#

Phishing là gì? Cách nhận biết & Ngăn chặn Phishing hiệu quả

 08/07/2022 - 12:00 Trịnh Duy Thanh

Làm thế nào để bảo vệ trang web và ứng dụng khỏi các cuộc tấn công mạnh mẽ hiện nay? Phishing là một công cụ lừa đảo mà kẻ tấn công sử dụng để đánh cắp các thông tin quan trọng của người dùng nạn nhân. Vậy làm thế nào để nhận biết được các dấu hiệu Phishing đã và đang xảy ra trên trình duyệt và email của bạn? Hãy cùng BKHOST tìm hiểu chi tiết về Phishing hơn ở bài viết dưới đây.

Phishing là gì?

Phishing la gi

Phishing là một hình thức lừa đảo được kẻ tấn công thực hiện bằng cách giả mạo thành các đối tượng uy tín, chẳng hạn như email nhằm mục tiêu cài các liên kết hoặc tệp độc hại để đánh cắp thông tin cá nhân trong tài khoản của người dùng. Phishing là công cụ đắc lực của các kẻ tấn công vì dễ đạt mục đích hơn so với việc phá bỏ các biện pháp bảo vệ của máy tính.

Dịch vụ Cho Thuê Server Riêng tiêu chuẩn quốc tế

BKHOST đang có chương trình khuyến mãi cực tốt dành cho khách hàng đăng ký dịch vụ Server Riêng:

  • Giảm giá lên đến 45%.
  • 100% RAM vật lý.
  • Tặng thêm 16GB RAM.

Đăng ký ngay:

thuê máy chủ vật lý

Phishing hoạt động như thế nào?

Phishing được kích hoạt dựa trên kỹ thuật mạng xã hội trong email hoặc các phương thức liên lạc khác như messages và SMS. Để có thể thu thập các nguồn thông tin về lịch sử cá nhân hoặc các tính năng liên quan của người dùng, kẻ tấn công đã thông qua các phương tiện mạng xã hội như LinkedIn, Facebook và Twitter. Sau đó các thông tin sẽ được sử dụng để tạo một email đáng tin cậy.

Email Phising
Email đáng ngờ lừa đảo để đánh cắp thông tin.

Các bước tiếp cận người dùng của Phishing đó là gửi một tin nhắn có đính kèm các tệp hoặc liên kết độc hại. Nếu người dùng nhấn vào sẽ có một phần mềm độc hại được cài đặt trên thiết bị hoặc mở ra một trang web giả mạo với mục đích đánh cắp thông tin cá nhân, mật khẩu, ID tài khoản.

Cách nhận biết Phishing Email

Phishing Email khó để nhận biết bởi chúng được gửi giả mạo từ các đơn vị nổi tiếng. Dưới đây là một số cách nhận biết Phishing Email:

  • Tin nhắn gửi đến có đính kèm tên miền phụ hoặc ác URL đáng ngờ.
  • Địa chỉ Gmail công cộng.
  • Nội dung tin nhắn mang tính cảnh báo và cấp bách.
  • Tin nhắn yêu cầu xác minh thông tin cá nhân.
  • Nội dung tin nhắn có nhiều lỗi chính tả hoặc ngữ pháp.

Các loại Phishing phổ biến:

  • Phishing Spear tấn công vào đối tượng là cá nhân và các công ty nhằm thu thập và sử dụng các thông tin quan trọng.
  • Whaling là một loại tấn công Phishing Spear nhắm vào đối tượng là giám đốc của tổ chức với mục đích đánh cắp tiền bằng cách sử dụng các thông tin liên quan để tìm hiểu chi tiết về nạn nhân.
  • Pharming sử dụng công cụ giả mạo DNS để hướng người dùng đến một trang web lừa đảo và cố gắng đăng nhập bằng thông tin cá nhân.
  • Phishing giả mạo các email hợp pháp được gửi đi có gắn tệp đính kèm hoặc liên kết độc lại.
  • Evil twin Wifi là hình thức tấn công nhằm truy cập vào các đường truyền đến hoặc từ các thiết bị của người dùng để đánh cắp quyền, ID và mật khẩu.
  • Phishing Voice sử dụng giọng nói, VoIP hoặc POTS nhằm thông báo đến cho nạn nhân về hoạt động đáng ngờ trong ngân hàng hoặc tài khoản tín dụng của họ. Nếu người dùng trả lời xác minh danh tính kẻ tấn công sẽ dễ dàng thu thập thông tin và tiến hành tấn công tài khoản.
  • Phishing SMS được gửi về các thiết bị di động nhằm đánh cắp thông tin đăng nhập tài khoản hoặc cài đặt phần mềm độc hại.

Kỹ thuật của Phishing

Một số kỹ thuật Phishing như:

  • Sử dụng JavaScript để gắn URL cho hình ảnh trên thanh địa chỉ của trình duyệt.
  • Liên kết URL ẩn được hiển thị giống như một liên kết trang web hợp pháp.
  • Các liên kết ngắn như Bitly được ẩn đi gây khó khăn cho nạn nhân trong việc phân biệt các URL trang web là hợp pháp hay độc hại.
  • Sử dụng các ký tự khác nhau trên URL để giả mạo một miền hợp pháp.
  • Hiển thị tất cả hoặc một phần email dưới dạng hình ảnh.
  • Phishing dựa vào lỗ hổng mở khi URL không được kiểm tra nghiêm ngặt và sẽ được kẻ tấn công chuyển hướng đến trang web độc hại nhằm thu thập thông tin xác thực từ nạn nhân.

Cách ngăn chặn Phishing

Một số biện pháp kiểm soát bảo mật ngăn chặn Phishing như:

  • Sử dụng phần mềm chống virus và spyware.
  • Sử dụng tường lửa cho máy tính và mạng.
  • Thanh công cụ antiphishing trong trình duyệt web.
  • Bộ lọc cổng vào Email và Spam.
  • Cổng bảo mật web.
  • Bộ lọc Phishing từ nhà cung cấp như Microsoft.
  • Sử dụng các tài nguyên trên Internet cũng để ngăn chặn Phishing
  • Tiêu chuẩn xác thực Email được thiết lập giao thức DKIM giúp ngăn chặn tất cả các thư ngoại trừ những thư đã được ký bằng mật mã.
  • Giao thức DMARC cung cấp một khuôn khổ để sử dụng các giao thức nhằm ngăn chặn các email không được yêu cầu hiệu quả hơn.
  • Sử dụng công cụ hỗ trợ như PhishMe của Wombat Security Technologies cung cấp các phương pháp phòng tránh Phishing.
  • Sử dụng một số trang web như FraudWatch International và MillerSmiles.

Ví dụ về Phishing

Phishing có thể được tổ chức theo nhiều hình thức khác nhau như:

Phishing dựa trên thanh toán kỹ thuật số

Đầu tiên, kẻ tấn công giả mạo là một ứng dụng hoặc trang web thanh toán lớn như PayPal, Venmo hoặc TransferWise để lấy thông tin nhạy cảm từ người dùng. Tiếp theo, kẻ tấn công gửi các thông báo là dịch vụ thanh toán tin cậy đến nạn nhân bằng Email và yêu cầu họ xác minh thông tin cá nhân.

Nếu phát hiện ra các mối đe dọa PayPal sẽ lập tức gửi tài liệu thông tin đến khách hàng để họ nắm bắt và sẵn sàng ngăn chặn tấn công Phishing. Có một lưu ý quan trọng đó là nếu người dùng nhận được email đáng ngờ từ tài khoản có tên là PayPal hãy kiểm tra địa chỉ liên kết có khớp với miền thực của PayPal hay không.

Dấu hiệu nhận biết một Phishing Email từ PayPal:

  • Nội dung Email không cụ thể rõ ràng người nhận và không đúng tiêu chuẩn của một form Email.
  • Kẻ tấn công giả mạo PayPal để gửi về một Email cảnh báo khoá tài khoản và yêu cầu người dùng xác minh hoặc gửi tiền vào một tài khoản giả mạo khác mà chúng đã thiết lập sẵn.
  • PayPal gửi một Email đến người dùng với các tệp đính kèm có thể tải xuống.

Nếu người dùng nhận được Email có các dấu hiệu trên hãy trở trang thanh toán trên cửa sổ trình duyệt và kiểm tra các cảnh báo tài khoản.

Phishing dựa trên tài chính

Kẻ tấn công đã hướng vào tâm lý của người dùng để yêu cầu họ tự động cung cấp thông tin cá nhân. Bằng cách giả mạo ngân hàng hoặc tổ chức tài chính để gửi Email hay gọi điện thoại cho người dùng cảnh báo về bảo mật bị xâm hại.

Ví dụ:

Kẻ tấn công tiến hành gửi cho người dùng nạn nhân một Email gồm biên nhận hoặc chuyển AHC. Đây là một hình thức giả mạo về các khoản phí gian lận đang thực hiện trong tài khoản. Nếu người dùng nhấn vào liên kết độc hại được tạo sẵn thì các dữ liệu cá nhân sẽ bị thu thập và đánh cắp dễ dàng.

Phishing nhắm vào các công việc

Phishing có thể được cá nhân hoá và rất khó để phát hiện vì kẻ tấn công nhắm vào đối tượng là các ông chủ lớn, giám đốc điều hành hay giám đốc tài chính. Bằng cách giả mạo này mà kẻ tấn công có thể yêu cầu nạn nhân chuyển khoản ngân hàng hoặc mua hàng không hợp pháp.

Phishing nhắm tới các công việc khiến cho doanh nghiệp và tổ chức gặp nhiều tổn thất về các thông tin bảo mật. Cụ thể các đối tượng là nhân viên cấp điều hành luôn tin tưởng Email được gửi từ cấp trên là chính xác. Nội dung các Email này thường về các chủ đề làm việc hay vị trí họp mặt thông thường và yêu cầu nhân viên thay đổi hoặc xử lý phù hợp.

Nếu nhân viên nhấn vào liên kết được tạo bởi kẻ tấn công, ngay lập tức họ sẽ được hướng đến một trang giả mạo của Office 365 hoặc Microsoft Outlook và yêu cầu đăng nhập thông tin nhằm đánh cắp mật khẩu và dữ liệu quan trọng.

Lịch sử Phishing

Ban đầu thuật ngữ Phishing được giải thích là một từ đồng âm với fishing, có nghĩa là các trò gian lận hay lừa đảo sử dụng mồi nhử để câu nạn nhân một cách dễ dàng. Sau đó, Phishing được giải thích có nguồn gốc từ một chuỗi -- <>< -- là một thẻ HTML được tìm thấy trong bản ghi cuộc trò chuyện AOL. Các chuỗi này thường xuyên xuất hiện trong nhật ký khiến quản trị viên AOL không thể tìm kiếm nó chính xác. Kẻ tấn công đã lợi dụng điểm yếu này để đánh cắp thông tin đăng nhập thẻ tín dụng hoặc tài khoản bằng các chuỗi thay thế độc hại.

Đầu những năm 1990, Warez Group đã phát triển một thuật toán nhằm tạo ra các con số ngẫu nhiên để tạo một tài khoản AOL giả mạo được sử dụng để spam các tài khoản AOL khác.

Đầu những năm 2000, kẻ tấn công đã bổ sung “love bug of 2000” cho Phishing. Trong đó người dùng nạn nhân sẽ nhận được Email với nội dung “ILOVEYOU” và đính kèm một worm là phần mềm độc lại tự sao chép các thông tin quan trọng. Cũng vào thời gian này, nhiều kẻ lừa đảo đã bắt đầu đăng ký các trang web giả mạo giống với trang web thực.

Phishing ngày càng trở nên khó phát hiện và có mức độ nguy hiểm càng cao. Kẻ tấn công đã tích hợp phương thức đăng nhập bằng Facebook để các phần mềm độc hại thu thập dữ liệu cá nhân bằng cách sử dụng mật khẩu giả mạo.

Tổng kết về Phishing

Với những thông tin này, chắc hẳn bạn đã biết Phishing là gì và hiểu được sự nguy hiểm của Phishing. Mong rằng bạn có thể bảo vệ các dữ liệu thông tin cá nhân của mình tốt hơn dựa vào những thông tin này.

Nếu bạn có thắc mắc về Phishing hoặc muốn tìm hiểu thêm những cách để bảo mật cho thông tin của mình trên thế giới số, hãy để lại ở bên bình luận bên dưới, BKHOST sẽ trả lời bạn trong thời gian sớm nhất.

P/s: Bạn cũng có thể truy cập vào Blog của BKHOST để đọc thêm các bài viết chia sẻ kiến thức về lập trình, quản trị mạng, website, domain, hosting, vps, server, email,… Chúc bạn thành công.

Đăng ký tên miền .ORG tại BKHOST

Tên miền .ORG là viết tắt của từ Organization (tổ chức), phù hợp với mọi tổ chức, doanh nghiệp, công ty,…

Đặc biệt, giảm ngay 80k cho khách hàng đăng ký mới tên miền ORG.

Đăng ký ngay:

tên miền .org

Tôi là Trịnh Duy Thanh, CEO & Founder Công ty Cổ Phần Giải Pháp Mạng Trực Tuyến Việt Nam - BKHOST. Với sứ mệnh mang tới các dịch vụ trên Internet tốt nhất cho các cá nhân và doanh nghiệp trong nước và quốc tế, tôi luôn nỗ lực hết mình nâng cấp đầu tư hệ thống phần cứng, nâng cao chất lượng dịch vụ chăm sóc khách hàng để đem đến những sản phẩm hoàn hảo nhất cho người tiêu dùng. Vì vậy, tôi tin tưởng sẽ đem đến các giải pháp CNTT mới nhất, tối ưu nhất, hiệu quả nhất và chi phí hợp lý nhất cho tất cả các doanh nghiệp.
Bình luận

Thanh toán linh hoạt

Chúng tôi chấp nhận thanh toán như ATM, Visa, Internet Banking, Paypal, Baokim, Ngân lượng

Gọi ĐT tư vấn ngay
Chat ngay qua Zalo
Chat ngay qua Messenger