Trong kỷ nguyên số, con người luôn là "mắt xích yếu nhất" trong chuỗi bảo mật. Thay vì tấn công trực diện vào các hệ thống tường lửa kiên cố, tội phạm mạng thường chọn cách lừa đảo trực tiếp người dùng thông qua Phishing và Spear Phishing.

Vậy hai hình thức này khác nhau như thế nào và làm sao để nhận diện chúng? Hãy cùng tìm hiểu qua bài viết dưới đây.

1. Phishing: Cuộc tấn công "Quăng lưới" đại trà

Phishing (Tấn công giả mạo) là hình thức lừa đảo qua email, tin nhắn hoặc cuộc gọi được gửi đồng loạt đến hàng triệu người. Kẻ tấn công không nhắm vào một ai cụ thể mà chỉ hy vọng một số ít nạn nhân thiếu cảnh giác sẽ sập bẫy.

• Hình thức: Thường là các email giả danh ngân hàng, dịch vụ lưu trữ (Google Drive, iCloud) hoặc các thông báo trúng thưởng.

• Dấu hiệu nhận biết:

• Lời chào chung chung như "Kính gửi quý khách", "Người dùng thân mến".

• Yêu cầu nhấn vào link để "Xác minh tài khoản" hoặc "Nhận quà".

• Địa chỉ email người gửi thường có sai sót nhỏ (ví dụ: support@googIe.com thay vì google.com).

2. Spear Phishing: Cú đâm "Lao" có mục tiêu

Khác với Phishing, Spear Phishing là một cuộc tấn công có chủ đích, nhắm vào một cá nhân, một phòng ban hoặc một tổ chức cụ thể. Đây là phiên bản nâng cao và cực kỳ nguy hiểm.

• Hình thức: Kẻ tấn công sẽ dành thời gian nghiên cứu mục tiêu trên mạng xã hội, website công ty để biết tên, chức vụ, dự án đang làm... từ đó tạo ra những email có nội dung cực kỳ thuyết phục.

• Dấu hiệu nhận biết:

• Email đề cập chính xác tên bạn và các công việc bạn đang phụ trách.

• Giả danh sếp hoặc đồng nghiệp yêu cầu chuyển tiền gấp hoặc cung cấp dữ liệu mật.

• Mức độ tin cậy cực cao khiến nạn nhân rất khó nghi ngờ.

3. So sánh Phishing và Spear Phishing

4. Các case study

Case Study: Facebook & Google ($100 triệu USD)

Đây là vụ lừa đảo "hóa đơn giả" chấn động nhất lịch sử. Kẻ tấn công (Evaldas Rimasauskas) đã giả danh một nhà cung cấp phần cứng lớn từ Đài Loan là Quanta Computer.

• Cách thức: Hắn gửi các email giả mạo với hóa đơn thanh toán trông hoàn toàn giống thật cho nhân viên tài chính của Facebook và Google. Vì Quanta là đối tác thật, nhân viên đã không nghi ngờ và chuyển tiền vào các tài khoản ngân hàng ở Latvia và Cyprus.

• Thiệt hại: Google mất 23 triệu USD, Facebook mất 98 triệu USD (sau đó đã thu hồi được phần lớn).

• Link bài viết: The Guardian - Facebook and Google conned out of $100m

Case Study: Ubiquiti Networks ($46.7 triệu USD)

Một ví dụ điển hình của hình thức CEO Fraud (Giả danh lãnh đạo).

• Cách thức: Kẻ tấn công nhắm vào bộ phận tài chính của công ty, gửi email giả mạo CEO hoặc các lãnh đạo cấp cao yêu cầu chuyển tiền gấp để thực hiện một thương vụ bí mật.

• Thiệt hại: Công ty đã chuyển tổng cộng 46.7 triệu USD ra các tài khoản nước ngoài trước khi phát hiện ra sự thật.

• Link bài viết: Krebs on Security - Tech Firm Ubiquiti Suffers $46M Cyberheist

Case Study: Chiến dịch "0ktapus" nhắm vào Twilio và Cloudflare

Vụ này sử dụng hình thức Smishing (Phishing qua tin nhắn SMS).

• Cách thức: Kẻ tấn công gửi tin nhắn SMS hàng loạt cho nhân viên với nội dung: "Mật khẩu của bạn đã hết hạn, hãy đăng nhập tại đây để cập nhật". Đường link dẫn đến một trang web giả mạo giao diện đăng nhập Okta của công ty.

• Kết quả: Twilio đã bị xâm nhập dữ liệu khách hàng. Cloudflare cũng bị tấn công tương tự nhưng đã ngăn chặn được nhờ sử dụng khóa bảo mật vật lý (Hard key).

• Link bài viết: The Cloudflare Blog - The mechanics of a sophisticated phishing scam

Case Study: MGM Resorts (2023)

Một vụ tấn công kết hợp giữa Phishing và kỹ thuật xã hội (Social Engineering) đánh sập hệ thống sòng bạc Las Vegas.

• Cách thức: Kẻ tấn công tìm tên nhân viên trên LinkedIn, sau đó gọi điện cho bộ phận IT Help Desk, giả danh nhân viên đó nói rằng mình quên mật khẩu. Chỉ sau một cuộc điện thoại 10 phút, chúng đã có quyền truy cập hệ thống.

• Thiệt hại: Toàn bộ hệ thống đặt phòng, khóa cửa khách sạn và máy đánh bạc của MGM bị tê liệt trong nhiều ngày, thiệt hại hàng trăm triệu USD.

• Link bài viết: Vox - The chaotic and cinematic MGM Casino Hack

5. Làm thế nào để bảo vệ chính mình và doanh nghiệp?

Để không trở thành nạn nhân tiếp theo, hãy áp dụng ngay các quy tắc "vàng" sau:

• Luôn kiểm tra kỹ địa chỉ Email: Đừng chỉ nhìn tên hiển thị, hãy kiểm tra địa chỉ thực tế đằng sau nó.

• Cảnh giác với các yêu cầu khẩn cấp: Mọi yêu cầu chuyển tiền hoặc cung cấp mật khẩu "ngay lập tức" đều là dấu hiệu nghi vấn.

• Sử dụng xác thực 2 lớp (2FA): Ngay cả khi lộ mật khẩu, kẻ tấn công vẫn khó có thể xâm nhập nếu không có mã xác nhận từ điện thoại của bạn.

• Đào tạo nhận thức cho nhân viên: Thường xuyên tổ chức các buổi diễn tập giả định về tấn công phishing để nâng cao khả năng nhận diện của đội ngũ.

• Kiểm tra link trước khi click: Rê chuột qua các đường link để xem địa chỉ URL thực sự bên dưới trước khi nhấp vào.

Lời kết: Tấn công giả mạo ngày càng tinh vi hơn với sự hỗ trợ của AI. Việc trang bị kiến thức và luôn giữ một tinh thần "hoài nghi tích cực" là lá chắn vững chắc nhất để bảo vệ tài sản và dữ liệu của bạn trước những tay "thợ câu" trên không gian mạng.