Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Luận văn thạc sĩ phân tích các lừa đảo trên mạng máy tính và cách phòng tránh, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho thực tiễn.

• Tác giả: Lê Thị Thu Hương
• Người hướng dẫn: PGS. TS Trịnh Nhật Tiến
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng Quan Về Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Lừa đảo giả dạng trên mạng máy tính, hay còn gọi là phishing, là một trong những hình thức lừa đảo phổ biến nhất hiện nay. Hình thức này thường lợi dụng sự thiếu hiểu biết của người dùng để đánh cắp thông tin cá nhân và tài chính. Việc nhận thức rõ về các phương thức lừa đảo và cách phòng tránh là rất quan trọng để bảo vệ thông tin cá nhân. Bài viết này sẽ cung cấp cái nhìn tổng quan về lừa đảo giả dạng và các biện pháp phòng tránh hiệu quả.

1.1. Khái Niệm Lừa Đảo Giả Dạng Trên Mạng

Lừa đảo giả dạng là hành vi gian lận trên Internet, nơi kẻ lừa đảo giả mạo các tổ chức hoặc cá nhân để thu thập thông tin nhạy cảm. Các thông tin này có thể bao gồm tên, địa chỉ, mật khẩu và số thẻ tín dụng. Việc hiểu rõ khái niệm này giúp người dùng nhận diện và phòng tránh các cuộc tấn công.

1.2. Tại Sao Lừa Đảo Giả Dạng Lại Phổ Biến

Lừa đảo giả dạng trở nên phổ biến do sự phát triển nhanh chóng của công nghệ thông tin và Internet. Nhiều người dùng thiếu kiến thức về an toàn thông tin, tạo điều kiện cho kẻ lừa đảo dễ dàng thực hiện hành vi của mình. Hơn nữa, các phương thức lừa đảo ngày càng tinh vi và khó phát hiện.

II. Các Hình Thức Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Có nhiều hình thức lừa đảo giả dạng khác nhau, mỗi hình thức đều có những đặc điểm và phương thức tấn công riêng. Việc nhận diện các hình thức này là rất quan trọng để có thể phòng tránh hiệu quả. Một số hình thức phổ biến bao gồm lừa đảo qua email, lừa đảo qua mạng xã hội và lừa đảo qua các trang web giả mạo.

2.1. Lừa Đảo Qua Email

Lừa đảo qua email là hình thức phổ biến nhất, nơi kẻ lừa đảo gửi email giả mạo từ các tổ chức uy tín yêu cầu người nhận cung cấp thông tin cá nhân. Những email này thường có nội dung khẩn cấp và yêu cầu hành động ngay lập tức.

2.2. Lừa Đảo Qua Mạng Xã Hội

Lừa đảo qua mạng xã hội thường diễn ra khi kẻ lừa đảo tạo tài khoản giả mạo để kết bạn và thu thập thông tin cá nhân từ nạn nhân. Hình thức này thường lợi dụng lòng tin của người dùng để thực hiện hành vi lừa đảo.

2.3. Lừa Đảo Qua Các Trang Web Giả Mạo

Kẻ lừa đảo tạo ra các trang web giả mạo giống hệt các trang web thật để dụ dỗ người dùng nhập thông tin cá nhân. Những trang web này thường có giao diện tương tự và sử dụng các kỹ thuật đánh lừa ảo giác để khiến người dùng không nghi ngờ.

III. Phương Pháp Phòng Tránh Lừa Đảo Giả Dạng Hiệu Quả

Để phòng tránh lừa đảo giả dạng, người dùng cần áp dụng một số phương pháp bảo mật cơ bản. Việc nâng cao nhận thức về an toàn thông tin và thực hiện các biện pháp bảo vệ là rất cần thiết. Dưới đây là một số phương pháp phòng tránh hiệu quả.

3.1. Sử Dụng Phần Mềm Bảo Mật

Sử dụng phần mềm bảo mật giúp phát hiện và ngăn chặn các cuộc tấn công lừa đảo. Các phần mềm này thường có tính năng quét email và trang web để phát hiện các liên kết giả mạo.

3.2. Kiểm Tra Địa Chỉ URL

Trước khi nhập thông tin cá nhân, cần kiểm tra kỹ địa chỉ URL của trang web. Đảm bảo rằng địa chỉ bắt đầu bằng 'https://' và không có các ký tự lạ. Điều này giúp tránh việc truy cập vào các trang web giả mạo.

3.3. Tăng Cường Kiến Thức An Toàn Thông Tin

Nâng cao kiến thức về an toàn thông tin là cách hiệu quả nhất để phòng tránh lừa đảo. Người dùng nên thường xuyên cập nhật thông tin về các hình thức lừa đảo mới và cách nhận diện chúng.

IV. Ứng Dụng Thực Tiễn Trong Phòng Tránh Lừa Đảo Giả Dạng

Việc áp dụng các biện pháp phòng tránh lừa đảo giả dạng không chỉ giúp bảo vệ thông tin cá nhân mà còn nâng cao ý thức cộng đồng về an toàn thông tin. Các tổ chức và doanh nghiệp cũng cần có các chính sách bảo mật rõ ràng để bảo vệ dữ liệu của khách hàng.

4.1. Chính Sách Bảo Mật Tại Doanh Nghiệp

Doanh nghiệp cần xây dựng chính sách bảo mật rõ ràng và thường xuyên tổ chức các buổi đào tạo về an toàn thông tin cho nhân viên. Điều này giúp nâng cao nhận thức và giảm thiểu rủi ro lừa đảo.

4.2. Sử Dụng Công Nghệ Mới

Áp dụng công nghệ mới như xác thực hai yếu tố và mã hóa dữ liệu giúp tăng cường bảo mật thông tin. Những công nghệ này giúp ngăn chặn kẻ lừa đảo truy cập vào thông tin nhạy cảm.

V. Kết Luận Về Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng

Lừa đảo giả dạng trên mạng máy tính là một vấn đề nghiêm trọng, nhưng có thể phòng tránh được nếu người dùng có ý thức và áp dụng các biện pháp bảo mật hiệu quả. Việc nâng cao nhận thức và kiến thức về an toàn thông tin là rất cần thiết để bảo vệ bản thân và thông tin cá nhân.

5.1. Tương Lai Của An Toàn Thông Tin

Trong tương lai, với sự phát triển của công nghệ, các hình thức lừa đảo sẽ ngày càng tinh vi hơn. Do đó, việc nâng cao nhận thức và áp dụng các biện pháp bảo mật là điều cần thiết để bảo vệ thông tin cá nhân.

5.2. Vai Trò Của Cộng Đồng Trong Phòng Tránh Lừa Đảo

Cộng đồng cần chung tay nâng cao ý thức về an toàn thông tin. Việc chia sẻ thông tin và kinh nghiệm về các hình thức lừa đảo sẽ giúp mọi người phòng tránh hiệu quả hơn.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ ----------------------------------- LÊ THỊ THU HƢƠNG CÁC LỪA ĐẢO TRÊN MẠNG MÁY TÍNH VÀ CÁCH PHÒNG TRÁNH LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN HÀ NỘI 2016 i ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ ----------------------------------- LÊ THỊ THU HƢƠNG CÁC LỪA ĐẢO TRÊN MẠNG MÁY TÍNH VÀ CÁCH PHÒNG TRÁNH Ngành: Công nghệ thông tin Chuyên ngành: Truyền dữ liệu và Mạng máy tính Mã số: LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN HƢỚNG DẪN KHAO HỌC: PGS. TS Trịnh Nhật Tiến HÀ NỘI 2016 ii MỤC LỤC MỤC LỤC. 4 Chƣơng 1 – LÝ THUYẾT CÁC DẠNG LỪA ĐẢO QUA MẠNG. KHÁI NIỆM LỪA ĐẢO GIẢ DẠNG.

LỊCH SỬ LỪA ĐẢO GIẢ DẠNG. TỔNG HỢP VỀ MỘT SỐ TỔ CHỨC BỊ TẤN CÔNG LỪA ĐẢO GIẢ DẠNG. CÁC PHƢƠNG PHÁP LỪA ĐẢO GIẢ DẠNG. NHỮNG YẾU TỐ ĐỂ CUỘC TẤN CÔNG LỪA ĐẢO GIẢ DẠNG THÀNH CÔNG.

Sự thiếu hiểu biết. Nghệ thuật đánh lừa ảo giác. Không chú ý đến những chỉ tiêu an toàn. NHỮNG PHƢƠNG THỨC CỦA LỪA ĐẢO GIẢ DẠNG.

Thƣ điện tử và thƣ rác (Email and Spam). Phát tán dựa trên các trang mạng (Web-based Delivery). Mạng lƣới trò chuyện trực tuyến và tin nhắn khẩn (Irc and Instant Messaging). Các máy tính bị nhiễm phần mềm gián điệp (Trojaned Hosts).

CÁC KIỂU LỪA ĐẢO GIẢ DẠNG. Tấn công MITM. Các cuộc tấn công gây rối URL (URL Obfuscation Attacks). Tấn công XSS (Cross-Site Scripting Attacks).

Tấn công ẩn (Hidden Attacks). PHƢƠNG PHÁP PHÒNG TRÁNH LỪA ĐẢO GIẢ DẠNG. Các doanh nghiệp bảo vệ máy tính để bàn. Độ nhạy của thƣ điện tử (E-mail).

Khả năng của trình duyệt. Sử dụng chữ ký số trong thƣ điện tử. Cảnh giác của khách hàng. Nhận thức của khách hàng.

Giá trị truyền thông mang tính nội bộ. Bảo mật ứng dụng trang mạng đối với khách hàng. Xác thực dựa trên thẻ bài mạnh (Strong Token). Máy chủ và những hiệp ƣớc liên kết.

PHÍA DOANH NGHIỆP. Xác thực phía máy chủ gửi thƣ điện tử. Thƣ điện tử sử dụng chữ ký số (Digitally Signed E-mail). Các dịch vụ cổng (Gateway services).

Các dịch vụ quản lý. ỨNG DỤNG PHÒNG TRÁNH TRONG TRÌNH DUYỆT. Kiến trúc của SpoofGuard. Nguyên lý hoạt động.

Ƣu điểm và nhƣợc điểm. TRANG WEB KIỂM TRA LỪA ĐẢO GIẢ DẠNG PHISH TANK. Cơ bản về Phish Tank. Nhƣợc điểm.

Nguyên lý hoạt động. Ƣu điểm và nhƣợc điểm .WEB ANTI-VIRUS LINK CHECKER. Cơ bản về Dr.Web Anti-Virus Link Checker. Nhƣợc điểm.

TỔNG KẾT CHƢƠNG. 78 BẢNG CHỮ VIẾT TẮT, TỪ CHUYÊN MÔN BẰNG TIẾNG ANH. 80 TÀI LIỆU THAM KHẢO. 81 3 GIỚI THIỆU Lừa đảo qua mạng ( Social Engineering ) đƣợc thực hiện chủ yếu dựa trên việc khai thác hành vi và tâm lý của ngƣời sử dụng Internet; Và các “lỗ hổng” trong hệ thống an ninh mạng máy tính.

Đƣợc phân làm 2 nhóm: 1- Cố gắng đánh lừa mọi ngƣời gửi tiền trực tiếp cho kẻ lừa đảo (ví dụ: giả bộ gặp trục trặc). 2- Lừa đảo nhằm mục đích ăn cắp thông tin cá nhân và dữ liệu máy tính. Một trong những hình thức lừa đảo qua mạng khá phổ biến là “phishing – lừa đảo giả dạng”. Trong phần nghiên cứu này ta sẽ tập trung nghiên cứu vào hình thức lừa đảo giả dạng “phishing”.

4 Chƣơng 1 – LÝ THUYẾT CÁC DẠNG LỪA ĐẢO QUA MẠNG 1. KHÁI NIỆM LỪA ĐẢO GIẢ DẠNG Lừa đảo giả dạng (phishing) là loại hình gian lận (thƣơng mại) trên Internet, một thành phần của “Social Engineering – kỹ nghệ lừa đảo” trên mạng. Nguyên tắc của lừa đảo giả dạng là bằng cách nào đó “lừa” nguời dùng gửi thông tin nhạy cảm đến kẻ lừa đảo; các thông tin nhƣ tên, địa chỉ, mật khẩu, số thẻ tín dụng, mã thẻ ATM, số an sinh xã hội,…. Cách thực hiện chủ yếu là mô phỏng lại giao diện đăng nhập trang web của các website có thật, kẻ lừa đảo sẽ dẫn dụ nạn nhân điền các thông tin vào trang “dỏm” đó rồi truyền tải đến anh ta (thay vì đến server hợp pháp) để thực hiện hành vi đánh cắp thông tin bất hợp pháp mà nguời sử dụng không hay biết.

LỊCH SỬ LỪA ĐẢO GIẢ DẠNG Từ "phishing", ban đầu xuất phát từ sự tƣơng đồng giống với cách mà bọn tội phạm Internet đầu tiên sử dụng e-mail để nhử "lừa đảo-phish" cho mật khẩu và các dữ liệu tài chính từ một biển ngƣời sử dụng Internet. Việc sử dụng "ph" trong thuật ngữ là một phần bị mất trong biên niên sử của thời gian, nhƣng nhiều khả năng liên kết với các hacker đặt tên phổ biến theo hiệp ƣớc chung nhƣ "Phreaks" mà dấu vết để lại cho tin tặc đầu tiên, kẻ mà đã tham gia vào "Phreaking" - hacking hệ thống điện thoại. Thuật ngữ này đƣợc đặt ra trong năm 1996 khoảng thời gian của tin tặc kẻ mà đã ăn cắp tài khoản (account) của America Online (AOL) bằng cách lừa đảo mật khẩu từ việc những ngƣời dùng AOL không nghi ngờ. Việc đề cập đến đầu tiên đƣợc phổ biến rộng rãi trên Internet về Phishing đƣợc đƣa ra trong “Ialt.2600 hacker newsgroup in January 1996”; Tuy nhiên, nhóm này có thể đã đƣợc sử dụng ngay cả trƣớc đó trong các hacker nổi tiếng nhất trên Bản tin "2600".

5 It used to be that you could make a fake account on AOL so long as you had a credit card generator. However, AOL became smart. Now they verify every card with a bank after it is typed in. Does anyone know of a way to get an account other than phishing? —mk590, "AOL for free?" alt.2600, January 28, 1996 Tạm dịch: Nó được sử dụng để bạn có thể làm giả một tài khoản trên AOL trong 1 thời gian dài giống như bạn đã có một máy tạo thẻ tín dụng.

Tuy nhiên, AOL đã trở nên thông minh hơn. Bây giờ họ xác minh mỗi thẻ với ngân hàng sau khi nó được gõ vào. Liệu rằng có ai biết cách nào khác để có được một tài khoản khác hơn là lừa đảo (phishing)? -mk590, "AOL for free?‖ alt.2600, 28 tháng 1 năm 1996 Đến năm 1996, tài khoản bị hack đã đƣợc gọi là "lừa đảo-phish", và đến năm 1997 Phish là giao dịch tích cực giữa các hacker nhƣ một hình thức tiền tệ điện tử. Có những trƣờng hợp trong đó những kẻ lừa đảo thƣờng xuyên sẽ thƣơng mại 10 việc làm AOL Phish cho một mảnh phần mềm hack hoặc warez (bị đánh cắp bản quyền các ứng dụng và trò chơi).

Các phƣơng tiện truyền thông trích dẫn sớm nhất đề cập đến lừa đảo -phishing đã không đƣợc thực hiện cho đến tháng 3 năm 1997: The scam is called 'phishing' — as in fishing for your password, but spelled differently — said Tatiana Gau, vice president of integrity assurance for the online service. —Ed Stansel, "Don't get caught by online 'phishers' angling for account information," Florida Times-Union, March 16, 1997 6 Tạm dịch: Lừa đảo – scam được gọi là 'lừa đảo -phishing' – được ví như việc câu cá khi lừa đảo để ―câu‖ mật khẩu của bạn, nhưng đánh vần khác nhau - Tatiana Gau - phó chủ tịch của công ty bảo hiểm tính toàn vẹn cho các dịch vụ trực tuyến - nhận định. -Ed Stansel, "Đừng dính tới phishing online - phishers 'những kẻ lừa đảo' cho thông tin tài khoản ", Florida Times-Union, 16 Tháng 3 năm 1997 Qua thời gian, định nghĩa thế nào là một cuộc tấn công lừa đảo-phishing đã bị mờ đi và phát triển rộng hơn. Mục đích của nhóm Phishing không chỉ với việc có đƣợc tài khoản chi tiết của ngƣời dùng, mà còn gồm cả quyền truy cập vào dữ liệu cá nhân và tài chính.

Ban đầu là lừa ngƣời dùng trả lời e-mail để đƣa ra các mật khẩu và các thông tin chi tiết thẻ tín dụng, về sau dần dần đã mở rộng sang các trang web giả mạo, cài đặt Trojan horse key-logger và ảnh chụp màn hình, và man-in-the-middle dữ liệu proxy - tất cả các tuyến giao thông qua bất kỳ kênh truyền thông điện tử nào. Do tỷ lệ thành công cao của những vụ lừa đảo, hiện nay nó đƣợc lan rộng thành lừa đảo giả dạng –phishing; lừa đảo-scam cổ điển bao gồm việc sử dụng các Jobsites giả hoặc mời làm việc. Ứng viên bị dụ dỗ với khái niệm làm sẽ có rất nhiều tiền cho công việc nhỏ -chỉ cần tạo một tài khoản ngân hàng mới, lấy tiền đó đã đƣợc chuyển vào nó (ít hoa hồng cá nhân của họ) và gửi nó vào nhƣ một trật tự tiền tệ quốc tế - kỹ thuật rửa tiền cổ điển. TỔNG HỢP VỀ MỘT SỐ TỔ CHỨC BỊ TẤN CÔNG LỪA ĐẢO GIẢ DẠNG Thời gian qua, hàng loạt các công ty, hãng công nghệ nổi tiếng trên thế giới trở thành nạn nhân của tin tặc nhƣ IMF, Google, Sony, Lockheed Martin, RSA Security, và CitiGroup.

Sau đây là một số thống kê các cuộc tấn công, xâm nhập thành công của tin tặc vào các công ty, hãng công nghệ nổi tiếng thời gian gần đây. IMF (Quỹ Tiền tệ Quốc tế) Tin tặc đã tiến hành các cuộc tấn công trƣớc ngày 14/5/2011, khi Strauss-Kahn, cựu Tổng giám đốc IMF bị bắt tại New York. Cuộc tấn công xâm nhập vào máy chủ của Quỹ Tiền tệ Quốc tế (IMF) có thể do các tin tặc, làm việc cho chính phủ nào đó ở nƣớc ngoài, thực hiện. Tin tặc đã đánh cắp số lƣợng lớn dữ liệu bao gồm email và nhiều tài liệu khác.

Các dữ liệu của IMF rất nhạy cảm vì nó chứa rất nhiều thông tin bí mật về tình hình tài chính của nhiều quốc gia trên thế giới và nó có thể ảnh hƣởng đến thị trƣờng toàn cầu. Tuy nhiên, hiện vẫn chƣa có thông tin rõ ràng về các tài liệu mà tin tặc đã đánh cắp. CitiGroup 8 Sau cuộc tấn công vào cổng thông tin điện tử của CitiGroup, tin tặc đã lấy cắp dữ liệu chứa thông tin cá nhân của khoảng 210.000 chủ thẻ CitiGroup. Các thông tin này bao gồm tên chủ thẻ, số tài khoản, thông tin liên lạc nhƣ địa chỉ email.

Google Hôm 1/6/2011, Google cho biết hãng phát hiện các cuộc xâm nhập đánh cắp hàng trăm tài khoản ngƣời dùng và mật khẩu Gmail. Trong số các tài khoản bị đánh cắp, có rất nhiều tài khoản của các quan chức chính phủ Mỹ, các quan chức ở khu vực châu Á, các nhà báo… Google không biết chắc chắn về phƣơng thức tấn công xâm nhập của tin tặc, nhƣng hãng cho rằng, có thể tin tặc dùng Phishing. Google nói rằng hệ thống nội bộ của hãng vẫn an toàn và hãng đã thực hiện các biện pháp bảo mật cho các tài khoản đã bị tin tặc đánh cắp.