Social Engineering là gì? Tổng quan về Social Engineering

Social Engineering là gì? Tổng quan về Social Engineering
Social Engineering ( tiến công phi kỹ thuật ) là thuật ngữ khá quen thuộc trong nghành bảo mật an ninh mạng. Tuy nhiên, một số ít doanh nghiệp vẫn chưa có nền tảng kiến thức và kỹ năng về kỹ thuật tiến công này. Vì vậy, việc doanh nghiệp bị tiến công bởi những chiêu lừa đảo rất là đơn thuần vẫn liên tục diễn ra. Để hoàn toàn có thể nắm rõ hơn về kỹ thuật tiến công Social Engineering, hãy cùng SecurityBox tìm hiểu và khám phá trong bài viết dưới đây .

1. Social Engineering là gì?

Social Engineering được hiểu đơn thuần là kỹ thuật tác động ảnh hưởng đến con người để đánh cắp thông tin hoặc nhằm mục đích đạt được một mục tiêu mong ước. Kỹ thuật này dựa trên điểm yếu tâm ý và nhận thức sai lầm đáng tiếc của người dùng về việc bảo mật thông tin thông tin. Theo đó, tin tặc chú trọng vào việc khai thác những thói quen tự nhiên của người dùng hơn là việc khai thác những lỗ hổng bảo mật thông tin của mạng lưới hệ thống .
Tấn công mạng Social Engineering
Cho đến nay, kỹ thuật tiến công Social Engineering luôn được tin tặc ưu tiên sử dụng. Bởi hình thức này thuận tiện tùy biến cách thực thi và năng lực thành công xuất sắc rất cao .

2. Các hình thức tấn công Social Engineering

2.1. Phishing

Phishing là hình thức tấn công Social Engineering được sử dụng nhiều nhất hiện nay. Trong đó, tin tặc tạo ra các email hoặc website giả mạo các tổ chức, doanh nghiệp uy tín để dụ người dùng cung cấp thông tin hoặc chuyển tiền… Một hình thức tấn công tương tự Phishing là Spear Phishing. Điểm khác là Spear Phishing được thiết kế riêng cho một cá nhân hoặc một tổ chức cụ thể.

Xem thêm: Quy trình 11 bước bảo mật website toàn diện

2.2. Baiting

Baiting là hình thức tiến công sử dụng mồi câu để dụ dỗ nạn nhân sập bẫy. Ví dụ, tin tặc lập một website phân phối một dịch vụ không lấy phí nào đó. Tuy nhiên, để sử dụng dịch vụ này, người dùng phải cung ứng thông tin cá thể của họ. Trong trường hợp này, dịch vụ không lấy phí là mồi câu để tin tặc lấy được thông tin của người dùng .
Ngoài phương pháp trên, baiting cũng hoàn toàn có thể ẩn nấp trong những thiết bị USB hoặc những ổ cứng ngoài. Tin tặc hoàn toàn có thể đưa mã độc vào những thiết bị đó và lây lan sang những thiết bị khác trong quy trình người dùng sử dụng .

2.3. Vishing

Vishing là sự tích hợp giữa hai từ “ voice ” và “ phishing ”. Hình thức tiến công này còn được gọi là hình thức lừa đảo bằng giọng nói. Thay vì sử dụng email hoặc những website trá hình như phishing thì vishing sử dụng dịch vụ điện thoại thông minh internet ( VoIP ) để tích lũy thông tin cá thể và thông tin kinh tế tài chính từ nạn nhân .

2.4. Pretexting

Pretexting là hình thức tiến công trong đó tin tặc tạo ra một ngữ cảnh hoặc một nguyên do hài hòa và hợp lý để lấy cắp thông tin của nạn nhân. Để đánh lừa nạn nhân, tin tặc thường mạo danh công an hoặc phóng viên báo chí và tiếp cận qua dịch vụ viễn thông. Trong cuộc chuyện trò, tin tặc sẽ nhu yếu nạn nhân phân phối một số ít thông tin nhất định để xác nhận danh tính .

2.5. Scareware

Scareware là một chương trình ô nhiễm được tin tặc “ ngụy trang ” dưới một ứng dụng hợp pháp. Để thực thi tiến công scareware, tin tặc sẽ đánh lừa người dùng rằng máy tính của họ đã bị nhiễm ứng dụng ô nhiễm. Sau đó, tin tặc yêu cầu nạn nhân thiết lập ứng dụng scareware để khắc phục yếu tố. Thông thường, scareware thường “ ngụy trang ” dưới cái mác là ứng dụng antivirus .

2.6. Water holing

tấn công watering hole (water-holing)
Water Holing là hình thức tiến công có chủ đích vào những tổ chức triển khai / doanh nghiệp trải qua việc lừa những thành viên truy vấn vào những website chứa mã độc. Tin tặc thường nhắm đến những website có nhiều người truy vấn, web đen hoặc tạo ra những website riêng để lừa người dùng. Sau đó, tin tặc chèn vào website đó những mã khai thác tương quan đến những lỗ hổng trình duyệt. Nếu truy vấn vào website này, mã độc này sẽ được thực thi và lây nhiễm vào máy tính của người dùng .

2.7. Quid pro quo

Quid Pro Quo là hình thức tin tặc vờ vịt phân phối một quyền lợi nào đó để đổi lấy thông tin của người dùng. Tấn công Quid Pro Quo thường xảy ra dưới hình thức tin tặc mạo danh nhân viên IT của một tổ chức triển khai lớn. Chúng sẽ liên lạc qua điện thoại thông minh với nhân viên cấp dưới của tổ chức triển khai định tiến công, sau đó hướng dẫn họ cách tăng cấp hoặc thiết lập ứng dụng. Để thực thi những hành vi ô nhiễm thuận tiện hơn, chúng sẽ nhu yếu nạn nhân vô hiệu trong thời điểm tạm thời ứng dụng antivirus. Nhờ đó, mã độc được thực thi mà không gặp phải bất kể trở ngại nào từ phía nạn nhân .

2.8. Diversion theft

Trong hình thức tiến công này, tin tặc sẽ lừa một công ty giao hàng hoặc chuyển phát nhanh nhận hoặc giao sai vị trí. Do đó, chúng hoàn toàn có thể ngăn ngừa những thanh toán giao dịch được thực thi .

2.9. Honey trap

Đây là hình thức tiến công trong đó tin tặc vờ vịt mình là một người “ mê hoặc ”. Qua đó, chúng tiếp cận và tương tác với một người trực tuyến nhằm mục đích tích lũy thông tin của người đó .

2.10. Tailgating

Tấn công tailgating còn được gọi là piggybacking. Hình thức tiến công này được thực thi khi tin tặc giả danh làm một nhân viên cấp dưới và lừa người có thẩm quyền để đột nhập vào công ty. Qua đó, chúng có đủ thời hạn để khai thác những thông tin quan trọng thiết yếu hoặc thiết lập thiết bị vào mạng lưới hệ thống để liên tục theo dõi và triển khai thủ đoạn tiến công của mình .

2.11. Rogue

Phần mềm rogue là một loại ứng dụng ô nhiễm. Chúng lừa những tiềm năng thanh toán giao dịch để vô hiệu những ứng dụng ô nhiễm trá hình .

3. Ví dụ về Social Engineering

Dưới đây là một số ít ví dụ giúp bạn hiểu rõ hơn về kỹ thuật tiến công Social Engineering .

Ví dụ 1: Nghe trộm

Tuấn là người đứng giữa giữa A và B. Tuấn hoài nghi A và B có chuyện gì đó giấu mình. Vì vậy, Tuấn đã thực thi tiến công nghe trộm cuộc hội thoại giữa hai người. Hình thức tiến công nghe trộm dựa trên yếu tố con người hoàn toàn có thể thực thi qua điện thoại thông minh và email .

Ví dụ 2: Pop-up Window

Popup mạo danh để cài mã độc vào máy tính

Đã bao giờ bạn thấy các cửa sổ pop-up trong máy tính, thiết bị của mình chưa? Hãy cẩn thận và đừng click vội vào pop-up đó. Bởi rất có thể bạn sẽ trở thành nạn nhân của một cuộc tấn công mạng. Nếu bạn click vào đường link đó, bạn sẽ được dẫn tới 1 website giả mạo của tin tặc. Website đó có thể yêu cầu bạn cung cấp thông tin hoặc dụ dỗ tải phần mềm chứa mã độc về máy tính.

Ví dụ 3: Email Phishing

Đã có khá nhiều người bị tiến công Social Engineering bởi hình thức này. Cụ thể, tin tặc thường gửi email mạo danh một đơn vị chức năng uy tín, đưa ra những lời mời gọi mê hoặc để kích thích người dùng nhấp vào link hoặc tải về tệp tin đính kèm. Nếu triển khai những hành vi trên, năng lực cao là người dùng sẽ mất thông tin cá thể hoặc nghiêm trọng hơn là thiệt hại về mặt kinh tế tài chính .

4. Các bước của một cuộc tấn công Social Engineering

4.1. Khai thác thông tin và phân tích hành vi

Để mở màn một cuộc tiến công Social Engineering, tin tặc sẽ điều tra và nghiên cứu và khảo sát về tiềm năng. Ví dụ :

  • Nếu mục tiêu tấn công là doanh nghiệp, tin tặc sẽ khai thác tình hình kinh doanh, tìm hiểu sơ lược về bộ máy nhân sự. Những mắt xích yếu nhất sẽ là yếu tố chúng nhắm vào để tấn công.
  • Nếu mục tiêu tấn công là cá nhân, tin tặc sẽ phải tìm cách xây dựng mối quan hệ với người đó hoặc tìm ra những người họ tin tưởng. Tiếp theo, tin tặc sẽ xác định rõ ràng mục tiêu tấn công của mình (SĐT, địa chỉ, hay tài khoản ngân hàng…).

4.2. Xây dựng công cụ tấn công

Ở bước thứ hai, tin tặc sẽ thiết kế xây dựng công cụ tiến công tùy theo tiềm năng tiến công. Ví dụ : Một số điện thoại thông minh đã được đăng kí tên hiển thị là ngân hàng nhà nước mà người dùng sử dụng, một thông tin tài khoản Facebook giả danh người thân trong gia đình của người bị tiến công, …

4.3. Tấn công

Sau khi đã thành công xuất sắc thiết kế xây dựng niềm tin, tin tặc sẽ triển khai đánh cắp những thông tin quan trọng mà chúng đã xác lập ngay từ bước một. Đó hoàn toàn có thể là thông tin của một cá thể hoặc cũng hoàn toàn có thể là hàng loạt tài liệu của một doanh nghiệp .

5. Ảnh hưởng của Social Engineering tới các tổ chức, doanh nghiệp

Tấn công Social Engineering hoàn toàn có thể tác động ảnh hưởng tới tổ chức triển khai, doanh nghiệp với mức độ thiệt hại khác nhau. Dưới đây là những hậu quả mà Social Engineering gây ra cho tổ chức triển khai, doanh nghiệp .

  • Mất dữ liệu

Khi bị tiến công Social Engineering, doanh nghiệp sẽ bị thất thoát tài liệu. Tin tặc hoàn toàn có thể rao bán khối tài liệu đó hoặc phát tán trên mạng xã hội. Nghiêm trọng hơn, chúng hoàn toàn có thể quay lại tống tiền doanh nghiệp. Lúc này, hậu quả không chỉ nằm ở việc mất tài liệu mà còn là thiệt hại kinh tế tài chính nặng nề .

  • Mất hình ảnh và uy tín thương hiệu

Khách hàng và đối tác chiến lược của doanh nghiệp sẽ mất niềm tin khi nghe tin doanh nghiệp bị tiến công Social Engineering. Trên trong thực tiễn, thiệt hại về mặt uy tín và hình ảnh tên thương hiệu khó Phục hồi hơn thiệt hại kinh tế tài chính rất nhiều .

  • Hoạt động kinh doanh bị đình trệ

Nếu tin tặc tiến công mạnh vào sever, năng lực cao là mạng lưới hệ thống mạng sẽ bị đánh sập. Đó là nguyên do mà website của doanh nghiệp hoàn toàn có thể bị tạm ngừng hoạt động giải trí. Tùy vào năng lực khắc phục của doanh nghiệp mà thời hạn này hoàn toàn có thể lê dài từ 1, 2 ngày tới 1,2 tuần .

6. Cách phòng chống tấn công Social Engineering

Chuyên gia bảo mật SecurityBox khuyến nghị những tổ chức triển khai, doanh nghiệp nên triển khai những giải pháp dưới đây để hạn chế tối đa rủi ro đáng tiếc tiến công mạng :

  • Phân quyền rõ ràng so với những thông tin tài khoản mạng xã hội, website, mạng lưới hệ thống mạng.
  • Tránh sử dụng một mật khẩu cho nhiều tài khoản khác nhau nhằm tránh nguy cơ lộ lọt thông tin.

  • Hạn chế đăng thông tin doanh nghiệp lên mạng xã hội để tránh kẻ xấu mạo danh .
  • Nâng cao kiến thức về tấn công và cách phòng tránh Social Engineering cho nhân viên.
  • Thực hiện các buổi tập huấn với các tình huống giả mạo. Qua đó, nâng cao ý thức cảnh giác và kinh nghiệm đối phó khi gặp tình huống tương tự.
  • Sử dụng công cụ rà quét mã độc và công cụ rà quét lỗ hổng an ninh mạng định kỳ để loại bỏ các rủi ro tấn công mạng. Giải pháp Quản trị Nguy cơ An ninh mạng SecurityBox có thể giúp doanh nghiệp làm điều này. Giải pháp SecurityBox vẽ nên bức tranh tổng thể về tình hình an ninh hệ thống, cảnh báo các lỗ hổng và hướng dẫn doanh nghiệp khắc phục trước khi bị tin tặc lợi dụng tấn công.

Giải pháp rà quét lỗ hổng an ninh mạng từ SecurityBox
Nếu doanh nghiệp có nhu yếu bảo vệ bảo mật an ninh mạng, hãy ĐK để nhận tư vấn .

admin

Trả lời

Email của bạn sẽ không được hiển thị công khai.