Giới thiệu

Theo CertiK, một nền tảng xác minh blockchain và hợp đồng thông minh, các cuộc tấn công lừa đảo đã tăng mạnh lên đến 170% trong quý II năm 2022, như được nhấn mạnh trongbáo cáo hàng quýNgoài ra, Cisco Talos, một tổ chức tình báo mối đe dọa và nghiên cứu trong hệ thống Cisco, dự đoán rằng các cuộc tấn công kỹ thuật xã hội, đặc biệt là lừa đảo thông qua email, sẽ trỗi dậy như những mối đe dọa chiếm ưu thếtrong Web3và siêu thế giới trong những năm sắp tới.

Trong khi bong bóng dotcom dần chiếm ưu thế, trở thành một trong những sự kiện được tìm kiếm rộng rãi nhất trong lịch sử, kỹ thuật xã hội trong không gian tiền điện tử đang dần có được sự nổi tiếng với sự gia tăng hàng ngày của lo ngại từ các nạn nhân của các vụ lừa đảo và các kế hoạch lừa đảo, điều này đã khiến nhiều người trong tình trạng hỗn loạn và bối rối. Với sự gia tăng của việc sử dụng tiền điện tử, NFT và công nghệ Web3, sự xuất hiện của các vụ lừa đảo trong những lĩnh vực này cũng đang tăng lên.

Mặc dù có vẻ hài hước, sự đổi mới dần đi xa hơn việc tinh chỉnh một số quy trình; nó cũng có thể thấy trong cách mà các kế hoạch mới liên tục được sửa đổi và bịa đặt để lừa nhiều người. Thú vị là, một số người dùng Web3 vẫn trở thành nạn nhân vì luôn khó nhận biết hoặc cảm nhận khi lừa đảo xảy ra. Thống kê đã cho thấy rằng nhiều người không biết đến một số hành vi lừa đảo cho đến khi họ chìm đắm trong đó.

Đổi mới và Xu hướng Không thể Dự đoán trong Kỹ thuật Xã hội

Những kẻ xấu liên tục nghĩ ra các phương pháp mới để lừa dối người dùng nhằm buộc họ đầu hàng tài sản tiền điện tử, NFT hoặc thông tin đăng nhập bí mật, với hình thức lừa đảo thông qua trang web giả mạo là một hình thức tấn công kỹ thuật xã hội phổ biến.

Kỹ thuật xã hội là một yếu tố lan truyền trong gần như mọi cuộc tấn công an ninh mạng, xoay quanh các hình thức khác nhau, như lừa đảo qua email cổ điển và virus được tiêm kích với những yếu tố xã hội. Tác động của nó không chỉ giới hạn trong các thiết bị máy tính để bàn mà còn lan rộng đến các vùng lãnh thổ kỹ thuật số, đe dọa thông qua các cuộc tấn công di động. Đáng chú ý, sự lan truyền của kỹ thuật xã hội không hạn chế trong không gian kỹ thuật số, vì nó có thể hiện thân trong cuộc tấn công trực tiếp, tạo ra một cảnh quan đa dạng về mối đe dọa.

Phạm vi của thiệt hại về kỹ thuật xã hội không thể được bao phủ và tính toán đầy đủ do sự lan rộng rãi của nó. Các nhà nghiên cứu trong lĩnh vực an ninh mạng đã khám phá ra một loạt 57 cách rõ ràng mà các cuộc tấn công mạng có thể ảnh hưởng tiêu cực đến cá nhân, doanh nghiệp và thậm chí cả toàn bộ quốc gia. Những ảnh hưởng này bao gồm một loạt rộng lớn, bao gồm đe dọa đến tính mạng, gây ra thách thức về sức khỏe tâm thần như trầm cảm, gánh phải các khoản phạt quy định và làm gián đoạn các hoạt động hàng ngày thông thường.

Nguyên tắc chủ yếu là một chiến lược thao túng tận dụng những sai lầm của con người để thu thập thông tin cá nhân, truy cập không được ủy quyền hoặc tài sản có giá trị. Đáng chú ý là sự thật rằng những chiêu trò này được thiết kế một cách tinh vi xung quanh việc hiểu biết về quá trình suy nghĩ và hành vi của con người, khiến chúng trở nên đặc biệt hiệu quả trong việc thao túng người dùng. Bằng việc hiểu rõ động lực chỉ đạo hành động của người dùng, kẻ tấn công có thể lừa dối và ảnh hưởng họ một cách tinh tế.

Các loại tấn công kỹ thuật xã hội

Nguồn:Office 1.com

Các cuộc tấn công lừa đảo

Một trong những chiêu thức ưa thích của các tội phạm kỹ thuật xã hội luôn là Các cuộc tấn công lừa đảo. Những kẻ tấn công này giả vờ là từ ngân hàng hoặc sàn giao dịch tiền điện tử của bạn hoặc thậm chí là một người bạn trong khi cố gắng làm cho bạn tiết lộ mật khẩu hoặc chi tiết riêng tư của bạn.

• Spam Phishing: Đây giống như một lưới đánh cá được ném rộng, cố gắng bắt bất kỳ ai. Đó không phải là cá nhân; nó chỉ hy vọng ai đó mắc mồi.
• Spear Phishing và Whaling: Đây là hình thức nhắm mục tiêu cụ thể hơn. Chúng sử dụng thông tin cụ thể về bạn, như tên của bạn, để lừa bạn. Whaling tương tự như việc nhắm vào cá mập lớn, như những người nổi tiếng hoặc quan chức cao cấp.

Bây giờ, họ thực hiện những mánh khóe này như thế nào?

• Lừa đảo qua điện thoại (Vishing): Họ có thể gọi bạn, hoặc sử dụng tin nhắn ghi âm hoặc người thật, làm bạn tin tưởng và hành động nhanh chóng
• Lừa đảo qua SMS (Smishing): Bạn nhận được tin nhắn văn bản có liên kết hoặc tin nhắn yêu cầu bạn trả lời khẩn cấp. Nó có thể dẫn bạn đến một trang web giả mạo hoặc email hoặc số điện thoại lừa đảo
• Email lừa đảo: Đây là cách cổ điển. Bạn nhận được một email mà lừa bạn nhấp vào một liên kết hoặc mở một điều gì đó xấu.
• Lừa đảo Angler: Trên mạng xã hội, họ có thể giả vờ là dịch vụ khách hàng, chiếm đoạt cuộc trò chuyện của bạn vào tin nhắn riêng
• Lừa đảo công cụ tìm kiếm: Họ thao tác kết quả tìm kiếm, vì vậy bạn sẽ đến trang web giả mạo thay vì trang web thực sự
• Liên kết lừa đảo URL: Những liên kết khó chịu này xuất hiện trong email, tin nhắn hoặc mạng xã hội, cố gắng lôi kéo bạn vào các trang web giả mạo
• Lừa đảo trong phiên: Điều này xảy ra khi bạn đang duyệt web, với cửa sổ pop-up giả mạo yêu cầu thông tin đăng nhập của bạn

Các loại kỹ thuật kỹ thuật xã hội khác bao gồm:

Baiting Attacks

Kỹ thuật câu đáp dối bạn bằng cách sử dụng sự tò mò tự nhiên của bạn để mắc bạn vào tay kẻ tấn công. Họ thường hứa hẹn một cái gì đó miễn phí hoặc độc quyền để lợi dụng bạn, thường liên quan đến việc lây nhiễm thiết bị của bạn bằng phần mềm độc hại. Các phương pháp phổ biến bao gồm để lại ổ đĩa USB ở các không gian công cộng hoặc gửi tệp đính kèm trong email với các ưu đãi miễn phí hoặc phần mềm giả mạo.

Tấn công vật lý

Những vụ tấn công này liên quan đến kẻ tấn công xuất hiện trực tiếp, giả vờ là ai đó có thẩm quyền để tiếp cận các khu vực hoặc thông tin bị hạn chế. Điều này phổ biến hơn trong các tổ chức lớn. Kẻ tấn công có thể giả vờ là một nhà cung cấp đáng tin cậy hoặc thậm chí là một nhân viên cũ. Điều này rủi ro, nhưng nếu thành công, phần thưởng rất lớn.

Tấn công trước văn

Pretexting sử dụng một danh tính giả mạo để thiết lập sự tin tưởng, giống như giả mạo một nhà cung cấp hoặc một nhân viên. Kẻ tấn công tương tác một cách tích cực với bạn và có thể lợi dụng ví của bạn sau khi họ thuyết phục bạn rằng họ là người đáng tin cậy.

Truy cập tấn công Tailgating

Tailgating, hoặc piggybacking, là khi ai đó theo sau một người được ủy quyền vào một khu vực hạn chế. Họ có thể dựa vào sự lịch sự của bạn để giữ cửa hoặc thuyết phục bạn rằng họ được phép vào. Pretexting cũng có thể đóng vai trò ở đây.

Tấn công Quid Pro Quo

Điều này liên quan đến việc trao đổi thông tin của bạn để nhận phần thưởng hoặc bồi thường. Họ có thể cung cấp quà tặng hoặc nghiên cứu để có được dữ liệu của bạn, hứa hẹn một cái gì đó có giá trị. Thảo nào, họ chỉ lấy dữ liệu của bạn mà không cho bạn bất cứ điều gì.

Cuộc tấn công scareware

Trong các cuộc tấn công scareware, phần mềm độc hại khiến bạn hoảng sợ và thúc đẩy bạn hành động bằng cách hiển thị cảnh báo giả về nhiễm phần mềm độc hại hoặc tài khoản bị xâm nhập. Nó thúc đẩy bạn mua phần mềm bảo mật ảo có thể tiết lộ chi tiết riêng tư của bạn.

Ví dụ về Các Cuộc Tấn Công Kỹ Thuật Xã Hội

Nhấn mạnh những ví dụ này cũng có thể được xem như điểm nhấn của bài viết này để giúp độc giả thực hiện các bước phòng ngừa hơn khi đối mặt với những tình huống như vậy.

Các ví dụ sau đây là các cuộc tấn công kỹ thuật xã hội:

Tấn công của sâu

Kẻ tội phạm mạng lấy sự chú ý bằng cách lôi kéo người dùng nhấp vào các liên kết hoặc tệp tin bị nhiễm. Các ví dụ bao gồm sâu LoveLetter vào năm 2000, sâu email Mydoom vào năm 2004 và sâu Swen giả mạo thông điệp của Microsoft cung cấp một bản vá bảo mật giả mạo.

Các Kênh Phân Phối Liên Kết Phần Mềm Độc Hại

Liên quan đến phần mềm độc hại, các liên kết bị nhiễm có thể được gửi qua email, tin nhắn tức thì hoặc phòng trò chuyện trên internet. Virus di động có thể được gửi qua tin nhắn SMS. Lưu ý rằng những tin nhắn này thường sử dụng những từ ngữ hấp dẫn để lôi kéo người dùng nhấp chuột, vượt qua bộ lọc antivirus của Email.

Tấn công mạng Ngang hàng (P2P)

Trong các mạng P2P, chúng được lợi dụng để phân phối phần mềm độc hại với những tên hấp dẫn. Các tập tin như "AIM & AOL Password Hacker.exe" hoặc "Playstation emulator crack.exe" thu hút người dùng tải xuống và chạy chúng.

Làm xấu hổ người dùng bị nhiễm

Những kẻ tạo malware thao tác nạn nhân bằng cách cung cấp các tiện ích giả mạo hoặc hướng dẫn hứa hẹn lợi ích bất hợp pháp, như truy cập internet miễn phí hoặc trình tạo số thẻ tín dụng. Nạn nhân, không muốn tiết lộ hành động bất hợp pháp của mình, thường tránh báo cáo về việc bị nhiễm.

Làm thế nào để Kỹ thuật Xã hội hoạt động?

Nguồn:Imperva, Inc.

Các cuộc tấn công kỹ thuật xã hội chủ yếu dựa vào việc giao tiếp chân thực giữa kẻ tấn công và mục tiêu. Thay vì dựa vào các phương pháp lực lượng để xâm nhập dữ liệu, các kẻ tấn công thường nhằm vào việc thao túng người dùng để đe dọa an ninh của chính họ.

Vòng lặp tấn công kỹ thuật xã hội tuân theo quy trình hệ thống được sử dụng bởi những kẻ phạm tội này để đánh lừa cá nhân một cách hiệu quả. Các bước chính trong vòng lặp này như sau:

• Các cuộc tấn công kỹ thuật xã hội thường diễn ra theo một loạt bước. Kẻ tấn công độc hại bắt đầu quá trình bằng cách tìm hiểu về lý lịch của nạn nhân tiềm năng, nhằm thu thập thông tin quan trọng như các thói quen bảo mật yếu hoặc điểm nhập không an toàn.
• Sau khi được trang bị đầy đủ chi tiết, thủ phạm thiết lập niềm tin với nạn nhân, sử dụng nhiều chiến thuật khác nhau. Tấn công phi kỹ thuật bao gồm các phương pháp như tạo ra sự khẩn cấp giả tạo, đóng giả là một nhân vật có thẩm quyền hoặc treo lủng lẳng những phần thưởng hấp dẫn.
• Sau đó, họ rút lui, có nghĩa họ rút lui sau khi người dùng đã thực hiện hành động mong muốn.

Sự thao tác này thường dựa vào nghệ thuật thuyết phục, nơi kẻ tấn công sử dụng các chiến lược tâm lý để lợi dụng hành vi con người. Bằng cách hiểu biết về những chiến lược này, mọi người có thể nhận biết và chống lại các cố gắng kỹ thuật xã hội tiềm ẩn, góp phần tạo môi trường kỹ thuật số an toàn hơn. Vì vậy, hãy luôn cập nhật thông tin, tỉnh táo và ưu tiên an toàn trực tuyến!

Kỹ thuật xã hội trong Web 3.0

Nguồn: Systango

Gần đây, không gian Web 3.0 đã trở thành nơi cư trú quan trọng cho nhiều hoạt động kỹ thuật xã hội độc hại. Trong lĩnh vực tiền điện tử, hacker thường sử dụng các chiến thuật kỹ thuật xã hội để có quyền truy cập trái phép vào ví tiền điện tử hoặc tài khoản. Tài sản kỹ thuật số của người dùng tiền điện tử, lưu trữ trong ví có các khóa riêng tư mật, trở thành mục tiêu hàng đầu của các chiêu trò kỹ thuật xã hội do tính nhạy cảm của chúng.

Thay vì dựa vào sức mạnh vật lý để xâm nhập an ninh và đánh cắp tài sản tiền điện tử, thủ phạm tận dụng các kỹ thuật khác nhau để lợi dụng các yếu điểm của con người. Ví dụ, những kẻ tấn công có thể triển khai các kế hoạch để đánh lừa người dùng để tiết lộ khóa riêng thông qua các phương pháp dường như vô tội, như email lừa đảo. Hãy tưởng tượng nhận được một email có vẻ đến từ dịch vụ ví của bạn hoặc đội ngũ hỗ trợ, nhưng thực tế, đó là một cố gắng lừa đảo nhằm khiến bạn tiết lộ thông tin quan trọng.

Ví dụ, một bức ảnh về quá trình kỹ thuật xã hội thử nghiệm trên X (trước đây là Twitter) được đặt dưới đây. Để nói ít nhất, X có thể được tham khảo là một sản phẩm toàn cầu với những bức tường lửa mạnh mẽ và bảo vệ, nhưng đáng tiếc, kỹ thuật xã hội không biết đến ranh giới vì những tội phạm này tiếp tục phát minh ra các mô hình tiến bộ và sáng tạo hơn để xâm nhập qua bất kỳ bức tường nào hoặc người/tổ chức mà họ muốn truy cập.

Nguồn: Hỗ trợ X

Một tweet khác đã được nhìn thấy trên X vào ngày 15 tháng 7 năm 2020, từ một người dùng với tên gọi ‘@loppCông việc nghệ thuật của những chuyên gia kỹ thuật xã hội dường như quen thuộc với anh ấy, vì các tweet của anh ấy cho thấy một số mức độ kinh nghiệm.

Nguồn:Jameson Loop trên X

Để bảo vệ tài sản tiền điện tử của bạn, việ cần phải cẩn thận trước những chiêu trò lừa đảo như vậy. Hãy cẩn thận với những email hoặc tin nhắn đột xuất, xác minh tính xác thực của thông tin trao đổi, và không bao giờ chia sẻ khóa riêng với các nguồn không quen biết. Một tweet khác vào ngày 13 tháng 2 năm 2022, cho thấy một sự chênh lệch xa lạ từ các hoạt động tương tự.

Nguồn:Thomasg.eth trên X

Hơn nữa, vào tháng 9 năm 2023, giao thức phi tập trung Balancer, hoạt động trên blockchain Ethereum, đã báo cáo một sự cố bảo mật liên quan đến một cuộc tấn công kỹ thuật xã hội. Nền tảng đã lấy lại kiểm soát của miền của mình nhưng cảnh báo người dùng về một mối đe dọa tiềm ẩn từ một trang web không được ủy quyền. Balancer khuyên người dùng nên duy trì sự cảnh giác và nhận thức về những rủi ro liên quan đến sự cố.

Nguồn: Balancer trên X

Đặc điểm của các cuộc tấn công kỹ thuật xã hội

Các cuộc tấn công kỹ thuật xã hội xoay quanh việc sử dụng thành thạo sự thuyết phục và tự tin của kẻ thực hiện, thuyết phục những người khác thực hiện những hành động mà họ không thường xem xét.

Trước những chiến thuật này, cá nhân thường thấy mình phải đầu hàng với những hành vi lừa đảo sau đây:

• Cảm xúc Tăng Cao: Sự thao túng cảm xúc là một công cụ mạnh mẽ, lợi dụng các cá nhân ở trạng thái cảm xúc cao hơn. Mọi người dễ dàng hơn trong việc đưa ra quyết định không hợp lý hoặc mạo hiểm khi trải qua cảm xúc tăng cao. Các chiến thuật bao gồm kích động nỗi sợ hãi, sự hào hứng, sự tò mò, sự tức giận, tội lỗi hoặc buồn bã.
• Tính cấp bách: Những lời kêu gọi hoặc yêu cầu cần được xử lý ngay là một chiến lược đáng tin cậy đối với những kẻ tấn công. Tạo ra một cảm giác cấp bách, những kẻ tấn công có thể đưa ra một vấn đề cấp bách mà họ cho là cần sự chú ý ngay lập tức hoặc cung cấp một giải thưởng hoặc phần thưởng có thời hạn. Những chiến thuật này được thiết kế để gạt bỏ khả năng suy nghĩ phê phán.
• Niềm tin: Việc xác định tính đáng tin cậy là rất quan trọng trong các cuộc tấn công kỹ thuật xã hội. Sự tự tin là một yếu tố quan trọng, vì kẻ tấn công tạo ra một câu chuyện dựa trên nghiên cứu đủ về mục tiêu để làm cho nó dễ tin và ít gây nghi ngờ.

Cách nhận biết các cuộc tấn công kỹ thuật xã hội

Nguồn: Xiph Cyber

Việc phòng ngừa kỹ thuật xã hội bắt đầu từ việc tự nhận thức. Hãy dành một khoảnh khắc để suy nghĩ trước khi phản ứng hoặc hành động, vì kẻ tấn công phụ thuộc vào phản ứng nhanh chóng. Dưới đây là một số câu hỏi để xem xét nếu bạn nghi ngờ một cuộc tấn công kỹ thuật xã hội:

• Kiểm tra cảm xúc của bạn: Cảm xúc của bạn có tăng cao không? Bạn có thể dễ bị tác động nếu bạn cảm thấy lạ kỳ, sợ hãi hoặc hào hứng không bình thường. Cảm xúc cao có thể làm mờ quyết định, làm cho việc nhận ra những tín hiệu đỏ này trở nên quan trọng.
• Xác minh Người gửi Tin nhắn: Tin nhắn có đến từ người gửi hợp lệ không? Kiểm tra địa chỉ Email và hồ sơ trên mạng xã hội để phát hiện sự khác biệt tinh tế, như tên bị viết sai chính tả. Nếu có thể, xác minh với người gửi định mệnh thông qua các phương tiện khác, vì các hồ sơ giả mạo rất phổ biến.
• Xác nhận danh tính người gửi: Bạn có chắc chắn rằng bạn bè của bạn đã gửi tin nhắn không? Xác nhận với người đó xem họ đã gửi tin nhắn, đặc biệt là nếu nó liên quan đến thông tin nhạy cảm. Họ có thể không biết về một vụ hack hoặc giả mạo.
• Kiểm tra Chi tiết trang web: Trang web có chi tiết lạ lẫm không? Chú ý đến những không đều trong URL, chất lượng hình ảnh, logo lỗi thời, hoặc lỗi chính tả trên trang web. Nếu có điều gì đó cảm thấy không ổn, hãy rời khỏi trang web ngay lập tức.
• Đánh giá tính xác thực của Đề xuất: Đề xuất có vẻ quá tốt để tin không? Hãy cẩn thận với những đề xuất hấp dẫn, vì chúng thường thúc đẩy các cuộc tấn công kỹ thuật xã hội. Hỏi tại sao ai đó đang cung cấp các mặt hàng có giá trị cao mà lại không có lợi nhuận gì của họ, và luôn cảnh giác trước việc thu thập dữ liệu.
• Kiểm tra Các Tệp Đính Kèm và Liên Kết: Có tệp đính kèm hoặc liên kết nào có vẻ đáng ngờ không? Nếu một liên kết hoặc tên tệp xuất hiện mơ hồ hoặc không liên quan, hãy xem xét lại tính hợp pháp của toàn bộ trao đổi thông tin. Các dấu hiệu đỏ có thể bao gồm thời gian kỳ lạ, ngữ cảnh bất thường hoặc các yếu tố đáng ngờ khác.
• Yêu cầu Xác minh Danh tính: Người đó có thể chứng minh danh tính của mình không? Nếu ai đó yêu cầu truy cập, đặc biệt là trực tiếp, đề nghị kiên quyết xác minh danh tính. Đảm bảo họ có thể chứng minh mối liên kết với tổ chức được tuyên bố, dù là trực tuyến hay trực tiếp, để ngăn chặn trường hợp trở thành nạn nhân của việc xâm phạm vật lý.

Kết luận

Cảnh quan về các cuộc tấn công kỹ thuật xã hội ngày càng phức tạp đòi hỏi sự cảnh giác liên tục từ người dùng Web3. Trong khi sự đổi mới đã cách mạng hóa cuộc sống của chúng ta, nó cũng trở thành một thanh kiếm hai lưỡi, truyền sức mạnh cho cả sự tiến bộ và các đối tượng độc hại. Khi trách nhiệm bảo vệ tài sản kỹ thuật số của chúng ta đặt trên vai chúng ta, việc thực hiện các biện pháp tích cực là rất quan trọng.

Bài viết này đã trang bị cho bạn kiến thức quý báu để nhận diện và chống lại các cố gắng kỹ thuật xã hội. Hãy nhớ, chậm lại và suy nghĩ một cách phê phán trước khi thực hiện bất kỳ hành động nào, đó là chìa khóa phòng thủ của bạn. Thực hiện các biện pháp ngăn chặn được liệt kê, chẳng hạn như kiểm tra kênh giao tiếp, triển khai xác thực đa yếu tố, củng cố mật khẩu và cập nhật thông tin về các kỹ thuật lừa đảo tiến hóa.

Chúng ta có thể cùng nhau xây dựng một môi trường Web3 an toàn và có trách nhiệm hơn bằng cách chú ý và tích cực. Hãy nhớ, trách nhiệm nằm ở từng cá nhân để bảo vệ bản thân và tài sản kỹ thuật số của họ. Vì vậy, hãy cảnh giác, hãy cập nhật thông tin và hãy an toàn!