chúng sẽ khai thác tình hình kinh doanh, tìm hiểu sơ lược về bộ máy nhân sự doanh nghiệp và chú trọng tấn công vào những mắt xích yếu nhất.

– Nếu mục tiêu tấn công là cá nhân, chúng sẽ phải xác định cách xây dựng mối quan hệ như thế nào, đâu là những người người đó tin tưởng, muốn khai thác thông tin gì (số điện thoại, địa chỉ, mật khẩu, tài khoản ngân hàng,…) từ người đó.

2.2. Xây dựng công cụ

Sau đó, tùy mục tiêu tấn công, hacker sẽ sử dụng công cụ phù hợp.

Ví dụ: Một số điện thoại đã được đăng kí tên hiển thị là ngân hàng mà người dùng sử dụng, một tài khoản Facebook giả danh người thân của người bị tấn công,…

2.3. Tấn công

Sau khi đã thành công xây dựng niềm tin, hacker sẽ tiến hành đánh cắp các thông tin quan trọng của bạn mà chúng đã xác định ngay từ bước 1. Đó có thể chỉ là một khoản tiền nhỏ, hoặc nặng nề hơn là tất cả hồ sơ thông tin cá nhân của người dùng.

3. Các loại tấn công Social Engineering phổ biến

– Baiting: Là hình thức mà kẻ tấn công lừa người dùng mở một USB trên máy tính cá nhân có chứa mã độc.

– Phising: Kẻ tấn công tạo ra một email lừa đảo được cải trang thành một email hợp pháp của tổ chức uy tín (ngân hàng, trường học, mạng xã hội,…) để lừa người dùng thực hiện hành động tiết lộ thông tin (thông tin tài khoản, thông tin tài chính, thực hiện chuyển tiền,…).

– Pigggybacking: Kẻ tấn công giả danh làm một nhân viên và lừa người có thẩm quyền đột nhập vào công ty. Qua đó, chúng có đủ thời gian để khai thác các thông tin quan trọng cần thiết hoặc thiết lập thiết bị vào hệ thống để tiếp tục theo dõi và thực hiện âm mưu tấn công của mình.

– Vishing: Là hình thức lừa đảo thông qua điện thoại. Trong đó, kẻ tấn công đóng giả làm một thực thể uy tín để chiếm đoạt lòng tin (công an, nhân viên ngân hàng,…).

– Scareware: Các trang pop-up chứa thông tin lừa đảo hiện lên để kích thích nạn nhân bấm vào cửa sổ, đổi hướng trang web hoặc tải các phần mềm có chứa mã độc.

4. Những rủi ro phải đối mặt khi bị tấn công Social Engineering

– Mất niềm tin xã hội: Đối với tổ chức, các doanh nghiệp bị mạo danh sẽ khiến cho khách hàng ngày càng cảnh giác; Đối với cá nhân bị mạo danh, bạn mất uy tín, có thể nhận được cái nhìn “ái ngại” mỗi khi nhờ người khác giúp mình việc gì đó.

– Mất thông tin: Không chỉ là những thông tin dữ liệu cá nhân (số tài khoản, thẻ ngân hàng, mật khẩu tài khoản,…), Social Engineering thậm chí còn có thể làm lộ những hình ảnh nhạy cảm, riêng tư của bạn hoặc nặng hơn là tiết lộ thông tin kinh doanh, gây ảnh hưởng đến cả bộ máy doanh nghiệp.

– Thất thoát tài chính: Giống như “mỡ treo miệng mèo” các hacker không thể bỏ qua món quà béo bở là khoản tiền trong tài khoản ngân hàng của cá nhân/doanh nghiệp.

– Hoạt động kinh doanh bị ảnh hưởng: Nếu đó là cuộc tấn công quy mô lớn, rất có thể hệ thống mạng của cá nhân/tổ chức sẽ bị đánh sập. Việc này khiến cho dữ liệu bị mất, sai sót hoặc bị lộ, ảnh hưởng trầm trọng đến tình hình kinh doanh.

Có rất nhiều rủi ro khi bị tấn công bởi Social Engineering

5. Làm sao để bảo vệ bản thân trước tấn công Social Engineering?

5.1. Đối với cá nhân

– Trang bị tin tức, cập nhật những thông tin cần thiết về an ninh và xu hướng tấn công mạng hiện nay.

– Đảm bảo sự khác nhau của mật khẩu giữa các tài khoản, lưu danh sách đó ở nơi an toàn, tin cậy.

– Luôn nghi ngờ bất kỳ ứng dụng, trang web nào yêu cầu quyền truy cập cá nhân mà không rõ nguồn gốc.

– Kiểm tra kỹ càng, toàn diện với những thông tin yêu cầu xác minh tài khoản, mật khẩu, tài khoản ngân hàng.

​Cần cảnh giác với các liên hệ nghi ngờ là Social Engineering

5.2. Đối với tổ chức

– Trang bị hệ thống bảo mật: Camera giám sát, phần mềm diệt virus, đăng nhập và phê duyệt nhiều lớp, cảnh báo trang web nguy hiểm, phần mềm chặn pop-up, bộ lọc spam,…

– Cập nhật hệ thống và vá các lỗ hổng an ninh thường xuyên.

– Phân chia tài khoản, quyền hạn và trách nhiệm rõ ràng đối với các tài khoản của tổ chức có phân quyền cho nhân viên.

– Training nhân viên về an toàn mạng và bảo mật thông tin hệ thống.

Xem thêm