Bài 22. Social engineering (1): phishing, vishing, smishing, quishing, BEC

Khóa học CompTIA Security+ SY0-801 · Phần 2: Mối đe dọa, lỗ hổng và tấn công · Bài 22 · 🎯 Objective 2.3, 2.5 · ⏱️ Đọc khoảng 14 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Định nghĩa social engineering và giải thích vì sao nó hiệu quả.
• Nhận biết bảy nguyên lý tâm lý kẻ tấn công thường dùng.
• Phân biệt các biến thể: phishing, spear phishing, whaling, BEC, smishing, vishing, quishing.
• Biết các dấu hiệu nhận biết và quy trình phản ứng: dừng, xác minh, báo cáo.
• Hiểu vai trò của SPF, DKIM, DMARC và quy trình duyệt chi trong việc chặn BEC.

📎 Vị trí trong đề thi: ở Bài 18 và Bài 19, bạn đã gặp các kênh mà lừa đảo đi qua. Bài này đi vào cách thao túng con người và cách gọi đúng tên từng biến thể. Đề thi hay mô tả một tin nhắn rồi hỏi tên kiểu tấn công, nguyên lý tâm lý hoặc biện pháp phòng ngừa tốt nhất.

💡 Liên hệ thực tế: "giám đốc" nhờ chuyển khoản gấp

Thứ Sáu, 15:10. Chị Lan nhận một email có tên người gửi trùng giám đốc: "Chị chuyển gấp 80 triệu cho đối tác này trước 16:00. Tôi đang họp, không nghe máy được. Việc này giữ kín giúp tôi." Kèm theo là số tài khoản mới. Đây là tình huống minh họa, không phải vụ việc có thật.

Chị Lan chuyển email cho Nam. Nam hỏi ba câu: ai thật sự gửi, họ muốn mình làm gì, vì sao phải gấp? Anh xem kỹ và thấy:

Nam gọi cho giám đốc theo số điện thoại đã lưu từ trước. Giám đốc trả lời: "Tôi không gửi email nào cả." Chị Lan không chuyển tiền, Nam báo cáo sự cố và chặn tên miền giả.

Điều đáng nhớ: email này không có tệp độc hại hay liên kết lạ. Không có lỗ hổng phần mềm nào bị khai thác. Kẻ tấn công chỉ cần thuyết phục một người làm theo.

🧠 Hình 22a. Kẻ tấn công thường kết hợp hai, ba nguyên lý trong cùng một tin nhắn.

📘 Kiến thức cốt lõi

🎭 Social engineering là gì?

Social engineering (kỹ thuật tác động tâm lý) là thao túng con người để họ tự làm điều có hại: đưa mật khẩu, chuyển tiền, mở cửa, cài phần mềm. Nó nhắm vào "lỗ hổng con người" thay vì lỗ hổng phần mềm, nên hệ thống vá đầy đủ vẫn có thể bị vượt qua.

Nó hiệu quả vì rẻ, thực hiện hàng loạt được, và dựa vào những phản xạ rất tự nhiên của con người như nghe lời cấp trên, muốn giúp đỡ, sợ bị phạt hay sợ bỏ lỡ.

🧠 Bảy nguyên lý tâm lý

Email của "giám đốc" ở trên kết hợp authority (quyền uy của sếp) và urgency (hạn 16:00).

🎣 Họ phishing và các biến thể

BEC đặc biệt đáng chú ý vì thường không có mã độc, nên các bộ lọc kỹ thuật dễ bỏ sót. Thiệt hại là tiền chuyển thẳng cho kẻ gian.

🔍 Dấu hiệu nhận biết

• Người gửi: tên hiển thị trùng người quen nhưng địa chỉ thật thì khác. Tên miền gần giống tên miền thật (thay chữ, thêm ký tự).
• Áp lực: hạn chót gấp, bảo giữ kín, nói không thể gọi lại.
• Yêu cầu bất thường: chuyển tiền, đổi tài khoản nhận, gửi mật khẩu hoặc mã OTP, mua thẻ quà tặng.
• Liên kết: rê chuột (không bấm) để xem địa chỉ đích thật. Tên miền lạ, rút gọn hoặc không khớp nội dung là dấu hiệu xấu.
• Tệp đính kèm bất ngờ, đặc biệt dạng tài liệu có macro, tệp nén, tệp HTML.

Lưu ý: lỗi chính tả không còn là dấu hiệu đáng tin. Công cụ viết văn bản hiện nay giúp kẻ tấn công soạn nội dung trôi chảy. Việc kiểm tra nên dựa vào người gửi, yêu cầu và áp lực, không dựa vào văn phong.

🛑 Phản ứng: dừng, xác minh, báo cáo

🛑 Hình 22b. Xác minh qua kênh thứ hai là biện pháp đơn giản và hiệu quả nhất.

1. Dừng lại: không bấm, không trả lời, không làm theo ngay.
2. Xác minh: gọi lại bằng số đã biết từ trước (không dùng số trong tin nhắn), hoặc hỏi qua một kênh khác.
3. Báo cáo: dùng nút báo cáo hoặc báo bộ phận bảo mật, giữ lại tin nhắn làm bằng chứng.

🛡️ Phòng thủ kỹ thuật và quy trình

Hai ý quan trọng:

• SPF, DKIM, DMARC bảo vệ chủ yếu trước việc giả mạo chính tên miền của bạn. Chúng không chặn được thư từ tên miền giả gần giống như congty-Ian.vn, vì đó là một tên miền khác và có thể tự cấu hình hợp lệ.
• Quy trình quan trọng ngang kỹ thuật. Tổ chức nào bắt buộc xác minh qua kênh thứ hai trước khi chuyển tiền hoặc đổi tài khoản thì BEC khó thành công.

🎯 Mẹo làm bài: gọi tên theo kênh và đối tượng. Email hàng loạt là phishing. Nhắm một người là spear phishing. Nhắm lãnh đạo là whaling. Giả mạo doanh nghiệp để chuyển tiền là BEC. SMS là smishing, điện thoại là vishing, mã QR là quishing. Với câu hỏi về nguyên lý tâm lý, tìm từ khóa: sếp là authority, dọa khóa là intimidation, ai cũng làm là consensus, số lượng có hạn là scarcity, làm ngay là urgency.

🧠 Áp vào câu chuyện của Nam

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• Social engineering thao túng con người, không cần lỗ hổng phần mềm.
• Bảy nguyên lý: authority, intimidation, consensus, scarcity, familiarity, trust, urgency. Một tin nhắn thường kết hợp vài nguyên lý.
• Phishing là hàng loạt, spear phishing là nhắm cụ thể, whaling nhắm lãnh đạo, BEC lừa chuyển tiền, smishing/vishing/quishing theo kênh.
• Dấu hiệu chính: người gửi thật, yêu cầu bất thường, áp lực thời gian. Lỗi chính tả không còn đáng tin.
• Phản ứng: dừng, xác minh qua kênh khác, báo cáo. Quy trình duyệt chi và DMARC/DKIM/SPF là lớp phòng thủ quan trọng.

💬 Hỏi & Đáp nhanh

❓ Có nên phạt nhân viên bấm nhầm trong bài mô phỏng phishing không? Thường không nên. Phạt khiến người ta sợ và giấu sự cố, trong khi điều quan trọng là họ báo cáo nhanh. Cách hiệu quả hơn là ghi nhận người báo cáo đúng và huấn luyện bổ sung cho người bấm nhầm.

❓ Whaling và BEC khác nhau thế nào? Whaling mô tả đối tượng bị nhắm (lãnh đạo cấp cao). BEC mô tả mục đích và cách làm (giả mạo hoặc chiếm email doanh nghiệp để chuyển tiền). Hai thứ có thể trùng nhau, ví dụ email giả mạo nhắm vào giám đốc tài chính để yêu cầu chuyển khoản.

❓ DMARC có chặn được mọi email giả mạo không? Không. DMARC bảo vệ tên miền bạn sở hữu khỏi bị giả mạo. Kẻ tấn công vẫn có thể đăng ký tên miền gần giống và gửi từ đó, nên người dùng vẫn phải nhìn kỹ địa chỉ gửi và tổ chức vẫn cần quy trình xác minh.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Một email nhắm đúng vào kế toán trưởng, nhắc tên dự án và đồng nghiệp có thật để lừa mở tệp. Đây là kiểu tấn công nào?

• A. Phishing hàng loạt
• B. Spear phishing
• C. Vishing
• D. Quishing

Câu 2. "Giám đốc" gửi email nhờ chuyển tiền gấp sang tài khoản mới và dặn không gọi lại. Biện pháp nào hiệu quả nhất?

• A. Chuyển tiền rồi báo lại sau
• B. Trả lời email để hỏi thêm
• C. Gọi lại giám đốc bằng số điện thoại đã biết từ trước để xác minh
• D. Bấm vào liên kết trong email để kiểm tra

Câu 3. Tin nhắn nói: "Chỉ còn 10 suất ưu đãi, hết hạn hôm nay." Nguyên lý tâm lý nào được dùng?

• A. Authority
• B. Familiarity
• C. Scarcity
• D. Consensus

Câu 4. Cơ chế nào dùng chữ ký số để xác minh thư do một tên miền gửi và không bị sửa đổi?

• A. SPF
• B. DKIM
• C. NAT
• D. VLAN

Câu 5. Tin nhắn dọa: "Tài khoản của bạn sẽ bị khóa vĩnh viễn nếu không xác minh ngay." Nguyên lý tâm lý nổi bật nhất là gì?

• A. Intimidation
• B. Trust
• C. Consensus
• D. Familiarity

👉 Đáp án

Câu 1: B — Nhắm vào một người cụ thể và cá nhân hóa nội dung là spear phishing. Phishing hàng loạt thì chung chung và gửi cho nhiều người.

Câu 2: C — Xác minh qua kênh thứ hai, bằng số đã biết từ trước. Trả lời email hay bấm liên kết đều đi qua chính kênh của kẻ tấn công.

Câu 3: C — Số lượng và thời gian có hạn là khan hiếm (scarcity), thường đi kèm urgency.

Câu 4: B — DKIM dùng chữ ký số trên thư. SPF kiểm tra máy chủ gửi, còn DMARC quy định cách xử lý.

Câu 5: A — Dọa hậu quả (khóa vĩnh viễn) để gây sợ hãi là intimidation, thường kèm urgency.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng