Trong bối cảnh công nghệ phát triển không ngừng, các mối đe dọa an ninh mạng cũng trở nên tinh vi hơn bao giờ hết. Điều đáng lo ngại nhất là khi tội phạm mạng không cần tấn công trực tiếp, mà lại khéo léo lừa đảo khiến chính nạn nhân tự nguyện cung cấp thông tin hoặc cấp quyền truy cập vào hệ thống của mình. Vậy làm thế nào để nhận diện và bảo vệ bản thân khỏi những chiêu trò lừa đảo công nghệ nguy hiểm này?
Kẻ Gian Lừa Người Dùng “Tự Lừa Đảo” Như Thế Nào?
Khi nhắc đến tội phạm mạng hay tin tặc, chúng ta thường hình dung đến những phần mềm tấn công phức tạp được sử dụng để xâm nhập tài khoản, hoặc những kẻ lừa đảo qua email giả mạo các nhân vật có ảnh hưởng. Tuy nhiên, có những phương thức khác mà tội phạm mạng nhắm đến nạn nhân – bằng cách khiến họ tự thực hiện hành vi lừa đảo lên chính mình, hay còn gọi là “lừa đảo tự thân” (self-scamming).
Đôi khi, thủ đoạn này liên quan đến việc nhập thông tin cá nhân vào một trang lừa đảo (phishing page) giả mạo. Những lúc khác, đó là việc sao chép và dán đoạn mã độc hại vào dòng lệnh (command line) của máy tính. Một số kẻ lừa đảo còn đi xa hơn, thúc đẩy những người dùng không ngờ vực chạy các script độc hại có thể làm tổn hại đến hệ thống và đánh cắp thông tin bảo mật của họ. Theo báo cáo quý 3 năm 2024 từ Gen Digital, những chiêu trò tấn công phi kỹ thuật (social engineering) này đã tăng vọt một cách đáng kinh ngạc, lên đến 614%. Điều này nhấn mạnh tầm quan trọng của việc nhận thức và cảnh giác trước các thủ đoạn lừa đảo tinh vi trong môi trường số.
Những Chiêu Trò Lừa Đảo Công Nghệ Phổ Biến Bạn Cần Biết
Để bảo vệ bản thân, điều quan trọng là phải hiểu rõ các hình thức lừa đảo công nghệ mà kẻ gian đang áp dụng. Dưới đây là một số chiêu trò phổ biến nhất hiện nay:
CAPTCHA Độc Hại
CAPTCHA được thiết kế để bảo vệ các trang web khỏi thư rác và bot bằng cách xác minh rằng người dùng là con người thật. Tuy nhiên, tin tặc có thể chỉnh sửa các CAPTCHA này để tích hợp các script ẩn nhằm đánh cắp thông tin. Bạn có thể thấy một câu đố với các chữ cái bị xáo trộn hoặc một loạt các bài kiểm tra dựa trên hình ảnh – ví dụ: chọn tất cả các ô vuông có đèn giao thông. Mọi thứ có vẻ bình thường trên bề mặt.
Bạn có thể vượt qua bước này và sau đó nhấp vào nút tải xuống một payload (mã độc) ẩn hoặc cấp quyền truy cập cho kẻ tấn công vào tài khoản của bạn. Các trang lừa đảo độc hại này đôi khi được thiết kế giống hệt các trang web chính thức. Chúng sao chép thương hiệu và ngôn ngữ của một dịch vụ đã có uy tín, hòa mình vào trải nghiệm duyệt web thông thường của bạn. Một CAPTCHA hợp pháp sẽ không bao giờ yêu cầu bạn tải xuống bất cứ thứ gì hoặc cung cấp các quyền truy cập bất thường.
Các Hướng Dẫn Giả Mạo Trên YouTube
Một số video hướng dẫn (tutorial) trên các nền tảng video như YouTube cũng tiềm ẩn những nguy hiểm khó lường. Các hướng dẫn này hứa hẹn sẽ giải quyết một vấn đề công nghệ khó chịu và ban đầu có vẻ hợp pháp với người kể chuyện hướng dẫn bạn từng bước. Tuy nhiên, ở một thời điểm nào đó trong video, các hướng dẫn sẽ yêu cầu bạn chạy một script với quyền quản trị viên (administrator). Nguồn của script này thường được ẩn sau một liên kết rút gọn hoặc một đoạn mã (code snippet) trong mô tả video. Một chi tiết nhỏ có thể xuất hiện thoáng qua, nhưng môi trường xung quanh có vẻ đủ thân thiện khiến bạn quyết định tin tưởng.
Kẻ tấn công dựa vào khoảnh khắc mất cảnh giác đó để thực thi mã độc trên hệ thống của bạn. Một khi đã chạy, mã độc có thể dẫn đến việc đánh cắp thông tin đăng nhập và xâm phạm toàn bộ hệ thống của bạn. Hãy cảnh giác với các video hướng dẫn có tính năng bình luận bị tắt hoặc các bình luận có vẻ như là spam. Nếu video được đăng bởi các tài khoản không xác định hoặc tài khoản mới với ít video, hãy đặc biệt cẩn trọng.
Lừa Đảo “ClickFix” (Sửa Lỗi Nhanh)
Bạn có thể nhận được một email hoặc cửa sổ pop-up cảnh báo về một lỗ hổng bảo mật nghiêm trọng, sau đó khẳng định rằng chỉ cần nhấp vào một liên kết là mọi thứ sẽ được vá lỗi. Ẩn dưới liên kết này là một payload độc hại có thể cài đặt spyware, ghi lại các thao tác bàn phím (keylogger), hoặc đánh cắp mã thông báo xác thực (authentication tokens). Ý định của bạn có thể là vá lỗi một lỗ hổng giả định, nhưng kết quả thực tế lại là trao quyền kiểm soát cho kẻ tấn công. Nếu bạn thấy các cảnh báo bất ngờ trong cửa sổ pop-up của trình duyệt hoặc email, hãy đóng tab hoặc email đó và báo cáo ngay lập tức. Tuyệt đối không nhấp vào bất kỳ liên kết nào.
Hình minh họa kẻ lừa đảo đánh cắp thông tin người dùng qua các chiêu trò lừa đảo công nghệ
Cập Nhật Giả Mạo
Các thông báo cập nhật giả mạo cũng mang cùng một chủ đề. Một thông báo đến rằng phần mềm diệt virus của bạn (mà có thể bạn thậm chí còn không cài đặt trên máy tính) cần một bản nâng cấp khẩn cấp. Thông báo khẩn cấp có thể nói rằng nó đang chặn một mối đe dọa lớn. Một người dùng muốn yên tâm sẽ nhấp vào và làm theo hướng dẫn. Quá trình hoàn tất và hệ thống khởi động lại, nhưng giờ đây nó đã bị xâm nhập. Phần mềm giả dạng cập nhật antivirus này có thể vô hiệu hóa các công cụ bảo vệ thực sự của bạn đằng sau hậu trường.
Kẻ tấn công thích phương pháp này vì chúng lợi dụng mong muốn của bạn được cập nhật và giữ an toàn. Chỉ nên cập nhật phần mềm từ các nguồn chính thức hoặc các công cụ tích hợp sẵn của thiết bị – tuyệt đối không tin tưởng các cửa sổ pop-up ngẫu nhiên, email đáng ngờ, hoặc các trang web không rõ nguồn gốc. Chỉ cài đặt và sử dụng phần mềm diệt virus từ các nguồn uy tín.
Làm Thế Nào Để Tự Bảo Vệ Mình Trước Các Mối Đe Dọa Công Nghệ?
Mặc dù có nhiều cách khác nhau mà kẻ lừa đảo và tin tặc có thể tấn công bạn, nhưng một vài biện pháp bảo vệ đơn giản dưới đây sẽ giúp bạn phòng tránh hầu hết các vấn đề có thể gặp phải.
Luôn Kiểm Tra Kỹ URL
Đôi khi việc xác nhận tính xác thực của một trang web hoặc xác minh tính hợp pháp của một bản tải xuống có vẻ như là một việc vặt vãnh. Tuy nhiên, kiểm tra URL (địa chỉ web) là vô cùng quan trọng. Việc phát hiện một đuôi tên miền lạ (domain suffix) hoặc một tên miền phụ (subdomain) bất thường có thể giúp bạn tránh khỏi nguy hiểm. Nếu liên kết tuyên bố dẫn đến một trang web nổi tiếng, nhưng tên miền có thêm các ký tự lạ hoặc dấu chấm câu đáng ngờ, hãy rút lui ngay lập tức. Tội phạm mạng thường xuyên sao chép các thương hiệu lớn hoặc cổng dịch vụ bằng cách sửa đổi nhẹ tên miền, hy vọng bạn sẽ không để ý.
Máy tính xách tay với các biểu tượng an ninh mạng và internet, minh họa tầm quan trọng của việc kiểm tra URL an toàn
Tuyệt Đối Không Chạy Lệnh Hoặc Script Ngẫu Nhiên
Sao chép và dán các lệnh từ các hướng dẫn trực tuyến đòi hỏi sự thận trọng đặc biệt. Rất dễ bị cám dỗ khi lấy mã từ một diễn đàn hoặc video YouTube và dán thẳng vào terminal hoặc command prompt của bạn. Hãy kiểm tra kỹ từng dòng trước khi nhấn Enter. Cẩn trọng với các lệnh chạy với quyền cao (elevated privileges) – hãy tìm kiếm trên Google về lệnh đó nếu bạn cần. Bạn cũng không nên chạy các script với quyền quản trị viên (administrator) hoặc người dùng root, vì khả năng hệ thống của bạn bị nhiễm phần mềm độc hại là rất cao.
Cẩn Trọng Nguồn Cài Đặt Phần Mềm
Cài đặt phần mềm từ các nhà phát hành không xác định luôn tiềm ẩn rủi ro. Tải xuống bất cứ thứ gì từ các liên kết ngẫu nhiên hoặc các trang web đáng ngờ có thể dẫn đến các vấn đề bảo mật nghiêm trọng. Các cửa hàng ứng dụng chính thức, trang web của nhà cung cấp hoặc kho phần mềm uy tín là những lựa chọn an toàn hơn. Mặc dù không có gì đảm bảo bảo vệ tuyệt đối, nhưng ít nhất các nền tảng được sử dụng rộng rãi có các quy trình sàng lọc bảo mật nhất định. Các trang web không chính thống hứa hẹn sự tiện lợi hoặc tuyên bố cung cấp các bản tải xuống miễn phí của các công cụ đắt tiền. Ngay cả khi phần mềm đó hoạt động, nó có thể ẩn chứa những bất ngờ khó chịu như theo dõi, khai thác dữ liệu hoặc phá hoại hệ thống của bạn.
Sử Dụng Quyền Người Dùng Tiêu Chuẩn (Không Phải Quản Trị Viên)
Chạy hệ thống của bạn với quyền người dùng không phải quản trị viên (non-administrator privileges) bất cứ khi nào có thể cũng mang lại một môi trường an toàn hơn. Nhiều tác vụ thông thường không yêu cầu quyền truy cập nâng cao. Nếu bạn chỉ duyệt internet, gửi email hoặc chỉnh sửa tài liệu, một hồ sơ người dùng tiêu chuẩn là đủ. Các cuộc tấn công dựa vào quyền quản trị viên sẽ không hoạt động nếu tài khoản của bạn không cấp mức quyền đó. Bạn có thể thấy một lời nhắc yêu cầu mật khẩu hoặc cảnh báo rằng một hành động yêu cầu quyền cao hơn. Dành một chút thời gian để từ chối các quyền truy cập bổ sung có thể bảo vệ bạn khỏi việc cho phép một thứ nguy hiểm chạy trên hệ thống.
Luôn Cập Nhật Hệ Thống Và Chương Trình
Việc giữ cho phần mềm luôn được cập nhật vẫn là điều cần thiết cho an ninh mạng. Các nhà cung cấp sẽ vá các lỗ hổng ngay khi họ phát hiện ra chúng. Kẻ tấn công thường xuyên theo dõi chu kỳ vá lỗi này. Ngay khi chúng nhận thấy một sản phẩm được sử dụng rộng rãi có một lỗ hổng mới được công bố, chúng sẽ tạo ra một khai thác (exploit) nhắm vào những người dùng chưa cập nhật. Việc trì hoãn cập nhật có những rủi ro riêng, và điều quan trọng là phải cài đặt các bản vá lỗi quan trọng để đi trước một bước so với những kẻ tấn công này.
Kẻ tấn công thường sử dụng kỹ thuật xã hội để vượt qua các lớp phòng thủ tinh vi và tường lửa hiện đại. Yếu tố con người vẫn là thành phần rủi ro nhất trong bất kỳ chuỗi bảo mật nào. Mọi người muốn tin tưởng người khác hoặc muốn khắc phục sự cố một cách nhanh chóng. Tội phạm lợi dụng sự đồng cảm hoặc tính cấp bách đó. Hãy tin vào bản năng của bạn khi bạn cảm thấy có điều gì đó không ổn và luôn cập nhật thông tin cho bản thân.
