Kỹ thuật tấn công Social Engineering A-Z

2
662
3 (60%) 2 votes

“Social Engineering” một kỹ thuật tấn công mà ai cũng cần biết để phòng tránh. Qua nhiều năm nghiên cứu, SecurityBox nhận thấy kỹ thuật tấn công Social Engineering chủ yếu thực hiện hành vi tấn công thông qua yếu tố cảm xúc và yếu tố kỹ thuật. Trong đó, yếu tố cảm xúc được tin tặc khai thác nhiều nhất.

phishing

Ở bài viết này, SecurityBox sẽ đi sâu phân tích 2 yếu tố nói trên, nếu bạn cần tìm hiểu tổng quan và những giải pháp phòng tránh thì có thể đọc tại bài viết:”Tìm hiểu về Social Engineering”.

I.Kỹ thuật tấn công dựa trên yếu tố Cảm Xúc

Bản chất cảm xúc của con người là có nhiều ham muốn, tham lam, tò mò, tự mãn và đôi lúc là cảm thông, chia sẻ. Tuy nhiên, xét về vấn đề bảo mật, Hacker rất giỏi khai thác những cảm xúc của chúng ta.

Ví dụ, kẻ tấn công hứa hẹn sẽ thưởng lớn cho người dùng chỉ cần làm theo hướng dẫn. Hoặc kẻ tấn công sẽ đóng giả là người thân của bạn rồi giả mạo để lấy được sự đồng cảm từ phía bạn.

Một ví dụ khác về kỹ thuật lừa đảo người dùng bằng Social Engineering bạn có thể đọc và phòng tránh:

vi-du-ve-social-engineering

Với kiểu tấn công dựa trên yếu tố con người, tin tặc sẽ tấn công trực tiếp để khai thác thu thập thông tin, thu thập dữ liệu.

II.Tấn công dựa vào yếu tố Con Người bao gồm một số loại sau:

1.Lục thùng rác

Đôi khi trong quá trình làm việc, người điều hành Doanh nghiệp để lộ những văn bản quan trọng, những thông tin nhạy cảm một cách vô tình.

Ví dụ như: nhân viên thường in ra những văn bản quan trọng và yêu cầu lãnh đạo ký duyệt. Tuy nhiên, không phải lúc nào lãnh đạo cũng ký ngay.

Trong một trường hợp khác, trưởng phòng nhân sự gửi bảng lương tới ban giám đốc ký duyệt. Vì có một số thông tin chưa hợp lý hoặc cần thay đổi, giám đốc có thể vứt vào thùng rác. Vô tình, nhân viên lao công dọn rác có thể sẽ đọc được các thông tin nhạy cảm. Vậy là toàn bộ thông tin về tiền lương, quy định của công ty đã bị tiết lộ.

Vậy nên những dữ liệu quan trọng về giao dịch, hợp đồng vay vốn, chiến lược kinh doanh, chiến lược marketing, nhân sự..đều là những thông tin hết sức nhạy cảm. Doanh nghiệp cần đầu tư tủ khóa để cất giữ cẩn thận và hạn chế người ra vào gần khu vực đó.

Như vậy, những người Hacker sử dụng kỹ thuật Social Engineering ở đây rất có thể là nội bộ bên trong Doanh Nghiệp.

2.Tấn công qua điện thoại

Tin tặc có thể lắp thiết bị nghe lén nội dung trò chuyện giữa 2 người. Từ đó chúng có thể biết bạn đang nói chuyện với ai, về nội dung gì, đang ở vị trí nào.

3.Mạo danh

Giống như gián điệp trong nội bộ Doanh Nghiệp, tin tặc sẽ đóng vai trò là nhân viên của một tập đoàn A. Lúc đầu,  tin tặc mặc quần áo và đeo thẻ làm việc giống y như như những nhân viên khác. Sau 2-3 ngày, tin tặc sẽ bắt đầu thu thập thông tin, lợi dụng thực hiện hành vi tấn công lén lút.

III.Tấn công dựa trên yếu tố kỹ thuật

1.Phishing Email và website giả mạo

Tin tặc sẽ lợi dụng lòng tham và sự tò mò của người dùng để gửi email thông báo bạn đã trúng thưởng hàng nghìn tỉ đồng. Chúng sẽ yêu cầu nhấp chuột vào đường link để điền những thông tin cá nhân như tài khoản ngân hàng, tên, địa chỉ, số điện thoại….

Khi thấy Email có nội dung như trên, bạn đừng vội click vào, thay vì thế bạn có thể tìm đến các chuyên gia bảo mật hoặc các công ty, dịch vụ về  ANM.

Website giải mạo cũng là một trong những kỹ thuật tấn công khá phổ biến năm 2016 -2017. Hacker sẽ tạo ra trang web có giao diện giống hệt với trang web gốc, sau đó yêu cầu người dùng nhập những thông tin quan trọng.

2.Pop-Up cửa sổ Window

pop-up-window-mao-danh

Khi thấy góc bên trái màn hình có cửa sổ Pop-Up hiện lên thì khả năng máy bạn đã bị nhiễm mã độc là rất cao. Nếu trong cửa sổ Pop-Up đó có nội dung thông báo bạn đã trúng thưởng thì tuyệt đối không làm theo hướng dẫn.

=> Xem thêm: Những dấu hiệu máy tính bị nhiễm Mã Độc

III.Một số đặc điểm nhận dạng một bức thư giả mạo

  • Lời chào chung chung. Ví dụ Hi, Dear, Hi brother…
  • Đe dọa nếu không thực hiện, không chuyển tiền cho tin tặc thì thiết bị sẽ bị mất dữ liệu, bị khóa.
  • Địa chỉ website giả mạo, giao diện khác lạ.
  • Có đường dẫn rất dài, chứa nhiều ký tự khác thường. Thay vì click, bạn copy sau đó dán link vào trang virustotal để kiểm tra đường link đó
  • Ngôn ngũ viết sai chính tả.

Trên đây là tất cả những kiến thức hay về Kỹ thuật tấn công Social Engineering. Bạn đọc cần tư vấn, hỏi đáp thêm hãy comment nhé!

Bình luận

2 Bình luận

Comments are closed.