Smishing là gì?
Smishing là cụm từ được ghép bởi SMS (Short Message Service) và Phishing. Đây là dạng tấn công nhằm lừa đảo người dùng thông qua hình thức gửi tin nhắn SMS đến di động của nạn nhân.
Tin nhắn SMS độc hại này thường chứa một liên kết hoặc số điện thoại và yêu cầu người nhận thực hiện hành động như truy cập trang webm gọi điện hoặc phản hồi tin nhắn. Nếu người dùng làm theo, họ có thể đã vô tình cung cấp cho kẻ tấn công những thông tin nhạy cảm hoặc tải phần mềm độc hại về máy của mình mà không hề hay biết.
Ví dụ điển hình như một số hình ảnh sau:
Các dạng tấn công Smishing phổ biến
Các cuộc tấn công Smishing có nhiều hình thức khác nhau nhưng cùng chung mục đích là lừa nạn nhân tiết lộ thông tin nhạy cảm hoặc nhằm thực hiện các hành vi có lợi cho kẻ tấn công. Cụ thể, có một số dạng tấn công Smishing phổ biến sau:
- Lừa đảo mạo danh: Kẻ tấn công sẽ giả danh tổ chức hoặc cá nhân đã biết như ngân hàng, cơ quan chính phủ hoặc doanh nghiệp uy tín để gửi tin nhắn giả danh cho bạn nhằm khiến bạn tiết lộ thông tin nhạy cảm.
- Lừa đảo hỗ trợ kỹ thuật: Kẻ tấn công có thể giả mảo làm đại diện công ty công nghiệp và cảnh báo rằng thiết bị hoặc tài khoản của bạn đã bị xâm phạm, cần bạn cung cấp dữ liệu để xử lý sự cố.
- Lừa đảo đình chỉ tài khoản: Dạng tin nhắn lừa đảo này sẽ tuyên bố rằng tài khoản ngân hàng hoặc mạng xã hội của bạn đã bị đình chỉ, khóa và nhắn bạn cần xác minh danh tính để lấy lại tài khoản bằng cách cung cấp cho họ thông tin nhạy cảm.
- Lừa đảo giao hàng lỡ: Kẻ tấn công gửi tin nhắn tuyên bố bạn đã lỡ giao hàng và chúng cần bạn cung cấp thông tin cá nhân hoặc gửi một khoản tiền hàng để lên lịch lại việc giao hàng.
- Lừa đảo trúng thưởng, xổ số hoặc quà tặng: Tin nhắn lừa đảo này sẽ tuyên bố rằng bạn đã trúng thẻ quà tặng, giải thưởng hoặc xổ số và khuyến khích bạn nhấp vào liên kết hoặc cung cấp thông tin cá nhân hoặc thanh toán để nhận thưởng, quà tặng.
- Lừa đảo từ thiện: kẻ lừa đảo sẽ mạo danh một tổ chức từ thiện và yêu cầu quyên góp.
- Lừa đảo khảo sát giả mạo: Tin nhắn lừa đảo dạng này sẽ khuyến kích người dùng hoàn thành khảo sát để lấy giải thưởng, nhưng mục đích là lấy thông tin cá nhân.
- Lừa đảo mùa thuế: Tấn công tin nhắn dạng này sẽ khuyên mọi người rằng họ bị nợ tiền sau khi nộp thuế và gửi liên kết đến trang web độc hại nơi họ có thể trả số tiền cần thiết. Hoặc kẻ tấn công sẽ thuyết phục nạn nhân rằng họ có thể được hoàn lại một khoản tiền thuế đã nộp và nhấp vào liên kết để lấy lại tiền.
Và còn nhiều dạng tấn công SMS khác bạn có thể gặp nhưng nhìn chung nó có mục đích nhằm hướng người dùng đến cung cấp thông tin nhạy cảm hoặc click vào liên kết độc hại.
Cách thức hoạt động của tấn công Smishing
Một cuộc tấn công Smishing thường diễn ra theo cách thức hoạt động như sau:
Bước 1: Soạn tin nhắn thu hút người dùng: Kẻ tấn công sẽ soạn tin nhắn SMS lừa đảo, nó thường được bắt chước một tổ chức hợp pháp như ngân hàng, chính phủ hoặc doanh nghiệp thương hiệu uy tín. Văn bản được thiết kế kích thích được lòng hiếu kỳ, sự sợ hãi để thích đẩy người dùng hành động ngay lập tức.
Bước 2: Gửi tin nhắn lừa đảo đến nạn nhân: Kẻ tấn công sẽ có một danh sách số điện thoại của người nhận và tiến hành gửi tin nhắn đã soạn đến những nạn nhân đó. Người nhận sẽ nhận thấy số điện thoại hoặc tên được hiển thị trên điện thoại trông có vẻ hợp pháp khiến nạn nhân dễ bị thuyết phục.
Bước 3: Tạo sự cấp bách khiến nạn nhân hành động ngay: Tin nhắn giả mạo hướng tới sự cấp bách khiến người nhận hành động ngay lập tức để tránh gây hậu quả tiêu cức.
Bước 4: Giải pháp cho vấn đề nạn nhân đang gặp: Để giải quyết vấn đề cấp bách trên, bạn cần nhấp vào liên kết hoặc cung cấp thông tin quan trọng cho kẻ tấn công. Liên kết có thể được chuyển hướng nạn nhân đến một trang lừa đảo, bắt chước các trang uy tín. Tại đây, nạn nhân sẽ phải nhập dữ liệu cá nhân của mình như thông tin tài khoản ngân hàng, thông tin về thẻ tín dụng,…
Bước 5: Thu thập thông tin nhạy cảm của nạn nhân: Ngay sau khi nạn nhân nhập thông tin của họ vào trang lừa đảo, kẻ tấn công sẽ tiến hành thu thập thông tin này. Nó có thể dẫn đến hậu quả nghiêm trọng như đánh cắp danh tính hoặc gian lận tài chính.
Bước 6: Cài đặt phần mềm độc hại: Việc nhấp vào các liên kết đối khi cũng khiến nạn nhân vô tình tải về phần mềm độc hại, điều này sẽ làm tổn hại đến bảo mật và quyền riêng tư bằng cách cung cấp cho kẻ tấn công quyền truy cập vào thiết bị và dữ liệu của nạn nhân.
Hiệu quả của cuộc tấn công smishing sẽ phụ thuộc vào lòng tin của người nhận vào nguồn tin nhắn và cách họ ứng phó với tính cấp bách được gửi đến. Bằng cách nhận thức được các dạng tấn công SMS lừa đảo, bạn có thể tự bảo vệ mình khỏi các cuộc tấn công này một cách hiệu quả.
Các biện phòng phóng tránh tấn công Smishing hiệu quả
Các dạng tấn công Smishing ngày càng trở nên phổ biến và tinh vi hơn. Do đó, bạn cần có các hành động để phòng tránh các tấn công Smishing hiệu quả:
- Lọc SMS để xác định hoặc đánh dấu các tin nhắn đến đáng ngờ
- Sử dụng ứng dụng bảo mật dành cho di động để xác định các liên kết lừa đảo trong tin nhắn, ngăn ngừa truy cập vào trang web độc hại.
- Thường xuyên cập nhật phiên bản di động để vá lỗ hổng bảo mật trên điện thoại
- Tuyệt đối không nhấp vào các liên kết đáng ngờ hoặc tải xuống các tệp đính kèm
- Tận dụng các tính năng bảo mật để giữ an toàn cho dữ liệu cá nhân
- Không bao giờ chia sẻ thông tin cá nhân, thông tin nhạy cảm, thông tin tài khoản ngân hàng qua tin nhắn trừ khi bạn chắc chắn về danh tính người nhận.
- Nếu tin nhắn đến từ các cơ quan, tổ chức, ngân hàng bạn cần kiểm tra thông tin chính thức hoặc gọi điện trực tiếp để xác nhận thông tin.
- Báo cáo khi thấy hành vi lừa đảo qua tin nhắn SMS cho cơ quan có thẩm quyền.
- Sử dụng xác thực đa yếu tố (MFA) để nếu mật khẩu của bạn có bị lộ thì kẻ tấn công cũng không thể xâm phạm đến tài khoản của bạn vì chúng cần thông tin xác thực khác để truy cập.
- Tuyệt đối không phản hồi tin nhắn để bảo vệ bản thân khỏi các nỗ lực tấn công của kẻ xấu.
Mặc dù các giải pháp trển có thể giúp giảm đáng kể nguy cơ trở thành nạn nhân của một cuộc tấn công smishing, nhưng không có biện pháp nào là tuyệt đối. Quan trọng người dùng cần có nhận thức rõ và có sự cảnh giác về các loại tấn công này để giảm thiểu rủi ro cho bạn thân, bảo vệ bản thân khỏi các cuộc tấn công như smishing.
Nếu bạn vô tình trở thành nạn nhân của một cuộc tấn công Smishing, bạn cần thực hiện các hành động sau ngay lập tức:
- Báo cáo vụ tấn công cho cơ quan có thẩm quyền
- Tạm khóa tài khoản tín dụng của bạn để ngăn chặn mọi hành vi giả mạo danh tính của bạn
- Thay đổi mật khẩu và mã PIN tài khoản tài chính
- Theo dõi tài chính, tín dụng và tài khoản trực tuyến khác để phát hiện địa điểm đăng nhập lạ hay các hoạt động khác.
- Quét hệ thống để tìm virus và phần mềm độc hại
Kết luận
Trên đây là tất cả những thông tin chi tiết về tấn công Smishing, cách hoạt động và cách phòng tránh tấn công Smishing hiệu quả. Ngoài các giải pháp trên, bạn cần có sự cảnh giác và tỉnh táo trước các tin nhắn đến hướng bạn đến các hành động nhấp hoặc liên hệ lại.
Cảm ơn bạn đã theo dõi bài viết của chúng tôi!
