Một email có sức thuyết phục, một hóa đơn giả hoặc một tin nhắn gấp gáp từ lãnh đạo cấp cao cũng có thể đủ để kích hoạt một sự cố bảo mật tốn kém. Đó là lý do How Phishing work là một chủ đề quan trọng đối với các nhà lãnh đạo doanh nghiệp. Phishing thành công không phải vì kẻ tấn công lúc nào cũng sử dụng công cụ tinh vi, mà vì chúng biết cách khai thác lòng tin, cảm giác khẩn cấp và các hành vi mang tính thường lệ. Với nhiều tổ chức, thiệt hại bắt đầu từ một cú nhấp chuột và nhanh chóng lan rộng thành tổn thất tài chính, gián đoạn vận hành và tổn hại uy tín.
Phishing thực sự gây ra điều gì bên trong một tổ chức
Phishing là một hình thức tấn công social engineering được thiết kế để lừa nhân viên thực hiện một hành động có lợi cho kẻ tấn công. Trong hầu hết trường hợp, hành động đó bao gồm nhấp vào liên kết độc hại, mở tệp đính kèm bị nhiễm, chia sẻ thông tin đăng nhập hoặc phê duyệt một yêu cầu thanh toán gian lận. Thông điệp thường trông hợp pháp vì nó bắt chước một người gửi đáng tin cậy, một thương hiệu quen thuộc hoặc một quy trình nội bộ. Vì vậy, phishing hoạt động bằng cách biến hoạt động kinh doanh bình thường thành một điểm xâm nhập cho tội phạm mạng.
Cách kẻ tấn công khiến phishing trở nên đáng tin
Phần lớn các chiến dịch phishing được xây dựng xoay quanh thời điểm và bối cảnh. Kẻ tấn công nghiên cứu cơ cấu tổ chức, quan hệ với nhà cung cấp và các quy trình làm việc phổ biến để tạo ra những thông điệp có cảm giác quen thuộc. Một bộ phận tài chính có thể nhận được yêu cầu giả liên quan đến chuyển khoản, trong khi bộ phận nhân sự có thể thấy một thông điệp về hồ sơ nhân viên hoặc cập nhật chính sách. Trong các cuộc tấn công có mục tiêu hơn, thường được gọi là spear phishing, nội dung được cá nhân hóa đủ để vượt qua sự nghi ngờ và tăng khả năng nhận được phản hồi.
Một số kỹ thuật thường xuyên xuất hiện trong các nỗ lực phishing thành công:
- Mạo danh lãnh đạo, nhà cung cấp hoặc các phòng ban nội bộ
- Ngôn ngữ khẩn cấp gây áp lực phải hành động nhanh
- Trang đăng nhập giả để thu thập tên người dùng và mật khẩu
- Tệp đính kèm được ngụy trang thành hóa đơn, báo cáo hoặc hợp đồng
- Yêu cầu thay đổi thông tin thanh toán hoặc phê duyệt các khoản chuyển bất thường
Hậu quả đối với doanh nghiệp không chỉ dừng ở việc bị đánh cắp mật khẩu
Nhiều tổ chức vẫn xem phishing là một vấn đề về email, nhưng tác động thực tế còn rộng hơn nhiều. Một thông tin xác thực bị đánh cắp có thể dẫn đến truy cập trái phép trên các dịch vụ đám mây, hệ thống nội bộ và dữ liệu nhạy cảm. Các yêu cầu thanh toán gian lận có thể gây ra tổn thất tài chính trực tiếp, trong khi malware được phát tán qua phishing có thể làm gián đoạn hoạt động và kéo dài nỗ lực khôi phục. Trong các lĩnh vực chịu quản lý chặt chẽ, chỉ một sự cố cũng có thể kéo theo vấn đề tuân thủ và làm giảm niềm tin của khách hàng.
Giảm rủi ro phishing đòi hỏi nhiều hơn là đào tạo nhận thức
Đào tạo nhân viên vẫn rất quan trọng, nhưng đó chỉ là một lớp phòng thủ. Các tổ chức cũng cần bảo mật email mạnh hơn, xác thực đa yếu tố, quy trình phê duyệt rõ ràng và hoạt động giám sát có thể nhanh chóng phát hiện hành vi đáng ngờ. Mục tiêu không phải là kỳ vọng mọi nhân viên đều nhận ra mọi mối đe dọa. Mục tiêu là xây dựng các biện pháp kiểm soát để giảm khả năng một sai sót đơn lẻ trở thành một sự cố lớn hơn.
Một chiến lược chống phishing hiệu quả trên thực tế thường bao gồm một vài hành động cốt lõi. Các nhóm bảo mật thường cải thiện khả năng chống chịu bằng cách rà soát phương thức xác thực, siết chặt quy trình phê duyệt tài chính và kiểm tra mức độ sẵn sàng của nhân viên thông qua các chiến dịch mô phỏng. Đồng thời, lãnh đạo nên xem xét phishing có thể gây ra gián đoạn lớn nhất cho doanh nghiệp ở đâu. Điều đó giúp các quyết định đầu tư tập trung hơn và dễ được chứng minh tính hợp lý hơn.
FAQ
Phishing có chỉ là mối đe dọa qua email không?
Không. Phishing cũng có thể xảy ra qua tin nhắn văn bản, cuộc gọi điện thoại, ứng dụng cộng tác và các nền tảng mạng xã hội. Kẻ tấn công bám theo những kênh mà nhân viên đã tin tưởng và sử dụng hằng ngày.
Ai có nguy cơ bị phishing cao nhất?
Mọi phòng ban đều đối mặt với một mức độ phơi nhiễm nhất định, nhưng các nhóm tài chính, lãnh đạo, nhân sự và quản trị viên IT thường là mục tiêu phổ biến vì họ xử lý tiền bạc, quyền truy cập và thông tin nhạy cảm.
Những sai sót nhỏ thật sự có thể dẫn đến sự cố nghiêm trọng không?
Có. Một tài khoản bị xâm phạm có thể tạo cho kẻ tấn công điểm khởi đầu để di chuyển ngang, thực hiện business email compromise hoặc triển khai ransomware. Những hành động nhỏ thường tạo ra hậu quả lớn hơn khi các biện pháp kiểm soát còn yếu.
Lựa chọn mô hình hỗ trợ phù hợp
Các tổ chức đang đánh giá giải pháp bảo vệ trước phishing nên nhìn xa hơn các công cụ độc lập và tập trung vào cách con người, quy trình và công nghệ phối hợp với nhau. Cách tiếp cận phù hợp phụ thuộc vào quy mô doanh nghiệp, hồ sơ rủi ro và mức độ phức tạp trong vận hành. Terrabyte giúp các tổ chức xác định những giải pháp an ninh mạng phù hợp với các nhu cầu đó, hoạt động như một đối tác công nghệ đáng tin cậy để gắn kết các chiến lược bảo vệ với những ưu tiên kinh doanh thực tế.
