1

Bài 1 Phòng chống tấn công

kiểu xã hội
Trong bài học này, bạn sẽ xác định các kỹ thuật tấn công khai thác thông tin kiểu xã hội phổ
biến và cách chống lại chúng.

Bạn sẽ:

1. Xác định cách thu thập thông tin và cách thức thông tin có thể dễ bị tổn thương do
kết quả của kỹ thuật tấn công kiểu xã hội.
2. Thực hành ngăn chặn các cuộc tấn công kỹ thuật xã hội nên được thực hiện.

Nguyn Hòa Anh | [School]

Giới thiệu

Chỉ riêng tấn công giả mạo1, một trong các hình thức tấn công kiểu xã hội2
đã lừa đảo hơn 5 tỷ đô la từ 2013 đên 2016. (Cofense, 2017)

Đến thời điểm này trong khóa học, bạn đã xử lý một số loại mối đe dọa bảo mật và cách để
giảm thiểu tác động của những mối đe dọa đó. Hầu hết những gì bạn đã làm cho đến nay là
các kỹ thuật đơn thuần, nhưng bài học này đề cập đến một trong những kỹ thuật khó nhìn
nhận được: kỹ thuật xã hội. Trong bài học này, bạn sẽ xác định các chiến thuật phổ biến
được các đối tượng tấn công kiểu xã hội sử dụng và cách bạn có thể chống lại các chiến
thuật đó.

Các mối đe dọa bảo mật đến từ nhiều nguồn, chẳng hạn như vi-rút. Nhưng bạn sẽ làm gì
nếu bạn nhận được cuộc gọi từ một người tự xưng là Phó Chủ tịch mới của công ty bạn và
yêu cầu bạn cung cấp thông tin nhạy cảm cho cô ấy? Nếu bạn cung cấp thông tin, bạn có
nguy cơ làm lộ bí mật công ty, nhưng nếu bạn từ chối cung cấp thông tin, bạn có nguy cơ
phải đối mặt với hành động kỷ luật. Bằng cách xác định và trả lời thích hợp cho các cuộc tấn
công kỹ thuật xã hội tiềm ẩn, bạn có thể bảo vệ bản thân và tổ chức của bạn không bị truy
cập thông tin trái phép.

Chủ đề A Hiểu về kỹ thuật tấn công kiểu xã

hội
Cho đến nay trong khóa học này, bạn đã chủ yếu giải quyết các biện pháp phòng ngừa để
tăng hoặc duy trì tính bảo mật cho thông tin của bạn. Nhưng một số mối đe dọa an ninh xảy
ra trong thời gian thực, và bạn cần phải nhận thức được những gì họ đang có và làm thế
nào để đối phó với họ để hoàn thành bức tranh an ninh thông tin tổng thể. Kiểu tấn công
thời gian thực phổ biến là kỹ thuật xã hội. Trong chủ đề này, bạn sẽ xác định các kỹ thuật
khai thác thông tin kiểu xã hội phổ biến để chuẩn bị ứng phó với chúng.

Tấn công lừa đảo trung bình khiến một công ty cỡ vừa thiệt hại 1.6 triệu
USD. Năm 2016, số lượng các cuộc tấn công lừa đảo đã tăng 65% trên
toàn thế giới. (Cofense, 2017)

Huy nhận được một cú điện thoại nói rằng anh ta đã thắng một chuyến du ngoạn bằng rút
thăm trúng thưởng. Để yêu cầu giải thưởng của mình, anh được yêu cầu chuyển khoản để
trang trải chi phí phát sinh. Anh chuyển khoản vào ngày hôm đó, nhưng nhiều ngày sau anh
vẫn đang đợi phiếu chuyến đi mặc dù tiền đã được chuyển. Bạn không thể tự bảo vệ mình

1
Phishing
2
Social Engineering
 3

trước những nỗ lực gian lận mà bạn không nhận ra, dù ở nhà hay tại nơi làm việc. Khả năng
nhận ra những nỗ lực kỹ thuật tấn công kiểu xã hội có thể giúp bạn chuẩn bị để bảo vệ
chống lại họ, đóng góp tích cực cho an ninh tổng thể trong tổ chức của bạn.

Xác định kỹ thuật khai thác thông tin kiểu xã hội

Định nghĩa
Kỹ thuật khai thác thông tin kiểu xã hội là một loại tấn công vào an ninh thông tin, nơi thông
tin nhạy cảm thu được từ các mục tiêu không ngờ đến bằng cách lừa gạt.

Kỹ thuật khai thác thông tin kiểu xã hội được áp dụng cho hầu hết người dùng mục tiêu,
không phải ở phần cứng hoặc phần mềm máy tính. Chúng có thể được bắt đầu trực tiếp
hoặc bằng một cuộc gọi điện thoại, email hoặc thư giấy, hoặc thậm chí là một ứng dụng
phần mềm. Trong quá trình khai thác, kẻ tấn công yêu cầu truy cập vật lý hoặc truy cập
thông tin, sử dụng các chiến thuật tâm lý khuyến khích người được nhắm mục tiêu cung cấp
quyền truy cập được yêu cầu.

Bất kỳ cách nào mà con người giao tiếp với nhau có thể là một hướng để bắt đầu tấn công
khai thác thông tin kiểu xã hội.

Kích hoạt tâm lý

Các yếu tố kích thích tâm lý phổ biến được sử dụng trong Kỹ thuật khai thác thông tin kiểu
xã hội bao gồm:

- Hành vi đáng sợ.

- Đặt tên.
- Các tác nhân gây cảm xúc như tức giận, sợ hãi, phấn khích hoặc hoảng loạn có
thể khiến cho mục tiêu trải nghiệm thông tin hoặc quá tải cảm xúc.
- Thân thiện.
- Đề nghị giúp mục tiêu đáp lại yêu cầu truy cập.
- Ngụy trang tiếng nói hoặc xuất hiện, bao gồm cả việc sử dụng đồng phục, uy tín
giả, để xuất hiện dưới vai trò một nhân vật có thẩm quyền, một kỹ thuật viên hỗ
trợ kỹ thuật v.v..
-

Nguyn Hòa Anh | [School]

Tài liệu tham khảo

Cofense. (2017). Enterprise Phishing Resiliency and Defence Report. Virginia: Cofense.