KỸ THUẬT SOCIAL ENGINEERING
Vấn đề về an toàn bảo mật thông tin và vai trò
Ngày nay, nhu cầu trao đổi thông tin ngày càng cao và đa dạng, dẫn đến sự phát triển không ngừng của công nghệ thông tin và viễn thông nhằm nâng cao chất lượng và lưu lượng truyền tin An toàn bảo mật thông tin trở thành một vấn đề quan trọng, liên quan đến nhiều lĩnh vực khác nhau An toàn bảo mật thông tin đảm bảo thông tin gửi và nhận được xác thực, toàn vẹn và sẵn sàng, đồng thời bảo vệ khỏi các cuộc tấn công và thay đổi không mong muốn Mặc dù không thể đảm bảo an toàn 100%, nhưng việc giảm thiểu rủi ro từ các yếu tố bên ngoài là khả thi Các tổ chức cần đánh giá rủi ro và cân nhắc các biện pháp đối phó, nhận ra rằng giải pháp công nghệ đơn lẻ như phần mềm diệt virus hay tường lửa không đủ để đảm bảo an toàn An toàn thông tin là sự kết hợp giữa công nghệ và yếu tố con người.
1 Yếu tố công nghệ: bao gồm những sản phẩm như Firewall, phần mềm phòng chống virus, giải pháp mật mã, sản phẩm mạng, hệ điều hành và những ứng dụng như: trình duyệt Internet và phần mềm nhận Email từ máy trạm
2 Yếu tố con người: Là những người sử dụng máy tính, những người làm việc với thông tin và sử dụng máy tính trong công việc của mình Hai yếu tố trên được liên kết lại thông qua các chính sách về ATTT
Theo tiêu chuẩn ISO 17799, an toàn thông tin là khả năng bảo vệ môi trường thông tin trong xã hội, nhằm đảm bảo quyền lợi cho công dân, tổ chức và quốc gia Lãnh đạo thể hiện năng lực quản lý hệ thống thông tin thông qua các chính sách về an toàn thông tin An toàn thông tin được xây dựng dựa trên các chính sách, quy tắc, quy trình và giải pháp kỹ thuật để bảo vệ tài nguyên thông tin của tổ chức và các đối tác, khách hàng trong môi trường thông tin toàn cầu Với vai trò quan trọng này, an toàn thông tin không chỉ là một yêu cầu mà còn là một yếu tố thiết yếu trong quản lý thông tin hiện đại.
2 định vấn đề ATTT phải bắt đầu từ các chính sách trong đó con người là mắt xích quan trọng nhất
Con người là yếu tố yếu nhất trong việc đảm bảo an toàn thông tin, vì hầu hết các phương thức tấn công của hacker đều khai thác điểm yếu do con người gây ra Nhận thức kém và không tuân thủ chính sách an toàn thông tin là nguyên nhân chính dẫn đến tình trạng này Một ví dụ điển hình là việc sử dụng mật khẩu, mặc dù đã có quy định rõ ràng nhưng việc tuân thủ lại không được thực hiện nghiêm túc Đặt mật khẩu kém chất lượng, không thay đổi mật khẩu định kỳ và quản lý mật khẩu lỏng lẻo là những điểm yếu mà hacker có thể lợi dụng để xâm nhập và tấn công.
An toàn bảo mật thông tin đang trở thành một vấn đề cấp bách trong xã hội hiện đại, khi nhu cầu trao đổi thông tin ngày càng gia tăng Việc bảo vệ thông tin khỏi các cuộc tấn công đánh cắp và sửa đổi là vô cùng cần thiết, đặc biệt trong các giao dịch tài chính như sử dụng thẻ tín dụng Nếu thông tin thẻ tín dụng bị đánh cắp do thiếu bảo mật, hậu quả có thể rất nghiêm trọng Do đó, vai trò của an toàn bảo mật thông tin không chỉ quan trọng trong cuộc sống hàng ngày mà còn đặc biệt cần thiết trong lĩnh vực công nghệ thông tin.
Social Engineering
Tấn công Social Engineering bao hàm một lượng lớn các hoạt động khác nhau
Phishing là một hình thức tấn công Social Engineering (SEA – Social Engineering Attack) mà nạn nhân nhận được email chứa đường dẫn giả mạo, với nội dung hình ảnh hợp pháp nhằm đánh cắp thông tin quan trọng Khi người dùng nhận ra các hoạt động này, kẻ tấn công thường thay đổi chiến thuật để duy trì hiệu quả Theo thời gian, các kỹ thuật tấn công Social Engineering đã nhắm đến các tổ chức cụ thể, khai thác những cá nhân trong công ty để truy cập vào hệ thống Social Engineering có thể được xem là một trò chơi lừa đảo tinh vi trên mạng, với tỷ lệ thành công cao.
Kẻ tấn công Social Engineering thường tìm cách khai thác thông tin để thực hiện hành vi như ăn cắp danh tính hoặc trộm mật khẩu Họ sử dụng các phương thức lừa đảo để khiến nạn nhân tin rằng mình là người có thẩm quyền hợp pháp, đôi khi còn giả trang để tăng tính thuyết phục Mục tiêu cuối cùng là làm cho nạn nhân hạ cảnh giác, từ đó tạo điều kiện cho kẻ tấn công lấy được thông tin nhạy cảm.
Kẻ tấn công Social Engineering có thể được coi là những nghệ sĩ lừa đảo, vì họ thường nhận diện và khai thác các hành vi của con người để thực hiện các cuộc tấn công.
Kẻ tấn công thường lợi dụng nghĩa vụ đạo đức để bẫy nạn nhân, khiến họ cảm thấy áp lực phải hành động theo những chuẩn mực đạo lý Điều này dẫn đến việc nạn nhân bị thôi thúc thực hiện những hành động mà họ cho là đúng đắn, nhưng thực chất có thể gây hại cho chính mình.
Lòng tin Bản năng của con người là tin tưởng Tấn công Social
Kỹ thuật khai thác tính tin cậy của con người để thu lợi là một hình thức tấn công nguy hiểm Những kẻ tấn công sử dụng kỹ thuật Social Engineering có thể đe dọa nạn nhân nếu họ từ chối hợp tác và không thực hiện theo yêu cầu của chúng.
Kẻ tấn công Social Engineering hứa sẽ thưởng nạn nhân nếu họ làm theo những công việc tưởng chừng rất vô hại như nhấp vào đường link trúngthưởng
Nhiều nạn nhân bị khai thác SEA không nhận thức được sự nguy hiểm của Social Engineering, không nhìn ra được nguy cơ gây hại cho tổ chức
Bảng 1 1 Những yếu tố cảm xúc trong tấn công Social Engineering
Nguyên nhân SEA được áp dụng
Tấn công Social Engineering thường mang lại hiệu quả cao vì nhiều lý do, liên quan đến cách khai thác mối quan hệ giữa người dùng và kẻ tấn công Các phương thức tấn công này có thể được phân loại theo nhiều tiêu chí khác nhau.
Thiếu khả năng về kĩ thuật
Khoa học kỹ thuật có khả năng giải quyết nhiều vấn đề liên quan đến an ninh và an toàn thông tin, tuy nhiên, tác động của nó trong việc chống lại những mối đe dọa này vẫn còn hạn chế và chưa thực sự mạnh mẽ.
4 tấn công Social Engineering vì kiểu tấn công này dựa trên nền tảng con người
Các chính sách bảo mật kém hiệu quả
Các chính sách của các tổ chức về việc lưu trữ thông tin, tài nguyên số, thẩm quyền thường không được coi trọng và chưa đầy đủ
Khả năng phát hiện thấp
Social Engineering thường khó bị phát hiện hơn so với các cuộc tấn công mạng truyền thống, vì nó không để lại file log hay gây ra cảnh báo cho hệ thống phát hiện xâm nhập IDS.
Tận dụng việc đào tạo kém
Các tổ chức công ty chưa có đầu tư cụ thể cho việc nhận thức và đào tạo việc chống lại tấn công Social Engineering
Bảng 1 2 Nguyên nhân Social Engineering thành công
Khai thác các yếu tố cảm xúc trong SEA
Cuộc tấn công Social Engineering (SEA) tập trung vào tâm lý và cảm xúc của con người, đây là yếu tố quyết định cho sự thành công của kỹ thuật này SEA khai thác cảm tính cá nhân để khiến người dùng tạo ra ngoại lệ cho kẻ tấn công với lý do hợp lý, tấn công vào các cảm xúc cơ bản của con người.
Tham lam Kẻ tấn công hứa thưởng cho người dùngnếu làm đúng theo như hướng dẫn
Ham muốn Nhấp, xem các tấm hình mát mẻ có chứa mã độc
Kẻ tấn công đóng giả một người mà người dùng quen biết, rồi giả như khó khăn để lấy được sự đồng cảm
Tò mò Kẻ tấn công nhận ra, hoặc chú ý đến sở thích chung của người dùng
Tự mãn Kẻ tấn công tâng bốc, lấy lòng người dùng
Bảng 1 3 Khai thác yếu tố cảm xúc trong Social Engineering
Các cảm xúc thường thấy như lo lắng, tò mò hay sự hứng thú có thể dẫn đến những hành vi tưởng chừng vô hại, chẳng hạn như đăng nhập vào tài khoản trực tuyến hoặc nhấp vào các liên kết độc hại trong email.
Khi người dùng thực hiện các hành vi mà kẻ tấn công mong muốn, họ vô tình cài đặt phần mềm độc hại lên máy tính của mình Điều này cho phép kẻ tấn công khai thác thông tin cá nhân hoặc thu lợi ích từ việc này.
Tấn công Social Engineering khai thác nhiều cảm xúc phức tạp, như tự mãn, bằng cách gửi tin nhắn với nội dung hấp dẫn như “Ảnh này của cậu đẹp thế” hoặc “Em thật là xinh đẹp.” Những chiêu trò này nhằm mục đích lấy lòng nhân viên, ví dụ như thư ký trong công ty, để họ cung cấp danh sách liên lạc hoặc mật khẩu truy cập Các cuộc tấn công này thường dựa vào bản năng con người và khai thác nhiều khía cạnh phức tạp trong hành vi con người.
Hành vi phức tạp Ví dụ
Muốn cảm thấy mình là người hữu ích
“Nếu em không bận gì thì có thể gửi cho anh file này vào cái USB được không?
Từ nhỏ, mọi người thường được dạy về sự hợp tác, thân thiện và hữu ích với những người xung quanh Tuy nhiên, trong môi trường làm việc, những cảm xúc này có thể bị kẻ tấn công lợi dụng.
Muốn tránh rắc rối không đáng có
"Nếu em không gửi cho anh bản thông báo của công ty, anh sẽ phải liên hệ với anh X Việc em làm phiền anh X và lãng phí thời gian của anh ấy sẽ không tốt chút nào."
Khi kẻ tấn công sử dụng kỹ thuật Social Engineering với vẻ ngoài quyền lực và đe dọa, người dùng thường có xu hướng nhường bước và tuân theo yêu cầu của hắn để tránh những rắc rối không cần thiết.
Mong muốn hòa nhập với môi trường xung quanh
“Em này, công ty mình có đăng kí dịch vụ này đấy, mọi người đều join hết rồi, em cũng tham gia vào cho vui.”
Nếu tất cả những người xung quanh đề làm cùng một việc, thì người dùng cũng sẽ tham gia để không cảm thấy cô độc, và được hòa đồng
Bảng 1 4 Các hành vi phức tạp được khai thác
Tác động của Social Engineering
Tấn công Social Engineering (SEA) có thể xảy ra ở bất kỳ công ty hay tổ chức nào, gây ra mức độ thiệt hại khác nhau Việc nhận diện và hiểu rõ tác động của các cuộc tấn công này là rất quan trọng để bảo vệ an ninh thông tin.
Một cuộc tấn công Social Engineering có thể gây thất thoát tài chính, tiền mặt thông qua hình thức lừa đảo, đánh cắp sản phẩm hoặc trộm danh tính
Khủng bố là một hình thức tấn công Social Engineering, trong đó nạn nhân bị đe dọa sẽ chịu tổn hại về thể chất hoặc tinh thần từ kẻ tấn công.
Kẻ tấn công có thể áp dụng kỹ thuật SE để đánh cắp thông tin cá nhân, từ đó làm tổn hại đến quyền riêng tư và phục vụ cho mục đích ăn cắp danh tính.
Mức độ tấn công trong một SEA thành công có thể gây ra các vấn đề pháp lý nghiêm trọng cho cá nhân hoặc tổ chức bị tấn công.
Tạm ngừng hoạt động dịch vụ
Tùy thuộc vào mức độ tấn công, các tổ chức nhỏ có thể phải ngừng hoạt động nếu hậu quả nghiêm trọng, dẫn đến thiệt hại tài chính hoặc các vấn đề pháp lý.
Mất niềm tin từ công chúng
Mặc dù có thể ngăn chặn thất thoát tài chính do tấn công Social Engineering, nhưng những cuộc tấn công này vẫn có thể gây mất niềm tin của khách hàng và người tiêu dùng.
Bảng 1 5 Nguy cơ rủi ro và tác động trên Social Engineering
Đối tượng tấn công trong Social Engineering
Kẻ tấn công Social Engineering (SEA) thường tìm kiếm những cơ hội và mục tiêu dễ bị tấn công, trong đó một số đối tượng phổ biến bao gồm lễ tân, nhân viên hỗ trợ, người dùng, giám đốc điều hành, quản trị hệ thống và nhà cung cấp Dưới đây là một số ví dụ về các đối tượng dễ bị khai thác và các phương thức mà kẻ tấn công có thể sử dụng để thực hiện hành vi lừa đảo này.
Nhân viên lễ tân thường là đối tượng bị khai thác
Lễ tân thường nghe được nhiều câu chuyện do sự đông đúc của người ra vào văn phòng Tuy nhiên, họ không phải là nhân tố chính trong công tác an ninh.
Kẻ tấn công chỉ cần trò chuyện khai thác với lễ tân là có thể tìm được thông tin hiệu quả cho tấn công
Nhân viên hành chính Nhân viên hành chính thường được quản lý nhiều thông tin liên quan đến cơ sở hạ tầng, cũng
7 như nhiều thông tin khác nhau, nên cũng được những kẻ tấn công khai thác yếu tố Social Engineering triệt để
Những người quản trị hệ thống là mục tiêu hấp dẫn cho các cuộc tấn công vì họ nắm giữ nhiều thông tin quan trọng Các nhân viên quản trị hệ thống có đặc quyền cao thường biết đến những thông tin nhạy cảm liên quan đến mạng lưới và hạ tầng của công ty.
Giám đốc điều hành trong các lĩnh vực kinh doanh, bán hàng, tài chính và marketing thường thiếu kiến thức về an ninh thông tin, điều này có thể dẫn đến những rủi ro lớn cho doanh nghiệp Việc nâng cao nhận thức và đào tạo về an ninh thông tin cho các vị trí này là rất cần thiết để bảo vệ tài sản và thông tin của công ty.
Người dùng Người dùng chính là một trong những nhân tố làm lộ thông tin lớn nhất bởi đối tượng này giải quyết, xử lí thông tin hàng ngày
Bảng 1 6 Đối tượng được khai thác trong Social Engineering
CÁC LOẠI HÌNH TẤN CÔNG SOCIAL ENGINEERING
Dựa trên yếu tố con người
Với kiểu tấn công dựa trên yếu tố con người, kẻ tấn công khai thác trực tiếp đối tượng để lấy được thông tin
Một ví dụ điển hình về kiểu tấn công dựa trên yếu tố con người là khi kẻ tấn công gọi điện cho quản trị dữ liệu, yêu cầu reset mật khẩu tài khoản từ một địa điểm khác, sử dụng thông tin công khai trên mạng xã hội của công ty XYZ Các cuộc tấn công này thường được phân loại theo nhiều hình thức khác nhau.
Piggybacking là một kiểu tấn công mà kẻ tấn công lợi dụng sự thiếu cảnh giác của nhân viên có thẩm quyền để xâm nhập vào khu vực cấm của công ty, chẳng hạn như phòng Server Một ví dụ điển hình là khi kẻ tấn công X giả vờ là ứng viên xin việc tại công ty ABC, sau đó lén lút vào khu vực cấm bằng cách lừa nhân viên rằng hắn là một nhân viên của công ty và cuối cùng trộm thẻ ID.
Mạo danh là một kiểu tấn công trong đó kẻ tấn công giả mạo nhân viên chính thức của tổ chức, có quyền truy cập vào địa điểm Họ có thể thực hiện hành vi này bằng cách mặc đồng phục hoặc làm giả thẻ công ty Sau khi xâm nhập thành công, kẻ tấn công có khả năng truy cập và đánh cắp thông tin quan trọng từ máy tính cá nhân của nhân viên.
- Nghe trộm: Kẻ tấn công nghe trộm cuộc hội thoại giữa hai người hoặc xem trộm Có thể thực hiện kiểu tấn công này qua điện thoại và email
Reverse Social Engineering (SE ngược) là hình thức tấn công mà kẻ xấu tạo ra một nhân dạng giả mạo có vẻ hợp pháp trong một công ty Trong tình huống này, kẻ tấn công sẽ yêu cầu thông tin mà hắn cần từ nạn nhân Phương thức tấn công này thường được sử dụng trong lĩnh vực marketing hoặc hỗ trợ kỹ thuật.
Lục thùng rác là phương pháp khai thác thông tin quan trọng từ giấy tờ hoặc bản in hỏng Kẻ tấn công thường sử dụng cách này để phát hiện mật khẩu, tên file quan trọng, hoặc các mẩu thông tin mật khác.
Kẻ tấn công giả mạo người dùng hợp pháp bằng cách tự xưng là nhân viên của một phòng ban và gọi điện đến bộ phận hỗ trợ để yêu cầu thông tin.
Y Tôi không nhớ mật khẩu, anh có thể đọc mật khẩu giúp tôi không?
Dựa trên yếu tố kỹ thuật
Kỹ thuật tấn công SE đã tồn tại từ lâu, sử dụng phần mềm máy tính để thu thập thông tin cần thiết Dưới đây là một số kiểu tấn công SE phổ biến.
Cửa sổ pop-up là những cửa sổ hiện lên lừa người dùng nhấp vào liên kết, dẫn đến trang web của kẻ tấn công Những cửa sổ này thường yêu cầu người dùng đăng nhập thông tin cá nhân hoặc tải xuống phần mềm chứa mã độc.
Hình 2 1 Popup windows mạo danh
Phishing là hình thức tấn công mà kẻ gian gửi email giả mạo, thường là những thông báo trúng thưởng hàng tỷ đồng, nhằm lừa đảo người dùng Chúng yêu cầu nạn nhân nhấp vào liên kết để cung cấp thông tin cá nhân như số tài khoản ngân hàng, tên và địa chỉ.
Ví dụ 1: Một ngày, bỗng dưng A nhận được một Email với tiêu đề “Chúc Mừng
X, bạn đã có 500.000.000đ trong tài khoản” Khi nhận được email này, bạn sẽ tò mò rồi click vào Tuy nhiên, bạn hãy cẩn thận nếu nội dung bên trong gmail yêu cầu bạn nhập thông tin cá nhân, tài khoản ngân hàng, chứng minh thư…Vì có thể bạn sẽ trở thành nạn nhận bị tấn công bởi Social Engineering
Hoàng tử “Nigerian 419” là một trong những hình thức lừa đảo cổ điển trên Internet, nơi kẻ lừa đảo yêu cầu nạn nhân chuyển một khoản tiền nhất định Tên gọi “419” xuất phát từ điều luật liên quan đến loại lừa đảo này.
Mã vùng 9 là dấu hiệu của kẻ lừa đảo Nigerian, thường gửi email thông báo rằng hoàng tử Nigeria cần tiền chuộc để giải phóng số tiền lớn bị kẹt ở quốc gia đang có chiến tranh Kẻ lừa đảo hứa hẹn rằng nếu người dùng đóng góp một khoản phí, họ sẽ nhận được phần thưởng lớn sau này Tuy nhiên, hình thức lừa đảo này yêu cầu nạn nhân trả phí hoặc cung cấp thông tin tài khoản ngân hàng, với số tiền ban đầu có vẻ nhỏ Nạn nhân thường nộp tiền nhưng không bao giờ nhận lại số tiền hứa hẹn.
Hình 2 3 Email lừa đảo của hoàng tử Nigeria
Tin nhắn SMS giả là một hình thức tấn công mà kẻ xấu gửi tin nhắn giả mạo từ ngân hàng đến điện thoại của nạn nhân Nếu nạn nhân trả lời hoặc tương tác theo yêu cầu trong tin nhắn, thông tin cá nhân của họ có thể bị đánh cắp.
Hình 2 4 Lừa đảo qua SMS
Giả mạo website là một hình thức tấn công mà kẻ tấn công tạo ra một trang web có giao diện tương tự như trang web thật nhưng với địa chỉ IP hoàn toàn khác Kẻ tấn công sẽ thay đổi tên miền và gửi liên kết giả mạo đến nạn nhân Khi nạn nhân nhấp vào liên kết này, họ sẽ bị lừa đảo và có thể gặp rủi ro về thông tin cá nhân.
Khi người dùng đăng nhập với thông tin tài khoản như username và password trên các liên kết giả mạo, họ có nguy cơ bị chuyển hướng đến trang web giả Mọi thông tin đăng nhập của người dùng sẽ bị gửi về máy chủ của kẻ tấn công, dẫn đến việc lộ thông tin cá nhân.
Nhìn chung các loại hình tấn công Social Engineering vừa nói trên đều chung một quy trình (các bước tấn công):
1 Tìm hiểu đối phương:Khai thác, thu thập thông tin về đối tượng tấn công bằng cách theo dõi vàng nghiên cứu Nguồn thông tin nghiên cứu có thể qua các hình thức lục thùng rác, phishing, website, mạng xã hội
2 Phát triển kế hoạch tấn công: Lựa chọn một đối tượng hay nhóm có khả năng truy cập thông tin cần thiết để tiếp cận mục tiêu Tìm kiếm những nguồn tin bằng cách khai thác các nhân viên bất mãn, những kẻ tự tin hoặc ngây thơ Những đối tượng bị khai thác cũng có thể làm tay trong cho sau này
3 Thả câu: Tạo mối quan hệ với nạn nhân bằngcách trò chuyện, thảo luận email
4 Khai thác: Khai thác nạn nhân, và lấy đượcthông tin đúng như ý muốn
5 Tẩu thoát: Đây là bước cuối cùng của SEA, với kẻ tấn công tẩu thoát khỏi hiện trường, hoặc cắt đứt liên lạc với đối tượng mà không gây ra hoài nghi.
CÁCH PHÒNG CHỐNG LẠI TẤN CÔNG SOCIAL ENGINEERING
Ảnh hưởng của Social Engineering
Tấn công Social Engineering có thể xảy ra ở bất kỳ doanh nghiệp hay tổ chức nào, bất kể quy mô và mức độ thiệt hại có thể rất khác nhau Những thiệt hại phổ biến do các cuộc tấn công này gây ra bao gồm mất mát thông tin, thiệt hại tài chính và ảnh hưởng đến uy tín của tổ chức.
Cuộc tấn công Social Engineering có thể dẫn đến việc mất mát thông tin và dữ liệu quan trọng, gây ra thiệt hại tài chính cho tổ chức, bởi vì dữ liệu chính là tài sản quý giá.
Khi doanh nghiệp trở thành nạn nhân của các cuộc tấn công Social Engineering, niềm tin của khách hàng, người tiêu dùng và đối tác sẽ bị tổn hại nghiêm trọng Điều này không chỉ ảnh hưởng đến uy tín của doanh nghiệp mà còn có thể dẫn đến mất mát khách hàng và cơ hội hợp tác trong tương lai.
- Mất quyền riêng tư: Tin tặc có thể thực hiện cuộc tấn công, sau đó lấy cắp thông tin cá nhân, đánh cắp tài liệu mật riêng tư
Khi hacker thực hiện tấn công mạnh vào máy chủ website hoặc hệ thống mạng, có khả năng cao rằng chúng sẽ làm sập hệ thống Điều này dẫn đến việc website của công ty hoặc tổ chức có thể bị tạm ngừng hoạt động, gây gián đoạn dịch vụ.
Cách phòng chống
Cá nhân cần nâng cao cảnh giác trước hình thức lừa đảo qua email bằng cách không nhấp vào các liên kết lạ và không trò chuyện với người lạ Hãy cẩn trọng với những tin nhắn giả mạo từ người thân và cài đặt phần mềm diệt virus để bảo vệ máy tính cũng như tài khoản cá nhân.
Các chuyên gia bảo mật khuyến cáo người dùng tại các công ty nên thực hiện các chính sách bảo mật chặt chẽ để phòng tránh các cuộc tấn công từ kĩ thuật Social Engineering.
Khuyến nghị rằng việc phân chia rõ ràng giữa tài khoản mạng xã hội cá nhân và tài khoản công việc là rất quan trọng Mặc dù điều này không thể hoàn toàn loại trừ nguy cơ rò rỉ thông tin, nhưng nó vẫn có thể giảm thiểu một phần các rủi ro liên quan.
Luôn luôn xác nhận danh tính trước khi liên lạc và tránh kết nối với người lạ Đây là một vấn đề phổ biến trên mạng xã hội, khi nhiều người dùng thường chấp nhận lời mời tham gia sự kiện hoặc kết bạn từ những người không quen biết.
- Tránh sử dụng một mật khẩu cho nhiều tài khoản mạng xã hội khác nhau nhằm tránh nguy cơ lộ thông tin hàng loạt
- Hạn chế đăng mọi thứ lên mạng xã hội vì thông tin được đăng có thể được kẻ tấn công tìm thấy, kể cả sau một thời gian dài
- Hạn chế đăng những thông tin hoặc đặc điểm cá nhân để tránh khả năng người dùng bị kẻ tấn công mạo danh
3.2.2 Đối với các tổ chức, doanh nghiệp
Với sự gia tăng mạnh mẽ của các cuộc tấn công Social Engineering dựa trên mạng xã hội, các công ty và cá nhân cần nhanh chóng thực hiện các biện pháp phòng ngừa Nhiều tổ chức vẫn chưa có chính sách rõ ràng để đối phó với các mối đe dọa này, điều này cho thấy sự thiếu hụt trong nhận thức về tầm quan trọng của vấn đề Do đó, các chính sách công ty cần phải được điều chỉnh để phù hợp với việc sử dụng mạng xã hội trong giờ làm việc, đồng thời các tổ chức lớn cũng nên xây dựng các quy định cụ thể nhằm ngăn chặn nguy cơ bị tấn công Social Engineering.
Giáo dục nhân viên về việc hạn chế chia sẻ thông tin cá nhân và nhận dạng trên mạng là rất quan trọng Những thông tin như số điện thoại, hình ảnh nhà cửa, gia đình, địa chỉ nhà và bất kỳ dữ liệu nào có thể bị lợi dụng cho mục đích mạo danh cần được bảo vệ cẩn thận.
- Khuyến khích nhân viên sử dụng hai tài khoản cá nhân và công việc trên các trang mạng xã hội
- Đào tạo nhân viên sử dụng mật khẩu phức tạp, độ bảo mật cao
- Đào tạo nhân viên cho thấy tầm quan trọng của thông tin cá nhân trên những trang mạng xã hội như Facebook
- Đào tạo, chỉ dẫn nhân viên về các mối quan hệ nguy hiểm của tấn công Phishing trên mạng xã hội và cách phòng tránh nó
3.2.3 Phòng chống với các nguy cơ khác
Nhiều mối nguy cơ tiềm ẩn có thể được sử dụng để khai thác tấn công Social Engineering, vậy đâu là cách ngăn chặn chúng:
Mối đe dọa Cách phòng tránh
Lục thùng rác là một phương pháp mà kẻ tấn công sử dụng để thu thập thông tin quan trọng, từ đó tạo nền tảng cho các hành vi Social Engineering Những thông tin này có thể bao gồm dữ liệu cá nhân, tài liệu nhạy cảm hoặc bất kỳ chi tiết nào có thể bị lợi dụng trong các cuộc tấn công tiếp theo.
15 không sử dụng nên chovào máy nghiền tài liệu, đốt hoặc phá hủy nhằm ngăn chặn rơi vào tay kẻ tấn công
Tấn công phishing lợi dụng email giả mạo để dụ dỗ người dùng truy cập vào trang web độc hại Dù nhiều tổ chức và công ty đã triển khai các biện pháp bảo vệ chống lại kỹ thuật Social Engineering, yếu tố quyết định nhất vẫn là nhận thức và hành động của con người.
Bảng 3 1 Cách phòng tránh mối đe dọa Social Engineering
Biện pháp Cách thực hiện
Là phương tiện giao tiếp Internet thì trình duyệt web luôn nên trong tình trạng an toàn và đảm bảo Người sử dụng nên thực hiện các điều sau:
1 Sử dụng trình duyệt mới nhất
2 Cập nhật thường xuyên trình duyệt
3 Tránh sử dụng những Plug-ins hoặc add-on không cần thiết
Sử dụng phần mềm chặn Popup
Các trình duyệt web hiện đại có khả năng phát hiện cửa sổ Pop-up nguy hiểm và sẽ thông báo cho người dùng khi có cửa sổ Pop-up khả nghi xuất hiện.
Cảnh báo trang Web nguy hiểm
Nếu người dùng truy nhập một trang web khả nghi, không đáng tin cậy, có nhiều lỗ hổng, trình duyệt sẽ cảnh báo trước
Trình duyệt web cần tích hợp khả năng hợp tác với phần mềm diệt virus trên máy tính để quét và phát hiện các nguy cơ an ninh từ các tệp tin tải xuống.
Cập nhật tư động Các trình duyệt web hiện đại có khả năng cập nhật vá lỗ hổng và bổ sung các chức năng an ninh
Chức năng mới trên các trình duyệt phổ biến như Edge, Chrome và Firefox giúp ngăn chặn việc lưu trữ thông tin quan trọng, bao gồm lịch sử trình duyệt.
Thay đổi thói quen online
Không có phần mềm hay trình duyệt nào có thể bảo vệ hệ thống khỏi thói quen của người dùng Nếu hệ thống đã đưa ra cảnh báo nhưng người dùng vẫn tiếp tục truy cập vào các liên kết nghi ngờ, thì nguy cơ bị tấn công là rất cao.
Bảng 3 2 Cách phòng chống Social Engineering trên mạng
ÁP DỤNG THỰC THI SOCIAL ENGINEERING TRÊN KALI LINUX
Social-Engineering Toolkit
Social-Engineer Toolkit (SET) là một công cụ mã nguồn mở hữu ích cho việc thử nghiệm xâm nhập thông qua phương pháp Social Engineering Social Engineering là kỹ thuật xâm nhập vào hệ thống hoặc mạng công ty bằng cách lừa đảo người dùng, khiến họ cung cấp thông tin cần thiết để vượt qua các biện pháp an ninh Các hình thức tấn công trong Social Engineering chủ yếu được chia thành hai loại chính.
- Human-base: dựa vào những kỹ thuật khai thác mối quan hệ giữa người với người
- Computer-base: tấn công dựa sự trợ giúp của máy tính Những hình thức này được biết như là phising, fake website …
Một số tính năng chính:
- Tấn công vector spear-phishing:
• Lây nhiễm các mã độc qua email
• Thực hiện một tấn công Mass Email
• Tạo một Social-Engineering Template
- Tấn công web bằng cách lây nhiễm mã độc khi người dùng click vào link trên website
- Tạo các mã độc để lây nhiễm qua USB/CD/DVD
- Gửi email chứa mã độc tới một hoặc nhiều nạn nhân cùng một lúc
Lưu ý: Social-Engineer Toolkit chỉ thực hiện được với các máy tính trong cùng một mạng
Thiết bị thực hiện: 1 máy Kali (thực hiện tấn công), 1 máy Windows 8.1(đóng vai trò là máy tính nạn nhân), 2 máy tính đều có kết nối Internet
Bước 1: Trên máy kali mở công cụ SET toolkit
Hình 4 1 Mở phần mềm Set Toolkit
Giao diện chính của phần mềm:
Hình 4 2 Giao diện chính của Set Toolkit
Bước 2: Để thực hiện tấn công, tại menu chính ta chọn “ 1 – Social-Engineering Attacks ”
Hình 4 3 Chọn Social-Engineering Attacks
- Sau đó, phần mềm hiển thị danh sách các tùy chọn cho mục Social-Engineering
• Spear-Phishing Attack Vectors: Tấn công dạng lừa đảo email Spear-Phishing
• Website Attack Vectors: Cho phép tấn công dựa trên lỗ hổng web
• Infectious Media Generator: Cho phép bạn tạo những file media chứa mã độc
• Create a Payload and Listener: Tạo payload tấn công và cài mã độc
• Mass Mailer Attack: Cho phép bạn gửi email hàng loạt
• Arduino-Based Attack Vector: Tấn công dựa trên Arduino
• Wireless Access Point Attack Vector: Cho phép tấn công mạng không dây
• QRCode Generator Attack Vector: Tạo các mã QR độc
• PowerShell Attack Vector: Tấn công thông qua trình CLI của Windows
• Third Party Modules: Các thư viện của tổ chức khác
- Tiến hành thực hiện thử nghiệm với từng loại tấn công trong danh sách trên:
Hình 4 4 Spear-phishing Attack Vectors
Mô-đun Spearphishing cho phép gửi thủ công số lượng lớn hoặc nhỏ email kèm theo tệp tin độc hại Để giả mạo địa chỉ email, người tấn công cần đảm bảo rằng "sendmail" đã được cài đặt (sử dụng apt-get) và thay đổi cài đặt trong /etc/setoolkit/config/set.config bằng cách đặt cờ SENDMAIL = OFF.
SENDMAIL = ON, WEBATTACK_EMAIL=ON
Bước đầu tiên trong quy trình tấn công email là thực hiện một khối lượng email tấn công người dùng, cho phép gửi một tập tin độc hại đến một địa chỉ email được xác định hoặc một danh sách địa chỉ, đồng thời thiết lập một lắng nghe Metasploit cho payload đã chọn Tùy chọn thứ hai là tạo một file dữ liệu FileFormat, giúp tạo ra một tập tin độc hại với trọng tải Metasploit Cuối cùng, tùy chọn thứ ba cho phép tạo một mẫu email mới để sử dụng trong cuộc tấn công SET Để bắt đầu, hãy chọn tùy chọn 1 để tiến hành cuộc tấn công email.
Hình 4 5 Chọn thực hiện tấn công email hàng loạt
In Step 2, SET displays a list of payloads, allowing you to select your desired file format for exploitation The default option is an embedded EXE in a PDF Here, choose "18 - Foxit PDF Reader v4.1.1 Title Stack Buffer Overflow."
Hình 4 6 Chọn một cuộc tấn công lừa đảo
Bước 3: Tiếp tục lựa chọn “2- Windows Meterpreter Reverse_TCP” , sau đó điền địa chỉ IP máy attacker, để mặc định cổng kết nối là 443
Hình 4 7 Chọn payload và thiết lập thông số
Bước 4: Đặt tên cho file trong SETools, hệ thống sẽ tạo sẵn một file PDF có tên là template.pdf Bạn có thể giữ nguyên tên file này hoặc đổi tên theo ý muốn Sau đó, lựa chọn phương thức tấn công với single email hoặc mass email, và chọn tấn công với template có sẵn.
Hình 4 8 Đặt tên tệp và thiết lập tùy chọn tấn công
Bước 5: Thiết lập đối tượng bằng cách nhập địa chỉ email của nạn nhân và của kẻ tấn công, sau đó cấu hình Metasploit Listener để thu thập payload từ kẻ tấn công khi nạn nhân mở tệp đính kèm trong email.
Hình 4 9 Gửi email với SET
Khi được yêu cầu, hãy nhập địa chỉ email và mật khẩu cho tài khoản Gmail của bạn SET cần nỗ lực cung cấp thông báo, tuy nhiên, trong một số trường hợp, quá trình gửi email có thể gặp lỗi do SETools từ chối gửi Như thông báo dưới cùng của danh sách cho thấy, Gmail kiểm tra file đính kèm và ngăn chặn các cuộc tấn công gửi đi Đây chỉ là một nỗ lực ban đầu, và kẻ tấn công có thể đạt được kết quả tốt hơn bằng cách sử dụng các phương pháp khác.
Sử dụng máy chủ thư riêng hoặc máy chủ thư của khách hàng có thể dẫn đến việc thu thập hoặc đoán thông tin đăng nhập Trong trường hợp này, nhóm chỉ gửi email cho chính mình Công cụ như theHarvester có thể được sử dụng để tìm kiếm các địa chỉ email hợp lệ.
Hình 4 10 Lưu ý về lỗi khi gửi bằng Gmail
Bước 6: Attacker cũng có thể thiết lập một Metasploit Listener để bắt trọng tải của nạn nhân nếu có ai mở tập tin đính kèm email
Hình 4 11 Thiết lập một Listener
Email nạn nhân nhận được thư từ kẻ tấn công
Bước 7: Kẻ tấn công sẽ chờ đợi người dùng mở tệp PDF độc hại, từ đó gửi lại cho kẻ tấn công một phiên Để thoát khỏi trình nghe, người dùng có thể sử dụng Ctrl-C và gõ Exit để quay lại menu trước Lựa chọn số 99 sẽ đưa người dùng trở lại menu tấn công kỹ thuật xã hội của SET.
Hình 4 12 Email gửi tới nạn nhân
Bước 8: Khi nạn nhân tải file và tiến hành mở file đã tải về, kết nối được gửi tới máy attacker
Thông thường cách nhúng mã trong file pdf thông qua Gmail sẽ không thành công vì Gmail kiểm tra file đính kèm và bắt tấn công gửi đi
Hình 4 13 Attacker truy cập vào máy tính của nạn nhân
Bước 1: Quay trở lại menu chọn loại tấn công, tiến hành chọn mục số “2- Website
Hình 4 14 Chọn Website Attack Vectors
Bước 2: Trên trang web Attack Vectors, bạn sẽ thấy các phương thức tấn công HTA, cho phép sao chép trang web và thực hiện tiêm quyền hạn thông qua các tệp HTA, từ đó khai thác quyền hạn dựa trên Windows qua trình duyệt.
• Credential Harvester Attack Method: Phương pháp tấn công đáng tin cậy
• Metasploit Browser Exploit Method: Phương pháp khai thác trình duyệt Metasploit
• Java Applet Attack Method: Phương pháp tấn công Applet Java
• Tabnabbing Attack Method: Phương pháp tấn công Tabnabbing
• Web Jacking Attack Method: Phương pháp tấn công Web Jacking
• Multi-Attack Web Method: Đa tấn công trên Web
• Full Screen Attack Method: Phương pháp tấn công toàn màn hình
• HTA Attack Method: Phương pháp tấn công HTA
Bước 3: Chọn “3- Credential Harvester Attack Method”
Hình 4 15 Chọn Credential Harvester Attack Method
Bước 4: Lựa chọn “2-Site Cloner”
Hình 4 16 Lựa chọn Site Cloner
Bước 5: Nhập địa chỉ IP của máy Attacker (192.168.30.6) và địa chỉ website facebook www.facebook.com, đây là trang web mà Attacker sẽ giả mạo Kết quả hiển thị như hình bên dưới.
Hình 4 17 Nhập địa chỉ IP và tạo Website Facebook giả mạo
Lúc này, ta có địa chỉ trang Web clone là IP host
Hình 4 18 Web Facebook clone với địa chỉ là host IP
Bước 6: Để tránh gây nghi ngờ cho người bị tấn công, chúng ta sử dụng dịch vụ TinyURL để rút gọn và chỉnh sửa lại đường link trang web, vì địa chỉ web thường là địa chỉ host IP.
Hình 4 19 Đường link host IP sau khi được Convert sang link TinyURL
Bước 7: Gửi đường link web clone đến một Email nạn nhân
Hình 4 20 Đường link lạ được gửi đến email nạn nhân
Khi nạn nhân nhấp vào liên kết và đăng nhập vào trang web clone, thông tin cá nhân sẽ được gửi về máy chủ Kali Linux đang lưu trữ trang web đó.
Hình 4 21 Nạn nhân đăng nhập thông tin tài khoản
Bước 8: Trong phần thông tin trả về, chúng ta có thể dễ dàng nhìn thấy tên đăng nhập và mật khẩu mà nạn nhân đã vô tình nhập vào qua dòng email và password.
Hình 4 22 Thông tin đăng nhập được gửi trả về cho toolkit SET
Từ thông tin khai thác được, kẻ tấn công Social Engineering có thể dùng để làm lợi cho cá nhân
Máy phát điện truyền nhiễm là một vector tấn công đơn giản, cho phép SET tạo ra một thư mục có thể ghi vào đĩa CD/DVD hoặc lưu trữ trên ổ đĩa USB Tập tin autorun.inf được sử dụng để tự động thực hiện các lệnh khi chèn vào máy tính của mục tiêu Hiện tại, SET hỗ trợ các file thực thi như Meterpreter và các lỗi định dạng tập tin như khai thác Adobe.
Bước 1: Sau khi chọn Infectious Media Generator sẽ hiển thị danh sách các tùy chọn, chọn mục 2 để tiến hành thực thi lỗ hổng tiêu chuẩn
HiddenEye
HiddenEye is an advanced phishing tool that surpasses the capabilities of the Social-Engineer Toolkit, designed to assist in social engineering penetration testing This powerful toolkit enables users to execute attacks on devices outside of their network.
Một số hệ điều hành có thể sử dụng HiddenEye:
- Userland app (For Android Users)
- Kẻ tấn công có thông tin trực tiếp về các nạn nhân như: ĐỊA CHỈ IP, Định vị địa lý, ISP, Quốc gia và nhiều thông tin khác
- Tương thích với tất cả các trang web đều tương thích với điện thoại di động
- Bây giờ bạn cũng sẽ có khả năng nắm bắt tất cả các tổ hợp phím của nạn nhân
- Bây giờ bạn có thể triển khai tùy chọn Keylogger với (Y / N)
- Các vấn đề chính cố định
- Chúng tôi quan tâm đến người dùng Android, vì vậy bây giờ chúng tôi đã đưa ra hai cách để chạy HiddenEye trong Thiết bị Android
8 Dịch vụ lựa chọn URL
9 Giả mạo trang Page với lưu lượng lớn
HiddenEye là một công cụ mạnh mẽ có khả năng giả mạo nhiều trang web nổi tiếng như Facebook, Google, Github, LinkedIn và Stack Overflow Đặc biệt, HiddenEye chủ yếu tập trung vào việc giả mạo các trang đăng nhập của những website này, tạo ra một số lượng lớn các trang web giả mạo để lừa đảo người dùng.
50 hạn chế, do chỉ có 1 vài template có sẵn Người dùng không thể tự tạo một website với tên miền khác trong danh sách website có sẵn
Bước 2: Chuyển tới thư mục HiddenEye và tiến hành cài đặt python3
Bước 3: Cài đặt pip cho python (pip là trình quản lý thư viện trong Python)
Bước 4: Cấp quyền cho HiddenEye
Hình 4 69 Cấp quyền cho HiddenEye
Bước 6: Hiển thị danh sách các Template giả mạo và chọn website gỉa mạo là
Bước 7 : Điền trang chuyển hướng cho Github
Hình 4 72 Điền trang chuyển hướng cho Github
Bước 8 : Lựa chọn Server Ngrok
Hình 4 73 Lựa chọn Server Ngrok
Bước 9 : Copy link giả mạo Github và gửi cho nạn nhân
Hình 4 74 Coppy link giả mạo Github và gửi cho nạn nhân
Bước 10: Nạn nhân đăng nhập tài khoản trên Github giả mạo
Hình 4 75 Nạn nhân đăng nhập tài khoản trên Github giả mạo
Bước 11: Kết quả thu được HiddenEye với Github
Hình 4 76 Kết quả thu được HiddenEye với Github
