Cách Bảo Vệ Bản Thân Khỏi Các Cuộc Tấn Công Phishing

Phishing là gì?

Phishing là một cuộc tấn công kỹ thuật xã hội trong đó kẻ tấn công tạo ra một bản sao thuyết phục của một trang web hợp pháp — thường hoàn hảo từng pixel — và lừa nạn nhân nhập thông tin đăng nhập vào đó. Ngay khi nạn nhân gửi biểu mẫu, kẻ tấn công sẽ thu thập tên người dùng, mật khẩu và bất kỳ yếu tố thứ hai nào, sau đó sử dụng chúng để chiếm quyền kiểm soát tài khoản thật trong vài giây.

Từ này bắt nguồn từ ẩn dụ "fishing" (câu cá) để tìm nạn nhân bằng mồi nhử (thường là email). Cách viết đã thay đổi để nhấn mạnh rằng kẻ tấn công thường sử dụng số phone (phishing SMS, hay "smishing") và cơ sở hạ tầng trông chuyên nghiệp.

Tại sao phishing vẫn là mối đe dọa số 1

Hầu hết các vi phạm tài khoản quy mô lớn ngày nay không liên quan đến hack, crack mật khẩu hoặc bypass mã hóa. Chúng liên quan đến việc con người nhập mật khẩu vào trang web giả. Phishing thì:

• Rẻ — kẻ tấn công có thể gửi hàng triệu email với chi phí của một VPS và tên miền giả mạo
• Khó lọc — các bộ công cụ hiện đại xoay tên miền, sử dụng hosting hợp pháp và thích ứng với bộ lọc trong thời gian thực
• Hiệu quả — ngay cả những người dùng có ý thức bảo mật cũng sập bẫy các nỗ lực nhắm mục tiêu được thiết kế tốt (spear phishing)
• Có thể mở rộng — một phishing thành công duy nhất thường mang lại quyền truy cập vào hàng chục dịch vụ kết nối thông qua việc tái sử dụng mật khẩu

Báo cáo Verizon Data Breach Investigations Report 2024 phát hiện rằng phishing là vector truy cập ban đầu trong hơn 36% tất cả các vi phạm — nhiều hơn bất kỳ nguyên nhân đơn lẻ nào khác.

Cách phishing hiện đại hoạt động

Phishing đã phát triển vượt xa những email "hoàng tử Nigeria" của những năm 2000. Một cuộc tấn công phishing hiện đại thường bao gồm:

1. Mồi nhử thuyết phục

Thường là email, tin nhắn hoặc tin nhắn chat tạo ra sự khẩn cấp ("Tài khoản của bạn sẽ bị đình chỉ"), quyền hạn ("Đội bảo mật Microsoft") hoặc sự tò mò ("Ai đó đã tag bạn trong ảnh"). Spear-phishing đi xa hơn với các chi tiết cá nhân được lấy từ LinkedIn, dump vi phạm hoặc thư tín trước đó.

2. Trang web giả hoàn hảo từng pixel

Kẻ tấn công sử dụng bộ công cụ phishing có sẵn để sao chép HTML, CSS và JavaScript của trang web mục tiêu. Nhiều bộ công cụ được bán như dịch vụ (phishing-as-a-service), với dashboard hoạt động và hỗ trợ khách hàng.

3. Proxy thời gian thực cho 2FA

Phần nguy hiểm: các bộ công cụ hiện đại không chỉ thu thập mật khẩu của bạn. Chúng hoạt động như proxy man-in-the-middle chuyển tiếp mọi thứ bạn nhập — bao gồm mã TOTP của bạn — đến trang web thật trong vài giây, bypass hầu hết 2FA. Kỹ thuật này được gọi là adversary-in-the-middle (AiTM) và được sử dụng trong các công cụ như Evilginx2 và Modlishka.

4. Đánh cắp token phiên

Khi bạn xác thực thông qua proxy, kẻ tấn công thu thập session cookie của bạn và có thể sử dụng nó để duy trì đăng nhập ngay cả sau khi bạn thay đổi mật khẩu. Đây là lý do tại sao phản ứng với phishing luôn bao gồm thu hồi các phiên hoạt động, không chỉ thay đổi mật khẩu.

Những gì thực sự ngăn chặn phishing

Khóa bảo mật phần cứng (FIDO2 / WebAuthn)

Đây là danh mục phòng thủ duy nhất chống phishing theo thiết kế. Khi bạn đăng nhập bằng khóa FIDO2, khóa của bạn sẽ xác minh mật mã tên miền chính xác của trang web yêu cầu xác thực. Trang web giả — dù hoàn hảo về mặt thị giác đến đâu — có tên miền khác, vì vậy khóa từ chối phản hồi. Quá trình bắt tay mật mã đơn giản không hoàn thành.

Google đã bắt buộc YubiKeys cho tất cả 85.000+ nhân viên vào năm 2017 và báo cáo không có cuộc tấn công phishing thành công nào trên tài khoản công ty trong những năm kể từ đó.

Passkeys

Passkeys là sự tiến hóa thân thiện với người tiêu dùng của FIDO2. Chúng sử dụng cùng một mật mã liên kết tên miền và được tích hợp vào iOS, Android, macOS và Windows. Nếu một trang web bạn sử dụng hỗ trợ passkeys, việc bật một passkey sẽ khiến tài khoản đó chống được phishing.

Trình quản lý mật khẩu

Trình quản lý mật khẩu là tuyến phòng thủ thứ hai của bạn vì nó chỉ tự động điền thông tin đăng nhập trên tên miền chính xác nơi chúng được lưu. Nếu bạn truy cập paypaI.com (I in hoa) thay vì paypal.com, trình quản lý của bạn sẽ im lặng từ chối điền biểu mẫu. Sự từ chối đó là cảnh báo rõ ràng rằng có gì đó không đúng.

Lọc email và DNS

Nhà cung cấp email sử dụng DMARC, SPF và DKIM để phát hiện địa chỉ người gửi giả mạo. Hầu hết các nhà cung cấp hiện đại đều bắt được những nỗ lực rõ ràng, nhưng các cuộc tấn công nhắm mục tiêu vẫn lọt qua. Bật nút "báo cáo phishing" trong ứng dụng mail của bạn để bạn giúp các bộ lọc cải thiện.

Dấu hiệu cảnh báo cần chú ý

Khi bạn nhận được tin nhắn yêu cầu đăng nhập, xác minh hoặc hành động khẩn cấp:

• Sự khẩn cấp và đe dọa — "Tài khoản của bạn sẽ bị đóng trong 24 giờ"
• Lời chào chung chung — "Khách hàng thân mến" thay vì tên của bạn
• Tên miền giống nhau — paypaI.com, app1e.com, secure-microsoft-login.net
• Tệp đính kèm bất ngờ — đặc biệt là tệp .zip, .html hoặc .pdf yêu cầu bạn đăng nhập để xem
• Lỗi ngữ pháp hoặc định dạng — các công ty lớn đều kiểm tra kỹ email của họ
• Liên kết không khớp — di chuột qua liên kết và kiểm tra xem đích đến có khớp với văn bản không

Nếu có gì đó cảm thấy không đúng, hãy đóng email. Điều hướng đến trang web bằng tay. Nếu có vấn đề thật, bạn sẽ thấy nó khi đăng nhập qua quy trình bình thường của mình.

Những gì cần làm nếu bạn sập bẫy

Hành động nhanh chóng — tốc độ quan trọng vì kẻ tấn công bắt đầu sử dụng thông tin đăng nhập trong vài phút.

1. Thay đổi mật khẩu ngay lập tức trên thiết bị khác (ví dụ điện thoại của bạn, nếu bạn sập bẫy trên laptop)
2. Thu hồi tất cả các phiên hoạt động trong cài đặt tài khoản — điều này sẽ đuổi ra bất kỳ ai hiện đang sử dụng token phiên bị đánh cắp
3. Bật 2FA nếu chưa có và sử dụng khóa phần cứng hoặc passkey nếu có thể
4. Kiểm tra hoạt động trái phép — email đã gửi, đăng nhập gần đây, thay đổi thanh toán, quy tắc chuyển tiếp mới
5. Thông báo cho tổ chức liên quan nếu đó là tài khoản tài chính hoặc công việc
6. Kiểm tra các tài khoản khác đã sử dụng cùng mật khẩu — ngay cả khi bạn chắc chắn không tái sử dụng mật khẩu, hãy kiểm tra

Kết luận

Phishing phát triển mạnh vì nó bypass công nghệ và nhắm mục tiêu con người. Các biện pháp phòng thủ tốt nhất kết hợp ba lớp: trình quản lý mật khẩu (từ chối tự động điền trên tên miền sai), 2FA chống phishing (khóa phần cứng hoặc passkeys liên kết với tên miền thật), và sự hoài nghi lành mạnh (không bao giờ đăng nhập từ liên kết email).

Bật cả ba trên tài khoản quan trọng nhất của bạn — email của bạn — trước tiên. Từ đó, phần còn lại của cuộc sống kỹ thuật số của bạn sẽ an toàn hơn một cách có ý nghĩa.