Pretexting là gì?
Pretexting là một dạng tấn công lừa đảo, ở đó những kẻ tấn công sẽ cố gắng thuyết phục, dẫn dụ nạn nhân cung cấp những thông tin giá trị để truy cập vào hệ thống của họ. Loại tấn công này là một dạng lừa đảo để đánh lừa nạn nhân. Kẻ tấn công sẽ tấn công những người có quyền truy cập vào dữ liệu bí mật của công ty để dễ dàng lấy thông tin.
Dạng tấn công này thường liên quan đến việc xây dựng lòng tin với mục tiêu thông qua các câu chuyện được xây dựng cẩn thận. Sự thành công sẽ phụ thuộc vào kahr năng của kẻ tấn công trong việc tỏ ra hợp pháp và đáng tin cậy để nạn nhân hạ thấp khả năng phòng bị của họ.
Cách thức hoạt động của dạng tấn công Pretexting
Các cuộc tấn công Pretexting diễn ra với nhiều công đoạn được lên kế hoạch tỉ mỉ, để xây dựng lòng tin và thuyết phục nạn nhân tiết lộ thông tin bí mật hoặc thực hiện các hành động cụ thể. Nó thường diễn ra theo các bước sau:
- Nghiên cứu và thu thập thông tin: Kẻ tấn công sẽ nghiên cứu kỹ về cá nhân hoặc tổ chức mục tiêu, thông qua các cơ sở dữ liệu công khai, Social, website công ty,… để thu thập thông tin để có lý do thuyết phục hơn. Bước này có vai trò quan trọng để tạo ra câu chuyện đáng tin cậy, tạo dựng được lòng tin với nạn nhân.
- Phát triển kịch bản: Kẻ tấn công lên một kịch bản hợp lý với mục tiêu. Câu chuyện này có thể liên quan đến việc mạo danh một người nào đó trong hoặc ngoài tổ chức. Sự thành công sẽ phụ thuộc vào câu chuyện biện minh cho lý do tại sao cần có thông tin nhất định.
- Xây dựng lòng tin và thiết lập thẩm quyền: Khi mục tiêu được liên lạc có thể qua số điện thoại hoặc email, kẻ tấn công sử dụng các chiến thuật tâm lý để xây dựng mối quan hệ và thiết lập thẩm quyền trong vai trò được cho là của họ.
- Thực hiện yêu cầu: Với lòng tin được thiết lập dựa trên lý do trên, kẻ tấn công sẽ đưa ra các yêu cầu trực tiếp về dữ liệu nhạy cảm như mật khẩu, quyền truy cập, mã Pin, thông tin tài chính hoặc thuyết phục nạn nhân thực hiện các hành động có lợi cho việc xâm nhập hệ thống.
- Thu thập dữ liệu và chiến lược thoát: Sau khi kẻ tấn công đã thành công lấy thông tin nhạy cảm, chúng sẽ thu thập và sử dụng nó cho các mục đích như truy cập tài khoản tài chính, xâm nhập hệ thống hoặc bán dữ liệu cho bên thứ 3 nhằm thu lợi. Chiến lược thoát được thực hiện để giảm thiếu các dấu vết bị lộ, đảm bảo khi phát hiện các hành động đáng ngờ, chúng có thể che dấu dấu vết và thoát ra mà không để lại dấu vết rõ ràng.
Dạng tấn công này được thiết kể tỉ mỉ và thao túng tâm lý nạn nhân dựa trên câu chuyện phù hợp nhằm xây dựng lòng tin và thẩm quyền với mục tiêu.
Các loại tấn công Pretexting phổ biến nhất hiện nay
Phishing: Là hình thức social engineering, với mục tiêu muốn đánh cắp dữ liệu cá nhân của nạn nhân như tên người dùng, mật khẩu và thông tin ngân hàng. Mục đích chính để tạo sự tin tưởng đến nạn nhân bằng cách đưa email giả mạo, gọi điện và giả danh nhân viên có thẩm quyền. Nhằm đánh lừa bạn bằng cách gửi email nặc danh từ ngân hàng và hướng dẫn bạn click vào để lấy thông tin của bạn.
Smishing: kẻ tấn công sẽ chọn sử dụng tin nhắn SMS để tạo sự kết nối và tin tưởng khi bạn gửi tin nhắn SMS của ngân hàng.
Vishing: là dạng tương tự phishing và có đi kèm giọng nói. Kẻ mạo danh sẽ giả mạo như cách phishing thực hiện. Bạn sẽ được kết nối mail với một người với giọng điệu phù hợp. Quá trình này rất hiệu quả với những ai không có hiểu biết, người lớn tuổi không biết sử dụng tin nhắn SMS hay email.
Impersonation: Kẻ mạo danh bắt chước hành động của người khác như bạn bè hoặc đồng nghiệp. Đòi hỏi phải thiết lập độ tin cậy, thông qua số điện thoại hoặc email của các tổ chức hoặc cá nhân giả mạo.
Piggybacking: Đây là hình thức tấn công liên quan đến việc một người được ủy quyền cấp cho một tác nhân khác quyền sử dụng thông tin đăng nhập của họ.
Baiting: là dạng tấn công mồi nhử dụ mục tiêu vào bẫy để đánh cắp thông tin nhạy cảm hoặc phát tán phần mềm độc hại. Mồi nhử thường có một yếu tố trông giống thật như logo công ty.
Cách thức bảo vệ tổ chức khỏi các cuộc tấn công Pretexting
Nếu bạn muốn ngăn chặn tấn công Pretexting, bạn có thể áp dụng các biện pháp an toàn sau đây:
- Cần đảm bảo mọi nhân viên trong tổ chức đều đeo thẻ tên và giấy tờ để nhận dạng khi ra vào văn phòng
- Phải tập trung vào việc xóa Teaser của kẻ tấn công đang cố săn lùng mật khẩu của bạn. Bạn cần đảm bảo mật khẩu được bảo vệ tuyệt đối, tập trung vào công nghệ mới, quản lý thông tin xác thực và đa yếu tố khác.
- Tuyệt đối không nhấp vào các liên kết lạ từ bất cứ email nào
- Bạn sẽ nhận được bản cập nhật liên tục từ phần mềm diệt Virus của mình
- Đào tạo nhân viên nhận thức về bảo mật và để phòng thủ các lỗi từ con người
- Khi bạn nhận được cuộc gọi nào, trước khi thực hiện hành động, bạn cần xác nhận cuộc gọi, email hay tin nhắn một cách chính xác.
- Luôn luôn xác minh cuộc gọi, email, tin nhắn để ngăn chặn các cuộc tấn công mạng xã hội.
Với cá nhân, mỗi người cần đặc biệt cảnh giác bất cứ khi nào bất kỳ ai chủ động liên lạc với bạn và yêu cầu thông tin cá nhân. Hãy nhớ rằng, ngân hàng của bạn đã biết mọi thứ cần biết về bạn và họ không cần bạn cho họ biết số tài khoản của bạn. Nếu bạn nghi ngờ về cuộc trò chuyện với một tổ chức, hãy cúp máy và liên lạc với tổ chức qua thông tin được họ công khai để xác minh cuộc trò chuyện.
Lời kết
Trên đây, LANIT đã chia sẻ đến bạn thông tin về Pretexting – một dạng tấn công lừa đảo thông qua việc xây dựng lòng tin của nạn nhân. Hy vọng rằng với những biện pháp an toàn ngăn chặn tấn công Pretexting được LANIT chia sẻ trên đây sẽ giúp bạn cảnh giác trước mọi hoạt động đáng ngờ liên quan đến thông tin nhạy cảm của cá nhân/tổ chức.
Cảm ơn bạn đã theo dõi bài viết của LANIT!
