Phishing qua email: cách nhận biết và xây dựng lớp phòng thủ cho doanh nghiệp
Phần lớn sự cố an ninh mạng ở doanh nghiệp vừa và nhỏ không bắt đầu bằng một kỹ thuật tấn công phức tạp, mà bằng một email trông có vẻ bình thường. Kẻ tấn công nhắm vào người dùng vì đó là mắt xích dễ khai thác hơn so với hệ thống đã được hardening. Hiểu đúng các dạng tấn công và dựng phòng thủ nhiều lớp giúp giảm đáng kể rủi ro này.
Các dạng tấn công qua email thường gặp
- Phishing đại trà: email giả mạo ngân hàng, nhà cung cấp dịch vụ, bưu chính… gửi hàng loạt, dẫn người dùng đến trang đăng nhập giả để lấy thông tin tài khoản.
- Spear phishing: email nhắm vào một cá nhân hoặc bộ phận cụ thể, dùng thông tin công khai về công ty và người nhận để tăng độ tin cậy.
- Business Email Compromise (BEC): giả mạo lãnh đạo hoặc đối tác để yêu cầu chuyển tiền, đổi tài khoản nhận thanh toán. Email thường không có link hay tệp độc hại nên dễ qua bộ lọc.
- Mã độc qua tệp đính kèm: tài liệu Office có macro, tệp nén, tệp ISO, hoặc link tải về dưới vỏ bọc hóa đơn, báo giá, hợp đồng.
Dấu hiệu nhận biết email đáng ngờ
- Địa chỉ gửi gần giống tên miền thật nhưng sai một vài ký tự, hoặc tên hiển thị khác với địa chỉ thật khi di chuột vào.
- Nội dung tạo cảm giác khẩn cấp, đe dọa khóa tài khoản hoặc yêu cầu thực hiện ngay.
- Yêu cầu bất thường: đổi thông tin thanh toán, mua thẻ quà tặng, gửi mật khẩu hoặc mã xác thực.
- Link hiển thị một đằng nhưng trỏ về một đằng, hoặc dẫn đến trang đăng nhập không đúng tên miền quen thuộc.
- Tệp đính kèm không được chờ đợi, đặc biệt là tệp yêu cầu bật macro hoặc nhập mật khẩu để mở.
Xây dựng phòng thủ nhiều lớp
1. Xác thực nguồn gửi: SPF, DKIM, DMARC
Ba cơ chế này giúp máy chủ nhận mail kiểm tra email có thực sự đến từ tên miền mà nó tuyên bố hay không. Doanh nghiệp nên cấu hình đầy đủ cho tên miền của mình và đưa chính sách DMARC lên mức cao dần (từ giám sát đến từ chối) để hạn chế việc tên miền bị giả mạo gửi cho đối tác và khách hàng.
2. Lọc email tại gateway
Dịch vụ bảo vệ email (secure email gateway hoặc giải pháp tích hợp như Microsoft Defender for Office 365, Bitdefender GravityZone Email Security…) kiểm tra danh tiếng người gửi, phân tích link, mở tệp đính kèm trong sandbox và phát hiện các mẫu giả mạo. Cần theo dõi báo cáo để tinh chỉnh chính sách thay vì cấu hình một lần rồi bỏ đó.
3. Bảo vệ danh tính phía sau
Giả định rằng sẽ có lúc một người dùng nhập mật khẩu vào trang giả. Xác thực đa yếu tố (MFA), Conditional Access và việc chặn legacy authentication giúp mật khẩu bị lộ chưa đủ để kẻ tấn công đăng nhập thành công.
4. Nâng cao nhận thức người dùng
Đào tạo ngắn, lặp lại định kỳ và có tình huống thực tế hiệu quả hơn một buổi tập huấn dài một lần. Quan trọng là tạo thói quen báo cáo: người dùng cần một nút hoặc địa chỉ báo cáo dễ dùng và biết rằng báo cáo nhầm không bị trách mắng.
5. Quy trình cho giao dịch tài chính
BEC thường thành công vì quy trình lỏng, không phải vì công nghệ yếu. Mọi yêu cầu đổi thông tin thanh toán hoặc chuyển tiền bất thường nên được xác minh qua một kênh độc lập (gọi lại số đã lưu sẵn) và có hai người tham gia duyệt.
Khi nghi ngờ đã có người bấm vào link
- Cô lập thiết bị khỏi mạng nếu đã mở tệp đính kèm đáng ngờ.
- Đổi mật khẩu tài khoản liên quan và thu hồi các phiên đăng nhập đang hoạt động.
- Kiểm tra quy tắc chuyển tiếp email và quy tắc hộp thư mới tạo (kẻ tấn công thường tạo rule để che giấu).
- Tìm và thu hồi các email tương tự đã gửi đến người dùng khác.
- Ghi nhận diễn biến để rút kinh nghiệm và cập nhật quy trình.
Nếu doanh nghiệp cần đánh giá hiện trạng hoặc xây dựng lộ trình triển khai phù hợp, đội ngũ DHTD sẵn sàng trao đổi và tư vấn theo bối cảnh cụ thể của từng đơn vị.
