Phishing là gì?
Phishing là gì? Đây là quá trình cố gắng lấy thông tin nhạy cảm như tên người dùng, mật khẩu và chi tiết thẻ tín dụng bằng cách giả mạo là một người đáng tin cậy bằng cách sử dụng email hàng loạt để cố gắng trốn tránh các bộ lọc thư rác.
Trong email, các tội phạm mạng tự xưng là thành viên từ các trang web xã hội phổ biến, ngân hàng, trang đấu giá hoặc quản trị viên công nghệ thông tin (CNTT) là những danh xưng thu hút công chúng không nghi ngờ. Đó là một dạng kỹ thuật xã hội lừa đảo về mặt hình sự.
Phishing là một dạng kỹ thuật xã hội lừa đảo về mặt hình sự[/caption]
10 kỹ thuật phishing được tội phạm mạng sử dụng hàng đầu
Spear Phishing
Đây là hình thức lừa đảo chuyên nghiệp. Các chiến dịch phishing thông thường gửi hàng loạt email đến càng nhiều người càng tốt, nhưng spear phishing được nhắm mục tiêu rõ ràng hơn. Tin tặc lựa chọn mục tiêu là cá nhân hoặc tổ chức cụ thể mà chúng muốn xâm nhập và sau đó truy tìm những thông tin có giá trị hơn là thông tin về thẻ tín dụng như thông thường. Chúng nghiên cứu về mục tiêu để làm cho cuộc tấn công được cá nhân hóa và tăng cơ hội thành công.
Email / Spam
Đây là kỹ thuật phishing phổ biến nhất, cùng một email sẽ được gửi đến hàng loạt người dùng với yêu cầu điền thông tin cá nhân. Những thông tin này sẽ được kẻ lừa đảo sử dụng cho các hoạt động bất hợp pháp của họ. Hầu hết các tin nhắn đều có ghi chú khẩn cấp yêu cầu người dùng nhập thông tin để cập nhật thông tin tài khoản, thay đổi mật khẩu hoặc xác minh tài khoản. Đôi khi, họ có thể được yêu cầu điền vào biểu mẫu để truy cập một dịch vụ mới thông qua một liên kết được cung cấp trong email.
Phishing qua công cụ tìm kiếm
Một số trò gian lận lừa đảo liên quan đến các công cụ tìm kiếm nơi người dùng được chuyển hướng đến các trang web lừa đảo có thể cung cấp các sản phẩm hoặc dịch vụ chi phí thấp. Khi người dùng cố gắng mua sản phẩm bằng cách nhập chi tiết thẻ tín dụng, trang web lừa đảo sẽ thu thập thông tin đó. Có rất nhiều trang web ngân hàng giả mạo cung cấp thẻ tín dụng hoặc khoản vay cho người dùng với tỷ lệ thấp nhưng chúng thực sự là các trang web lừa đảo.
Vishing (Lừa đảo bằng giọng nói)
Trong lừa đảo bằng giọng nói, kẻ lừa đảo gọi điện thoại đến người dùng và yêu cầu người dùng quay số. Mục đích lấy thông tin cá nhân tài khoản ngân hàng qua điện thoại. Vishing chủ yếu được thực hiện với ID người gọi giả mạo.
Đánh tráo (Lừa đảo qua SMS)
Lừa đảo được thực hiện thông qua dịch vụ nhắn tin văn bản dựa trên điện thoại. Ví dụ: một văn bản mang tính chất bôi nhọ cố gắng lôi kéo nạn nhân tiết lộ thông tin cá nhân thông qua một liên kết dẫn đến một trang web lừa đảo.
Quảng cáo độc hại
Quảng cáo độc hại có chứa các nút kêu gọi hành động (Call to Action) được thiết kế để tải xuống phần mềm độc hại hoặc tải nội dung không mong muốn vào máy tính của bạn. Tài liệu trong Adobe PDF và Flash là những kiểu phổ biến nhất được sử dụng trong các quảng cáo độc hại.
Ransomware
Ransomware là phần mềm độc hại được cài đặt trên máy trạm của người dùng để họ bị lừa khi nhấp vào liên kết, mở tệp đính kèm hoặc nhấp vào quảng cáo độc hại. Ransomware từ chối quyền truy cập vào thiết bị hoặc các tệp của bạn cho đến khi một khoản tiền chuộc được trả cho chúng.
Đọc thêm: Ransomware là gì? Những điều cần biết về Ransomware – MI2
Giả mạo trang web
Các trang web giả mạo được xây dựng bởi tin tặc để trông giống hệt như các trang web hợp pháp. Mục đích của việc giả mạo trang web là khiến người dùng nhập thông tin và sử dụng thông tin ấy để lừa đảo hoặc khởi động các cuộc tấn công tiếp theo nhằm vào nạn nhân.
Giả mạo tên miền
Một ví dụ là lừa đảo CEO và các cuộc tấn công tương tự. Nạn nhân nhận được một email có vẻ như nó đến từ sếp hoặc đồng nghiệp, trong đó kẻ tấn công yêu cầu những thứ như thông tin mật hoặc chuyển tiền. KnowBe4 – được phân phối bởi Mi2 có một thử nghiệm giả mạo tên miền miễn phí dành cho doanh nghiệp để xem liệu các thành viên của tổ chức bạn có dễ bị tấn công bởi kỹ thuật này hay không.
Wi-Fi độc hại
Tin tặc thiết lập mạng wi-fi của riêng chúng. Chúng sẽ sử dụng một cái tên phổ biến như các wifi ở nhiều nơi công cộng. Nếu bạn không chú ý và truy cập vào mạng do tin tặc kiểm soát, chúng có thể chặn bất kỳ thông tin nào bạn có thể nhập trong phiên của mình, chẳng hạn như dữ liệu ngân hàng.
Làm thế nào để ngăn chặn các cuộc tấn công dành cho doanh nghiệp?
Cybercrime is an industry with significant technical expertise, extensive funding, and a rich target environment.
Tội phạm mạng là một ngành có chuyên môn kỹ thuật cao, tài trợ rộng rãi và môi trường mục tiêu phong phú. Mỗi tổ chức, doanh nghiệp cần có những biện pháp để phòng chống và ngăn chặn triệt để các cuộc tấn công an ninh mạng gây thiệt hại cho tổ chức, doanh nghiệp.
Hiểu những rủi ro bạn phải đối mặt
Chúng ta phải đối mặt với các mối đe dọa không chỉ từ các cuộc tấn công lừa đảo, mà còn là một loạt các mối đe dọa ngày càng tăng trên tất cả các hệ thống liên kết và hợp nhất, các thiết bị cá nhân mà nhân viên doanh nghiệp sử dụng.
Luôn cập nhật hệ thống, phần mềm
Các lỗ hổng ứng dụng, hệ điều hành và hệ thống có thể cho phép tội phạm mạng xâm nhập thành công hệ thống phòng thủ của công ty. Mọi ứng dụng và hệ thống phải được kiểm tra các lỗ hổng bảo mật và cập nhật các bản vá mới nhất từ các nhà cung cấp.
Đảm bảo bạn có các bản sao lưu tốt và gần đây
Một phương pháp hữu ích để khôi phục sau cuộc tấn công ransomware là khôi phục từ một bản sao lưu, được thực hiện càng gần thời điểm trước khi sự lây nhiễm xảy ra càng tốt.
Triển khai các phương pháp hay nhất cho hành vi của nhân viên tại tổ chức/doanh nghiệp
Tiếp theo, thực hiện nhiều phương pháp khác nhau để giải quyết bất kỳ lỗ hổng bảo mật nào có thể tồn tại trong tổ chức. Ví dụ:
- Nhân viên nên sử dụng mật khẩu tương ứng với độ nhạy cảm và rủi ro liên quan đến tài sản dữ liệu của công ty mà họ đang truy cập. Các mật khẩu này phải được thay đổi theo lịch trình có hiệu lực dưới sự chỉ đạo của CNTT.
- Triển khai một chương trình đào tạo nâng cao nhận thức về bảo mật mạnh mẽ sẽ giúp người dùng đánh giá tốt hơn về nội dung họ nhận được qua email, những gì họ xem hoặc nhấp vào trên phương tiện truyền thông xã hội, cách họ truy cập Web, v.v. Mục tiêu của đào tạo nâng cao nhận thức về bảo mật là giúp người dùng cẩn thận hơn về những gì họ xem, những gì họ mở và các liên kết mà họ nhấp vào. Mặc dù bản thân việc đào tạo nâng cao nhận thức về bảo mật sẽ không giải quyết hoàn toàn các vấn đề liên quan đến bảo mật của tổ chức, nhưng nó sẽ tăng cường khả năng cho người dùng – tuyến phòng thủ cuối cùng trong bất kỳ cơ sở hạ tầng an ninh nào – nhận thức rõ hơn về các vấn đề bảo mật và ít có khả năng phản ứng với những nỗ lực lừa đảo.
- Thường xuyên gửi email lừa đảo mô phỏng cho nhân viên để củng cố đào tạo nâng cao nhận thức về bảo mật của họ và để đảm bảo họ luôn quan tâm đến vấn đề bảo mật.
- Nhân viên nên được nhắc nhở liên tục về sự nguy hiểm của việc chia sẻ quá nhiều nội dung trên mạng xã hội. Bạn bè của nhân viên có thể quan tâm đến bữa sáng, kỳ nghỉ hoặc chuyến thăm nhà hàng mới nhất được đăng trên phương tiện truyền thông xã hội – nhưng thông tin này có thể cung cấp cho tội phạm mạng thông tin mà chúng cần để tạo ra một email lừa đảo.
- Đảm bảo rằng mọi nhân viên duy trì khả năng phòng thủ chống phần mềm độc hại mạnh mẽ trên nền tảng được quản lý cá nhân của họ nếu có bất kỳ khả năng nào mà các thiết bị do nhân viên này sở hữu sẽ truy cập vào tài nguyên của công ty.
- Thử Phishing doanh nghiệp của bạn và xem kết quả – Tại sao không?
Phishing chính nhân viên của bạn và đào tạo họ thông qua chương trình đào tạo nâng cao nhận thức về bảo mật là một trong những cách tốt nhất để bảo vệ doanh nghiệp khỏi các cuộc tấn công.
4 bước cơ bản để thực hiện phishing với chiến dịch của KnowBe4:
- Kiểm tra bất ngờ bằng một kiểu phishing cơ bản để đánh giá tỷ lệ phần trăm dễ bị tấn công của nhân viên trước khi đào tạo họ để đo lường mức độ thành công trong tương lai.
- Bắt đầu đào tạo nhân viên của bạn theo chương trình có sẵn của KnowBe4, tương tác và truyền thông về chiến dịch hấp dẫn để họ thực sự nhận được thông điệp.
- Phish doanh nghiệp của bạn ít nhất mỗi tháng một lần để củng cố quá trình đào tạo và tiếp tục quá trình học tập.
- Xem kết quả cho cả quá trình đào tạo đến khi nhận được gần 0% khả năng bị lừa đảo tại doanh nghiệp của bạn.
8 điểm cần lưu ý khi tham gia chiến dịch:
- Nhận thức về mối đe dọa nó chỉ là một phần bảo vệ chuyên sâu, nhưng rất quan trọng
- Bạn không thể và không nên làm điều này một mình
- Bạn không thể và không nên đào tạo về mọi thứ
- Mọi người chỉ quan tâm đến những thứ mà họ cảm thấy có liên quan đến họ
- Quá trình liên tục giúp nhân viên đưa ra các quyết định bảo mật thông minh hơn. Phish thường xuyên, tối thiểu mỗi tháng một lần
- Có mục tiêu rõ ràng trước khi bắt đầu
- Thu hút sự tham gia của đội ngũ thực thi
- Quyết định những hành vi bạn muốn định hình – chọn 2 hoặc 3 và thực hiện những hành vi đó trong 12-18 tháng
Phishing nhân viên của bạn thực sự rất thú vị và không kém phần bổ ích! Bạn có thể hoàn thành tất cả những điều trên với chương trình đào tạo nâng cao nhận thức về bảo mật của KnowBe4 – sản phẩm do Công ty Cổ phần Tin học Mi Mi (Mi2 JSC) phân phối. Nếu bạn cần trợ giúp để bắt đầu, hãy liên hệ Mi2 ngay hôm nay!
Kết quả
Các nhà nghiên cứu đã theo dõi ẩn danh người dùng theo quy mô công ty ở ba điểm chính trên sơ đồ:
- Kiểm tra bảo mật lừa đảo cơ bản
- Kết quả trong vòng 90 ngày kể từ khi kết hợp đào tạo dựa trên máy tính và lừa đảo giả lập
- Kết quả sau một năm hoặc nhiều năm tiếp tục đào tạo dựa trên máy tính và lừa đảo là đáng khích lệ
Kết quả của nhiều chiến dịch đã diễn ra cho thấy sự sụt giảm nghiêm trọng của việc nhấp chuột bất cẩn xuống chỉ còn 17,6% trong vòng 90 ngày kể từ khi đào tạo ban đầu và mô phỏng lừa đảo và giảm mạnh hơn xuống 5% sau 12 tháng kết hợp giữa lừa đảo và đào tạo dựa trên máy tính (CBT).
Danh sách việc làm đơn giản giúp giảm thiểu mối đe dọa
- Luôn sử dụng mật khẩu mạnh
- Mã hóa hoặc khóa dữ liệu nhạy cảm
- Đừng bỏ qua bảo mật tích hợp, hãy sử dụng các tùy chọn xác thực đa yếu tố như nhận dạng vân tay hoặc khuôn mặt
- Bật theo dõi từ xa
- Chỉ sử dụng các ứng dụng có sẵn trong cửa hàng ứng dụng của thiết bị – KHÔNG BAO GIỜ tải xuống từ trình duyệt
- Để ý các ứng dụng mới từ các nhà phát triển không xác định hoặc có các đánh giá hạn chế / không tốt
- Luôn cập nhật ứng dụng của bạn, điều này sẽ đảm bảo chúng có bảo mật mới nhất.
- Hãy suy nghĩ trước khi bạn nhấp vào bất kỳ liên kết nào trong tin nhắn văn bản hoặc email trên thiết bị di động của bạn
- Luôn tắt WiFi khi bạn không sử dụng hoặc không cần
- Không cho phép thiết bị của bạn tự động tham gia các mạng WiFi không quen thuộc
- Nếu bạn có thể, hãy tắt ghép nối Bluetooth tự động và luôn tắt Bluetooth khi không cần thiết
- KHÔNG BAO GIỜ lưu thông tin đăng nhập của bạn khi bạn đang sử dụng trình duyệt web
