Một cuộc gọi điện thoại có sức thuyết phục có thể gây thiệt hại lớn hơn nhiều so với kỳ vọng của nhiều tổ chức. Kẻ tấn công giờ đây không còn cần đến malware hay các kỹ thuật khai thác phức tạp để gây gián đoạn khi chỉ cần lòng tin, sự cấp bách và sai sót của con người là đã có thể mở toang cánh cửa nhanh hơn. Đó là lý do Vishing / Voice Phishing đang trở thành một rủi ro ngày càng lớn đối với doanh nghiệp: nó nhắm trực tiếp vào con người theo thời gian thực, gây áp lực buộc họ đưa ra quyết định nhanh chóng và thường dễ dàng vượt qua các biện pháp kiểm soát an ninh truyền thống vốn được xây dựng để chặn các tệp hoặc liên kết độc hại.
Cách các cuộc tấn công qua giọng nói tạo ra rủi ro thực sự cho doanh nghiệp
Vishing sử dụng các cuộc gọi điện thoại, thư thoại hoặc tin nhắn thoại để lừa nhân viên chia sẻ thông tin nhạy cảm, phê duyệt thanh toán, đặt lại thông tin xác thực hoặc bỏ qua các quy trình thông thường. Phương thức này hiệu quả vì giọng nói có thể tạo cảm giác đáng tin, đặc biệt khi người gọi tự xưng là từ ngân hàng, lãnh đạo cấp cao, nhà cung cấp hoặc bộ phận hỗ trợ IT nội bộ. Trong nhiều trường hợp, kẻ tấn công đã biết trước tên, chức danh và một phần bối cảnh công việc được thu thập từ các nguồn công khai hoặc từ những nỗ lực phishing trước đó. Điều này khiến cuộc gọi có vẻ đủ hợp lệ để làm giảm sự nghi ngờ.
Tác động đối với doanh nghiệp không chỉ dừng lại ở một sai sót đơn lẻ. Một vụ vishing thành công có thể dẫn đến gian lận tài chính, chiếm đoạt tài khoản, lộ lọt dữ liệu và chậm trễ vận hành trong lúc các nhóm điều tra những gì đã xảy ra. Nó cũng có thể làm suy giảm niềm tin vào các quy trình nội bộ, đặc biệt khi nhân viên tin rằng họ đang làm theo một yêu cầu khẩn cấp từ người có thẩm quyền. Đối với các nhóm tài chính, bộ phận service desk và trợ lý điều hành, áp lực phải hành động nhanh có thể trở thành đúng điểm yếu mà kẻ tấn công khai thác.
Những điểm mà nhiều tổ chức vẫn còn dễ bị tổn thương
Nhiều chương trình an ninh hiện vẫn tập trung nhiều hơn vào email hơn là các hình thức lừa đảo qua giọng nói. Nhân viên có thể được đào tạo nhận thức về phishing, nhưng lại có rất ít hướng dẫn về cách xử lý các yêu cầu đáng ngờ qua điện thoại liên quan đến đặt lại mật khẩu, thay đổi thanh toán hoặc dữ liệu mật. Một lỗ hổng phổ biến khác nằm ở thiết kế quy trình. Nếu một tổ chức cho phép một cuộc gọi khẩn cấp duy nhất có thể ghi đè các bước xác minh, thì kẻ tấn công không cần công cụ nâng cao; họ chỉ cần một câu chuyện đủ thuyết phục.
Mô hình làm việc từ xa và kết hợp đã làm tăng thêm một lớp khó khăn. Nhân viên có nhiều khả năng nhận các cuộc gọi liên quan đến công việc trên thiết bị cá nhân hơn, và giao tiếp không chính thức cũng trở nên phổ biến hơn giữa các nhóm phân tán. Vì vậy, việc đánh giá liệu một yêu cầu có thực sự bất thường hay không trở nên khó khăn hơn. Ranh giới bị làm mờ giữa sự tiện lợi và kiểm soát tạo ra cơ hội cho những kẻ tấn công hiểu rõ cách doanh nghiệp vận hành dưới áp lực.
Một cách ứng phó mạnh mẽ hơn trông như thế nào
Giảm thiểu rủi ro vishing bắt đầu từ việc coi giọng nói là một kênh rủi ro cao đối với các yêu cầu nhạy cảm. Các tổ chức thường hưởng lợi từ những quy tắc đơn giản, dễ tuân thủ ngay cả khi chịu áp lực. Việc xác minh không nên phụ thuộc vào mức độ tự tin của người gọi hay vẻ ngoài quyền lực của họ. Nó phải phụ thuộc vào quy trình.
- Yêu cầu xác minh độc lập đối với các yêu cầu thanh toán, thay đổi tài khoản và đặt lại thông tin xác thực.
- Đào tạo nhân viên biết tạm dừng, ghi lại yêu cầu và gọi lại bằng số nội bộ đáng tin cậy hoặc số chính thức.
- Giới hạn những nội dung có thể được phê duyệt chỉ qua một cuộc trao đổi duy nhất mà không có xác nhận thứ cấp.
- Triển khai các bài tập nâng cao nhận thức có bao gồm tình huống qua giọng nói, không chỉ mô phỏng email.
- Rà soát sự cố để tìm ra điểm yếu trong quy trình, không chỉ tập trung vào sai sót cá nhân.
Những bước này hữu ích vì chúng làm giảm sự phụ thuộc vào bản năng. Một nhân viên được chuẩn bị tốt không cần phải đánh giá hoàn hảo từng cuộc gọi. Tổ chức sẽ cung cấp cho nhân viên đó một lộ trình rõ ràng để làm chậm tương tác và xác minh yêu cầu một cách an toàn.
FAQ
Vishing có khác với phishing không?
Có. Phishing thường sử dụng email hoặc tin nhắn, trong khi vishing sử dụng giao tiếp bằng giọng nói để tạo cảm giác cấp bách và lòng tin theo thời gian thực. Mục tiêu tương tự nhau, nhưng áp lực qua điện thoại thường đến ngay lập tức hơn.
Những bộ phận nào có nguy cơ cao nhất?
Tài chính, nhân sự, bộ phận hỗ trợ IT, các nhóm dịch vụ khách hàng và nhân sự hỗ trợ điều hành thường là mục tiêu phổ biến vì họ có thể truy cập dữ liệu nhạy cảm, thay đổi hồ sơ hoặc nhanh chóng phê duyệt các hành động có tác động lớn.
Biến nhận thức thành một biện pháp kiểm soát kinh doanh
Các tổ chức coi trọng vishing thường xây dựng các cơ chế kiểm soát quyết định tốt hơn, chứ không chỉ đưa ra cảnh báo tốt hơn cho người dùng. Điều đó có nghĩa là kết nối hoạt động đào tạo nhận thức với các quy trình định danh, luồng phê duyệt và kế hoạch ứng phó sự cố. Terrabyte giúp các tổ chức đánh giá các giải pháp an ninh mạng và chiến lược hỗ trợ nhằm tăng cường lớp phòng thủ con người, cải thiện thực hành xác minh và điều chỉnh các biện pháp kiểm soát an ninh phù hợp với rủi ro vận hành thực tế.
