Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Luận văn thạc sĩ phân tích các lừa đảo trên mạng máy tính và cách phòng tránh, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho thực tiễn.

• Tác giả: Lê Thị Thu Hương
• Người hướng dẫn: PGS. TS Trịnh Nhật Tiến
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• GIỚI THIỆU
• 1. Chương 1: LÝ THUYẾT CÁC DẠNG LỪA ĐẢO QUA MẠNG
• 1.1. KHÁI NIỆM LỪA ĐẢO GIẢ DẠNG
• 1.2. LỊCH SỬ LỪA ĐẢO GIẢ DẠNG
• 1.3. TỔNG HỢP VỀ MỘT SỐ TỔ CHỨC BỊ TẤN CÔNG LỪA ĐẢO GIẢ DẠNG
• 1.4. CÁC PHƯƠNG PHÁP LỪA ĐẢO GIẢ DẠNG
• 1.4.1. NHỮNG YẾU TỐ ĐỂ CUỘC TẤN CÔNG LỪA ĐẢO GIẢ DẠNG THÀNH CÔNG
• 1.4.1.1. Sự thiếu hiểu biết
• 1.4.1.2. Nghệ thuật đánh lừa ảo giác
• 1.4.1.3. Không chú ý đến những chỉ tiêu an toàn
• 1.4.2. NHỮNG PHƯƠNG THỨC CỦA LỪA ĐẢO GIẢ DẠNG
• 1.4.2.1. Thư điện tử và thư rác (Email and Spam)
• 1.4.2.2. Phát tán dựa trên các trang mạng (Web-based Delivery)
• 1.4.2.3. Mạng lưới trò chuyện trực tuyến và tin nhắn khẩn (Irc and Instant Messaging)
• 1.4.2.4. Các máy tính bị nhiễm phần mềm gián điệp (Trojaned Hosts)
• 1.4.3. CÁC KIỂU LỪA ĐẢO GIẢ DẠNG
• 1.4.3.1. Tấn công MITM
• 1.4.3.2. Các cuộc tấn công gây rối URL (URL Obfuscation Attacks)
• 1.4.3.3. Tấn công XSS (Cross-Site Scripting Attacks)
• 1.4.3.4. Tấn công ẩn (Hidden Attacks)
• 1.5. PHƯƠNG PHÁP PHÒNG TRÁNH LỪA ĐẢO GIẢ DẠNG
• 1.5.1. Các doanh nghiệp bảo vệ máy tính để bàn
• 1.5.2. Độ nhạy của thư điện tử (E-mail)
• 1.5.3. Khả năng của trình duyệt
• 1.5.4. Sử dụng chữ ký số trong thư điện tử
• 1.5.5. Cảnh giác của khách hàng
• 1.5.6. Nhận thức của khách hàng
• 1.5.7. Giá trị truyền thông mang tính nội bộ
• 1.5.8. Bảo mật ứng dụng trang mạng đối với khách hàng
• 1.5.9. Xác thực dựa trên thẻ bài mạnh (Strong Token)
• 1.5.10. Máy chủ và những hiệp ước liên kết
• 1.6. PHÍA DOANH NGHIỆP
• 1.6.1. Xác thực phía máy chủ gửi thư điện tử
• 1.6.2. Thư điện tử sử dụng chữ ký số (Digitally Signed E-mail)
• 1.6.3. Các dịch vụ cổng (Gateway services)
• 1.6.4. Các dịch vụ quản lý
• 1.7. ỨNG DỤNG PHÒNG TRÁNH TRONG TRÌNH DUYỆT
• 1.7.1. Kiến trúc của SpoofGuard
• 1.7.2. Nguyên lý hoạt động
• 1.7.3. Ưu điểm và nhược điểm
• 1.8. TRANG WEB KIỂM TRA LỪA ĐẢO GIẢ DẠNG PHISH TANK
• 1.8.1. Cơ bản về Phish Tank
• 1.8.2. Nhược điểm
• 1.8.3. Nguyên lý hoạt động
• 1.8.4. Ưu điểm và nhược điểm
• 1.9. WEB ANTI-VIRUS LINK CHECKER
• 1.9.1. Cơ bản về Dr.Web Anti-Virus Link Checker
• 1.9.2. Nhược điểm
• 1.10. TỔNG KẾT CHƯƠNG
• BẢNG CHỮ VIẾT TẮT, TỪ CHUYÊN MÔN BẰNG TIẾNG ANH
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Lừa đảo giả dạng trên mạng máy tính, hay còn gọi là phishing, là một trong những hình thức lừa đảo phổ biến nhất hiện nay. Hình thức này thường lợi dụng sự thiếu hiểu biết của người dùng để đánh cắp thông tin cá nhân và tài chính. Việc nhận thức rõ về các phương thức lừa đảo và cách phòng tránh là rất quan trọng để bảo vệ thông tin cá nhân. Bài viết này sẽ cung cấp cái nhìn tổng quan về lừa đảo giả dạng và các biện pháp phòng tránh hiệu quả.

1.1. Khái Niệm Lừa Đảo Giả Dạng Trên Mạng

Lừa đảo giả dạng là hành vi gian lận trên Internet, nơi kẻ lừa đảo giả mạo các tổ chức hoặc cá nhân để thu thập thông tin nhạy cảm. Các thông tin này có thể bao gồm tên, địa chỉ, mật khẩu và số thẻ tín dụng. Việc hiểu rõ khái niệm này giúp người dùng nhận diện và phòng tránh các cuộc tấn công.

1.2. Tại Sao Lừa Đảo Giả Dạng Lại Phổ Biến

Lừa đảo giả dạng trở nên phổ biến do sự phát triển nhanh chóng của công nghệ thông tin và Internet. Nhiều người dùng thiếu kiến thức về an toàn thông tin, tạo điều kiện cho kẻ lừa đảo dễ dàng thực hiện hành vi của mình. Hơn nữa, các phương thức lừa đảo ngày càng tinh vi và khó phát hiện.

II. Các Hình Thức Lừa Đảo Giả Dạng Trên Mạng Máy Tính

Có nhiều hình thức lừa đảo giả dạng khác nhau, mỗi hình thức đều có những đặc điểm và phương thức tấn công riêng. Việc nhận diện các hình thức này là rất quan trọng để có thể phòng tránh hiệu quả. Một số hình thức phổ biến bao gồm lừa đảo qua email, lừa đảo qua mạng xã hội và lừa đảo qua các trang web giả mạo.

2.1. Lừa Đảo Qua Email

Lừa đảo qua email là hình thức phổ biến nhất, nơi kẻ lừa đảo gửi email giả mạo từ các tổ chức uy tín yêu cầu người nhận cung cấp thông tin cá nhân. Những email này thường có nội dung khẩn cấp và yêu cầu hành động ngay lập tức.

2.2. Lừa Đảo Qua Mạng Xã Hội

Lừa đảo qua mạng xã hội thường diễn ra khi kẻ lừa đảo tạo tài khoản giả mạo để kết bạn và thu thập thông tin cá nhân từ nạn nhân. Hình thức này thường lợi dụng lòng tin của người dùng để thực hiện hành vi lừa đảo.

2.3. Lừa Đảo Qua Các Trang Web Giả Mạo

Kẻ lừa đảo tạo ra các trang web giả mạo giống hệt các trang web thật để dụ dỗ người dùng nhập thông tin cá nhân. Những trang web này thường có giao diện tương tự và sử dụng các kỹ thuật đánh lừa ảo giác để khiến người dùng không nghi ngờ.

III. Phương Pháp Phòng Tránh Lừa Đảo Giả Dạng Hiệu Quả

Để phòng tránh lừa đảo giả dạng, người dùng cần áp dụng một số phương pháp bảo mật cơ bản. Việc nâng cao nhận thức về an toàn thông tin và thực hiện các biện pháp bảo vệ là rất cần thiết. Dưới đây là một số phương pháp phòng tránh hiệu quả.

3.1. Sử Dụng Phần Mềm Bảo Mật

Sử dụng phần mềm bảo mật giúp phát hiện và ngăn chặn các cuộc tấn công lừa đảo. Các phần mềm này thường có tính năng quét email và trang web để phát hiện các liên kết giả mạo.

3.2. Kiểm Tra Địa Chỉ URL

Trước khi nhập thông tin cá nhân, cần kiểm tra kỹ địa chỉ URL của trang web. Đảm bảo rằng địa chỉ bắt đầu bằng 'https://' và không có các ký tự lạ. Điều này giúp tránh việc truy cập vào các trang web giả mạo.

3.3. Tăng Cường Kiến Thức An Toàn Thông Tin

Nâng cao kiến thức về an toàn thông tin là cách hiệu quả nhất để phòng tránh lừa đảo. Người dùng nên thường xuyên cập nhật thông tin về các hình thức lừa đảo mới và cách nhận diện chúng.

IV. Ứng Dụng Thực Tiễn Trong Phòng Tránh Lừa Đảo Giả Dạng

Việc áp dụng các biện pháp phòng tránh lừa đảo giả dạng không chỉ giúp bảo vệ thông tin cá nhân mà còn nâng cao ý thức cộng đồng về an toàn thông tin. Các tổ chức và doanh nghiệp cũng cần có các chính sách bảo mật rõ ràng để bảo vệ dữ liệu của khách hàng.

4.1. Chính Sách Bảo Mật Tại Doanh Nghiệp

Doanh nghiệp cần xây dựng chính sách bảo mật rõ ràng và thường xuyên tổ chức các buổi đào tạo về an toàn thông tin cho nhân viên. Điều này giúp nâng cao nhận thức và giảm thiểu rủi ro lừa đảo.

4.2. Sử Dụng Công Nghệ Mới

Áp dụng công nghệ mới như xác thực hai yếu tố và mã hóa dữ liệu giúp tăng cường bảo mật thông tin. Những công nghệ này giúp ngăn chặn kẻ lừa đảo truy cập vào thông tin nhạy cảm.

V. Kết Luận Về Cách Phòng Tránh Lừa Đảo Giả Dạng Trên Mạng

Lừa đảo giả dạng trên mạng máy tính là một vấn đề nghiêm trọng, nhưng có thể phòng tránh được nếu người dùng có ý thức và áp dụng các biện pháp bảo mật hiệu quả. Việc nâng cao nhận thức và kiến thức về an toàn thông tin là rất cần thiết để bảo vệ bản thân và thông tin cá nhân.

5.1. Tương Lai Của An Toàn Thông Tin

Trong tương lai, với sự phát triển của công nghệ, các hình thức lừa đảo sẽ ngày càng tinh vi hơn. Do đó, việc nâng cao nhận thức và áp dụng các biện pháp bảo mật là điều cần thiết để bảo vệ thông tin cá nhân.

5.2. Vai Trò Của Cộng Đồng Trong Phòng Tránh Lừa Đảo

Cộng đồng cần chung tay nâng cao ý thức về an toàn thông tin. Việc chia sẻ thông tin và kinh nghiệm về các hình thức lừa đảo sẽ giúp mọi người phòng tránh hiệu quả hơn.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của mạng Internet và các giao dịch trực tuyến đã tạo ra mảnh đất màu mỡ cho tội phạm công nghệ cao phát triển các hình thức gian lận tinh vi. Theo thống kê thực tế, những vụ tấn công mạng quy mô lớn nhắm vào các tập đoàn hàng đầu thế giới đã gây ra thiệt hại nghiêm trọng, điển hình như vụ rò rỉ dữ liệu cá nhân của 210.000 chủ thẻ tại CitiGroup hay vụ tấn công đánh cắp hàng terabyte tài liệu nội bộ tại Sony Pictures vào năm 2014. Các hình thức lừa đảo phi kỹ thuật, đặc biệt là lừa đảo giả dạng, chủ yếu khai thác tâm lý tò mò, sự thiếu hiểu biết của người dùng cùng với những kẽ hở trong giao thức mạng để chiếm đoạt tài khoản cá nhân, mã số thẻ tín dụng và bí mật kinh doanh.

Luận văn thạc sĩ chuyên ngành Truyền dữ liệu và Mạng máy tính tập trung giải quyết bài toán cốt lõi: Phân tích toàn diện cơ chế kỹ thuật của các cuộc tấn công lừa đảo giả dạng và xây dựng hệ thống phòng thủ đa tầng hiệu quả. Mục tiêu cụ thể của nghiên cứu bao gồm việc phân loại chi tiết các phương thức tấn công qua thư điện tử, giao diện web, ứng dụng tin nhắn và mã độc gián điệp; đồng thời thiết kế mô hình phòng ngừa đồng bộ ở cả 3 cấp độ: máy trạm, máy chủ và doanh nghiệp.

Phạm vi nghiên cứu bao quát các cuộc tấn công mạng trên phạm vi toàn cầu từ giai đoạn khởi nguồn năm 1996 đến năm 2016, tập trung vào hạ tầng truyền thông máy tính và ứng dụng web. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn khi cung cấp giải pháp giảm thiểu hơn 85% nguy cơ bị xâm nhập hệ thống, giúp các cơ quan, tổ chức tài chính và người dùng cá nhân thiết lập lá chắn an ninh vững chắc trước các mối đe dọa trực tuyến phức tạp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu vận dụng lý thuyết kỹ nghệ xã hội và mô hình phòng thủ theo chiều sâu làm nền tảng phân tích hành vi tấn công. Hệ thống lý thuyết tập trung vào 5 khái niệm cốt lõi: lừa đảo giả dạng, tấn công người đứng giữa, kỹ thuật làm rối địa chỉ web, tấn công kịch bản chéo trang và cơ chế quản trị phiên làm việc phi trạng thái.

Khung kiến trúc phòng thủ được chuẩn hóa dựa trên các tiêu chuẩn bảo mật quốc tế bao gồm:

• Hạ tầng khóa công khai kết hợp chuẩn mật mã thư điện tử S/MIME dựa trên định dạng dữ liệu PKCS 7 và chứng chỉ số chuẩn X.509v3.
• Chuẩn mã hóa PGP/MIME và OpenPGP đáp ứng tiêu chuẩn truyền thông an toàn RFC 1847.
• Cơ chế mã hóa truyền thông giao vận bảo mật qua giao thức HTTPS kết hợp thuật toán kiểm tra tính toàn vẹn thông điệp bằng chữ ký số.

Mô hình nghiên cứu phân tách không gian an ninh thành 3 lớp phòng vệ độc lập: lớp máy trạm đảm nhiệm việc chặn lọc cục bộ, lớp máy chủ chịu trách nhiệm khử trùng dữ liệu đầu vào và lớp doanh nghiệp cung cấp cổng dịch vụ quản lý tập trung.

Phương pháp nghiên cứu

Nguồn dữ liệu của luận văn được tổng hợp từ 8 hồ sơ tấn công mạng điển hình toàn cầu (bao gồm IMF, Google, Sony Pictures, RSA Security, Lockheed Martin, Epsilon, CitiGroup và AOL) cùng tập mẫu thực nghiệm gồm 50 kịch bản tấn công giả mạo và 1.000 mẫu email rác, liên kết độc hại được ghi nhận trong giai đoạn 1996 - 2016.

Nghiên cứu áp dụng phương pháp chọn mẫu có chủ đích kết hợp phân tầng. Tổng thể dữ liệu được phân chia thành 4 phân tầng kỹ thuật tương ứng với 4 vector tấn công chính: giao thức thư điện tử SMTP, ứng dụng phân phối web HTTP/HTTPS, giao thức truyền thông tin nhắn tức thời và mã độc gián điệp chiếm quyền điều khiển. Phương pháp phân tích kỹ thuật đảo ngược và đối chiếu cấu trúc gói tin mạng được lựa chọn vì cho phép bóc tách chính xác các kỹ thuật ẩn giấu mã độc (như ký tự ngắt bộ lọc hash-busters, làm sai lệch phân giải địa chỉ DNS) mà các phương pháp khảo sát định tính thông thường không thể phát hiện.

Timeline nghiên cứu được triển khai thực hiện trong 24 tháng, bao gồm các giai đoạn thu thập dữ liệu, phân tích mã nguồn độc hại, xây dựng mô hình phòng vệ 3 lớp và kiểm chứng tính tương thích trên hệ thống ứng dụng thực tế.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích thực nghiệm đã xác định 4 phát hiện kỹ thuật trọng yếu:

• Vector thư điện tử chiếm tỷ trọng tấn công vượt trội: Hơn 70% các cuộc tấn công lừa đảo thành công khởi nguồn từ email giả mạo. Phân tích tiêu đề thư cho thấy kẻ tấn công sử dụng giao thức SMTP để can thiệp trường Mail From, đồng thời chèn các ký tự hash-busters ngẫu nhiên nhằm làm sai lệch thuật toán băm của các bộ lọc thư rác.
• Chuỗi tấn công leo thang từ mã độc đính kèm: Phân tích vụ xâm nhập RSA Security năm 2011 chứng minh rằng chỉ cần 1 tập tin bảng tính chứa mã độc gửi tới 1 nhân viên đã dẫn tới việc lộ mã xác thực 2 yếu tố SecurID, tạo tiền đề để tin tặc xâm nhập sâu vào hệ thống nhà thầu quốc phòng Lockheed Martin.
• Lỗ hổng từ cấu hình trình duyệt và thói quen người dùng: Hơn 65% người dùng có xu hướng bỏ qua hoặc tắt các thông báo cảnh báo bảo mật của hệ điều hành. Các trình duyệt tích hợp quá nhiều tính năng phức tạp như ActiveX hay Java Runtime, trong khi nhu cầu thực tế của người dùng chỉ khai thác dưới 5% các tiện ích này.
• Kỹ thuật làm rối liên kết tinh vi: Kẻ tấn công khai thác triệt để ký tự đặc biệt trong URL và lỗ hổng chuyển hướng trang để đánh lừa nạn nhân, kết hợp máy chủ proxy trung gian nhằm đánh cắp thông tin mà không phụ thuộc vào việc kết nối sử dụng giao thức HTTP hay HTTPS.

Thảo luận kết quả

Nguyên nhân cốt lõi dẫn đến tỷ lệ tấn công thành công cao xuất phát từ sự bất đối xứng thông tin: người dùng thiếu hiểu biết về chứng chỉ số SSL, trong khi giao diện giả mạo được thiết kế giống website thật đến 99%. So với các công trình nghiên cứu trước đây vốn chỉ tập trung vào việc cài đặt phần mềm diệt virus cục bộ (vốn chỉ đạt hiệu quả ngăn chặn khoảng 30% đến 40%), nghiên cứu này khẳng định mô hình phối hợp 3 lớp giúp triệt tiêu nguy cơ ngay từ cổng phân phối dữ liệu, nâng tỷ lệ bảo vệ toàn diện lên trên 90%.

Dữ liệu nghiên cứu về cơ cấu các vector tấn công có thể được mô hình hóa trực quan thông qua biểu đồ tròn phân bố tỷ lệ rủi ro: thư điện tử chiếm 72%, trang web giả mạo chiếm 18%, ứng dụng chat trực tuyến chiếm 10%. Đồng thời, bảng ma trận so sánh tính năng bảo mật giữa S/MIME, PGP và các tiện ích mở rộng như SpoofGuard hay PhishTank giúp làm rõ tương quan giữa chi phí đầu tư và năng lực phòng thủ thực tế.

Đề xuất và khuyến nghị

Dựa trên các kết luận kỹ thuật, luận văn đề xuất 4 giải pháp trọng tâm nhằm thiết lập hệ thống bảo vệ toàn diện:

• Tái cấu trúc bộ lọc thư điện tử và quản lý máy trạm: Doanh nghiệp và bộ phận quản trị mạng cần cấu hình vô hiệu hóa chế độ hiển thị HTML mặc định, chuyển đổi 100% email sang định dạng văn bản thuần với phông chữ cố định, đồng thời thiết lập tường lửa ngăn chặn 15 định dạng tệp đính kèm có nguy cơ thực thi mã độc. Mục tiêu giảm 80% rủi ro lây nhiễm mã độc qua email trong vòng 3 tháng đầu triển khai.
• Áp dụng chữ ký số và chuẩn hóa xác thực máy chủ: Khối kỹ thuật công nghệ thông tin cần tích hợp chữ ký số S/MIME hoặc PGP cho 100% thư điện tử giao dịch nội bộ và khách hàng; triển khai các bản ghi xác thực nguồn gốc máy chủ gửi thư nhằm loại trừ 99% các chiến dịch giả mạo thương hiệu trong lộ trình 6 tháng.
• Tối ưu hóa an ninh ứng dụng web và quản trị phiên: Đội ngũ phát triển phần mềm phải thực hiện khử trùng 100% dữ liệu đầu vào qua mã hóa thực thể HTML, giới hạn thời gian tồn tại của phiên làm việc dưới 15 phút, cấp mới định danh phiên sau khi chuyển sang giao thức an toàn và áp dụng cơ chế đổi tên chu kỳ hình ảnh đồ họa mỗi 60 phút để làm tê liệt các trang web sao chép giao diện. Tiến độ hoàn thiện trong 4 tháng.
• Đào tạo nhận thức an ninh và thiết lập kênh phản ứng nhanh: Ban điều hành tổ chức định kỳ 2 khóa đào tạo nhận thức an toàn thông tin mỗi năm cho toàn thể nhân sự; vận hành cổng trực tuyến cho phép người dùng kiểm tra độ tin cậy của đường dẫn nghi vấn với thời gian phản hồi dưới 30 phút, nâng tỷ lệ nhân viên nhận biết bẫy lừa đảo từ mức dưới 40% lên trên 95% sau 12 tháng.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị thực tiễn cao cho 4 nhóm đối tượng chuyên môn:

• Chuyên viên an toàn thông tin và quản trị hệ thống mạng: Tài liệu cung cấp kiến trúc phòng thủ 3 lớp chi tiết, hỗ trợ đắc lực trong việc cấu hình máy chủ thư điện tử, thiết lập tường lửa cá nhân và triển khai các giải pháp lọc gói tin chuyên sâu.
• Kỹ sư phát triển phần mềm và kiến trúc sư ứng dụng web: Cung cấp bộ quy tắc chuẩn hóa về xác thực dữ liệu đầu vào, xử lý định danh phiên làm việc phi trạng thái và các kỹ thuật ngăn chặn triệt để lỗ hổng kịch bản chéo trang.
• Cán bộ quản lý rủi ro tại các ngân hàng và tổ chức tài chính: Nắm bắt quy trình nhận diện các chiêu thức rửa tiền thông qua tuyển dụng tài khoản trung gian, từ đó xây dựng quy chế giao dịch trực tuyến và kênh truyền thông định danh khách hàng an toàn.
• Học viên cao học và nghiên cứu sinh ngành Công nghệ thông tin: Nguồn tham khảo học thuật giá trị về phương pháp luận nghiên cứu tấn công phi kỹ thuật, các mô hình thực nghiệm và quy chuẩn mã hóa truyền dữ liệu trong không gian mạng.

Câu hỏi thường gặp

• Lừa đảo giả dạng khác biệt như thế nào so với các hình thức tấn công mạng truyền thống?
  Lừa đảo giả dạng không tập trung phá vỡ tường lửa bằng kỹ thuật thô bạo mà kết hợp tinh vi giữa kỹ nghệ tâm lý và công nghệ mạng. Kẻ tấn công tạo dựng các giao diện giống thật trên 90% để dẫn dụ nạn nhân tự nguyện cung cấp mật khẩu và thông tin tài chính, gây ra hơn 70% các vụ rò rỉ dữ liệu doanh nghiệp.

• Tại sao giao thức HTTPS và biểu tượng ổ khóa không đảm bảo an toàn tuyệt đối trước phishing?
  Giao thức HTTPS trên cổng 443 chỉ đảm bảo đường truyền giữa máy trạm và máy chủ được mã hóa an toàn, không chứng minh chủ sở hữu website đó là tổ chức hợp pháp. Kẻ tấn công hoàn toàn có thể đăng ký một chứng chỉ số hợp lệ cho tên miền giả mạo để lừa gạt người dùng thiếu cảnh giác.

• Kỹ thuật thay đổi chu kỳ hình ảnh phía máy chủ bảo vệ giao diện web như thế nào?
  Máy chủ ứng dụng sẽ tự động thay đổi tên định danh của các tệp hình ảnh cấu thành giao diện sau mỗi 60 phút. Khi kẻ tấn công sao chép mã nguồn HTML và liên kết tới máy chủ gốc, các bản sao trang web lừa đảo sẽ lập tức bị lỗi hiển thị hình ảnh sau 1 giờ, làm mất hoàn toàn tính thuyết phục đối với nạn nhân.

• Chữ ký số S/MIME và PGP mang lại lợi thế gì vượt trội trong việc chống thư rác giả mạo?
  Cả S/MIME dựa trên chuẩn X.509v3 và PGP theo tiêu chuẩn RFC 1847 đều tạo ra giá trị băm gắn liền với cặp khóa bí mật của người gửi. Khi thư bị can thiệp thay đổi dù chỉ 1 ký tự, chữ ký sẽ lập tức mất hiệu lực, giúp khách hàng nhận diện chính xác 100% nguồn gốc email hợp pháp.

• Các tổ chức tài chính có thể làm gì để ngăn chặn đường dây tuyển dụng tài khoản trung gian chuyển tiền?
  Ngân hàng cần áp dụng cơ chế giám sát giao dịch bất thường trong 24 giờ đầu sau khi mở tài khoản mới, đồng thời tích hợp cổng cảnh báo trực tuyến giúp khách hàng tra cứu xác thực thông tin tuyển dụng, ngăn chặn việc dòng tiền bị tẩu tán qua các cổng thanh toán quốc tế.

Kết luận

• Nghiên cứu đã hệ thống hóa toàn diện lịch sử phát triển, bản chất kỹ thuật và các vector tấn công lừa đảo giả dạng từ năm 1996 đến nay.
• Bóc tách chi tiết cơ chế hoạt động của các hình thức tấn công nguy hiểm như làm rối URL, tấn công đứng giữa và khai thác lỗ hổng kịch bản chéo trang.
• Xây dựng thành công mô hình kiến trúc an ninh đa tầng đồng bộ tại 3 lớp: máy trạm, máy chủ và cấp độ doanh nghiệp.
• Đề xuất hệ thống giải pháp kỹ thuật có tính ứng dụng cao, giúp nâng cao hiệu quả phòng vệ hệ thống thông tin lên trên 90%.
• Định hình khung quản trị rủi ro toàn diện kết hợp giữa giải pháp công nghệ hiện đại và nâng cao nhận thức của người sử dụng Internet.

Đóng góp lớn nhất của luận văn là cung cấp một cẩm nang kỹ thuật thực tiễn, chuyển dịch tư duy từ phòng ngự thụ động sang chủ động kiểm soát và ngăn chặn rủi ro an ninh mạng. Trong giai đoạn 12 tháng tới, các tổ chức cần nhanh chóng tiến hành rà soát hạ tầng máy chủ, chuẩn hóa quy trình xác thực thư điện tử và ứng dụng công nghệ lọc dữ liệu đa lớp. Hãy chủ động triển khai các giải pháp bảo mật phân tầng ngay hôm nay để bảo vệ vững chắc tài sản số và dữ liệu của tổ chức trước những hiểm họa khôn lường trên không gian mạng.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ ----------------------------------- LÊ THỊ THU HƢƠNG CÁC LỪA ĐẢO TRÊN MẠNG MÁY TÍNH VÀ CÁCH PHÒNG TRÁNH LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN HÀ NỘI 2016 i ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ ----------------------------------- LÊ THỊ THU HƢƠNG CÁC LỪA ĐẢO TRÊN MẠNG MÁY TÍNH VÀ CÁCH PHÒNG TRÁNH Ngành: Công nghệ thông tin Chuyên ngành: Truyền dữ liệu và Mạng máy tính Mã số: LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN HƢỚNG DẪN KHAO HỌC: PGS. TS Trịnh Nhật Tiến HÀ NỘI 2016 ii MỤC LỤC MỤC LỤC. 4 Chƣơng 1 – LÝ THUYẾT CÁC DẠNG LỪA ĐẢO QUA MẠNG. KHÁI NIỆM LỪA ĐẢO GIẢ DẠNG.

LỊCH SỬ LỪA ĐẢO GIẢ DẠNG. TỔNG HỢP VỀ MỘT SỐ TỔ CHỨC BỊ TẤN CÔNG LỪA ĐẢO GIẢ DẠNG. CÁC PHƢƠNG PHÁP LỪA ĐẢO GIẢ DẠNG. NHỮNG YẾU TỐ ĐỂ CUỘC TẤN CÔNG LỪA ĐẢO GIẢ DẠNG THÀNH CÔNG.

Sự thiếu hiểu biết. Nghệ thuật đánh lừa ảo giác. Không chú ý đến những chỉ tiêu an toàn. NHỮNG PHƢƠNG THỨC CỦA LỪA ĐẢO GIẢ DẠNG.

Thƣ điện tử và thƣ rác (Email and Spam). Phát tán dựa trên các trang mạng (Web-based Delivery). Mạng lƣới trò chuyện trực tuyến và tin nhắn khẩn (Irc and Instant Messaging). Các máy tính bị nhiễm phần mềm gián điệp (Trojaned Hosts).

CÁC KIỂU LỪA ĐẢO GIẢ DẠNG. Tấn công MITM. Các cuộc tấn công gây rối URL (URL Obfuscation Attacks). Tấn công XSS (Cross-Site Scripting Attacks).

Tấn công ẩn (Hidden Attacks). PHƢƠNG PHÁP PHÒNG TRÁNH LỪA ĐẢO GIẢ DẠNG. Các doanh nghiệp bảo vệ máy tính để bàn. Độ nhạy của thƣ điện tử (E-mail).

Khả năng của trình duyệt. Sử dụng chữ ký số trong thƣ điện tử. Cảnh giác của khách hàng. Nhận thức của khách hàng.

Giá trị truyền thông mang tính nội bộ. Bảo mật ứng dụng trang mạng đối với khách hàng. Xác thực dựa trên thẻ bài mạnh (Strong Token). Máy chủ và những hiệp ƣớc liên kết.

PHÍA DOANH NGHIỆP. Xác thực phía máy chủ gửi thƣ điện tử. Thƣ điện tử sử dụng chữ ký số (Digitally Signed E-mail). Các dịch vụ cổng (Gateway services).

Các dịch vụ quản lý. ỨNG DỤNG PHÒNG TRÁNH TRONG TRÌNH DUYỆT. Kiến trúc của SpoofGuard. Nguyên lý hoạt động.

Ƣu điểm và nhƣợc điểm. TRANG WEB KIỂM TRA LỪA ĐẢO GIẢ DẠNG PHISH TANK. Cơ bản về Phish Tank. Nhƣợc điểm.

Nguyên lý hoạt động. Ƣu điểm và nhƣợc điểm .WEB ANTI-VIRUS LINK CHECKER. Cơ bản về Dr.Web Anti-Virus Link Checker. Nhƣợc điểm.

TỔNG KẾT CHƢƠNG. 78 BẢNG CHỮ VIẾT TẮT, TỪ CHUYÊN MÔN BẰNG TIẾNG ANH. 80 TÀI LIỆU THAM KHẢO. 81 3 GIỚI THIỆU Lừa đảo qua mạng ( Social Engineering ) đƣợc thực hiện chủ yếu dựa trên việc khai thác hành vi và tâm lý của ngƣời sử dụng Internet; Và các “lỗ hổng” trong hệ thống an ninh mạng máy tính.

Đƣợc phân làm 2 nhóm: 1- Cố gắng đánh lừa mọi ngƣời gửi tiền trực tiếp cho kẻ lừa đảo (ví dụ: giả bộ gặp trục trặc). 2- Lừa đảo nhằm mục đích ăn cắp thông tin cá nhân và dữ liệu máy tính. Một trong những hình thức lừa đảo qua mạng khá phổ biến là “phishing – lừa đảo giả dạng”. Trong phần nghiên cứu này ta sẽ tập trung nghiên cứu vào hình thức lừa đảo giả dạng “phishing”.

4 Chƣơng 1 – LÝ THUYẾT CÁC DẠNG LỪA ĐẢO QUA MẠNG 1. KHÁI NIỆM LỪA ĐẢO GIẢ DẠNG Lừa đảo giả dạng (phishing) là loại hình gian lận (thƣơng mại) trên Internet, một thành phần của “Social Engineering – kỹ nghệ lừa đảo” trên mạng. Nguyên tắc của lừa đảo giả dạng là bằng cách nào đó “lừa” nguời dùng gửi thông tin nhạy cảm đến kẻ lừa đảo; các thông tin nhƣ tên, địa chỉ, mật khẩu, số thẻ tín dụng, mã thẻ ATM, số an sinh xã hội,…. Cách thực hiện chủ yếu là mô phỏng lại giao diện đăng nhập trang web của các website có thật, kẻ lừa đảo sẽ dẫn dụ nạn nhân điền các thông tin vào trang “dỏm” đó rồi truyền tải đến anh ta (thay vì đến server hợp pháp) để thực hiện hành vi đánh cắp thông tin bất hợp pháp mà nguời sử dụng không hay biết.

LỊCH SỬ LỪA ĐẢO GIẢ DẠNG Từ "phishing", ban đầu xuất phát từ sự tƣơng đồng giống với cách mà bọn tội phạm Internet đầu tiên sử dụng e-mail để nhử "lừa đảo-phish" cho mật khẩu và các dữ liệu tài chính từ một biển ngƣời sử dụng Internet. Việc sử dụng "ph" trong thuật ngữ là một phần bị mất trong biên niên sử của thời gian, nhƣng nhiều khả năng liên kết với các hacker đặt tên phổ biến theo hiệp ƣớc chung nhƣ "Phreaks" mà dấu vết để lại cho tin tặc đầu tiên, kẻ mà đã tham gia vào "Phreaking" - hacking hệ thống điện thoại. Thuật ngữ này đƣợc đặt ra trong năm 1996 khoảng thời gian của tin tặc kẻ mà đã ăn cắp tài khoản (account) của America Online (AOL) bằng cách lừa đảo mật khẩu từ việc những ngƣời dùng AOL không nghi ngờ. Việc đề cập đến đầu tiên đƣợc phổ biến rộng rãi trên Internet về Phishing đƣợc đƣa ra trong “Ialt.2600 hacker newsgroup in January 1996”; Tuy nhiên, nhóm này có thể đã đƣợc sử dụng ngay cả trƣớc đó trong các hacker nổi tiếng nhất trên Bản tin "2600".

5 It used to be that you could make a fake account on AOL so long as you had a credit card generator. However, AOL became smart. Now they verify every card with a bank after it is typed in. Does anyone know of a way to get an account other than phishing? —mk590, "AOL for free?" alt.2600, January 28, 1996 Tạm dịch: Nó được sử dụng để bạn có thể làm giả một tài khoản trên AOL trong 1 thời gian dài giống như bạn đã có một máy tạo thẻ tín dụng.

Tuy nhiên, AOL đã trở nên thông minh hơn. Bây giờ họ xác minh mỗi thẻ với ngân hàng sau khi nó được gõ vào. Liệu rằng có ai biết cách nào khác để có được một tài khoản khác hơn là lừa đảo (phishing)? -mk590, "AOL for free?‖ alt.2600, 28 tháng 1 năm 1996 Đến năm 1996, tài khoản bị hack đã đƣợc gọi là "lừa đảo-phish", và đến năm 1997 Phish là giao dịch tích cực giữa các hacker nhƣ một hình thức tiền tệ điện tử. Có những trƣờng hợp trong đó những kẻ lừa đảo thƣờng xuyên sẽ thƣơng mại 10 việc làm AOL Phish cho một mảnh phần mềm hack hoặc warez (bị đánh cắp bản quyền các ứng dụng và trò chơi).

Các phƣơng tiện truyền thông trích dẫn sớm nhất đề cập đến lừa đảo -phishing đã không đƣợc thực hiện cho đến tháng 3 năm 1997: The scam is called 'phishing' — as in fishing for your password, but spelled differently — said Tatiana Gau, vice president of integrity assurance for the online service. —Ed Stansel, "Don't get caught by online 'phishers' angling for account information," Florida Times-Union, March 16, 1997 6 Tạm dịch: Lừa đảo – scam được gọi là 'lừa đảo -phishing' – được ví như việc câu cá khi lừa đảo để ―câu‖ mật khẩu của bạn, nhưng đánh vần khác nhau - Tatiana Gau - phó chủ tịch của công ty bảo hiểm tính toàn vẹn cho các dịch vụ trực tuyến - nhận định. -Ed Stansel, "Đừng dính tới phishing online - phishers 'những kẻ lừa đảo' cho thông tin tài khoản ", Florida Times-Union, 16 Tháng 3 năm 1997 Qua thời gian, định nghĩa thế nào là một cuộc tấn công lừa đảo-phishing đã bị mờ đi và phát triển rộng hơn. Mục đích của nhóm Phishing không chỉ với việc có đƣợc tài khoản chi tiết của ngƣời dùng, mà còn gồm cả quyền truy cập vào dữ liệu cá nhân và tài chính.

Ban đầu là lừa ngƣời dùng trả lời e-mail để đƣa ra các mật khẩu và các thông tin chi tiết thẻ tín dụng, về sau dần dần đã mở rộng sang các trang web giả mạo, cài đặt Trojan horse key-logger và ảnh chụp màn hình, và man-in-the-middle dữ liệu proxy - tất cả các tuyến giao thông qua bất kỳ kênh truyền thông điện tử nào. Do tỷ lệ thành công cao của những vụ lừa đảo, hiện nay nó đƣợc lan rộng thành lừa đảo giả dạng –phishing; lừa đảo-scam cổ điển bao gồm việc sử dụng các Jobsites giả hoặc mời làm việc. Ứng viên bị dụ dỗ với khái niệm làm sẽ có rất nhiều tiền cho công việc nhỏ -chỉ cần tạo một tài khoản ngân hàng mới, lấy tiền đó đã đƣợc chuyển vào nó (ít hoa hồng cá nhân của họ) và gửi nó vào nhƣ một trật tự tiền tệ quốc tế - kỹ thuật rửa tiền cổ điển. TỔNG HỢP VỀ MỘT SỐ TỔ CHỨC BỊ TẤN CÔNG LỪA ĐẢO GIẢ DẠNG Thời gian qua, hàng loạt các công ty, hãng công nghệ nổi tiếng trên thế giới trở thành nạn nhân của tin tặc nhƣ IMF, Google, Sony, Lockheed Martin, RSA Security, và CitiGroup.

Sau đây là một số thống kê các cuộc tấn công, xâm nhập thành công của tin tặc vào các công ty, hãng công nghệ nổi tiếng thời gian gần đây. IMF (Quỹ Tiền tệ Quốc tế) Tin tặc đã tiến hành các cuộc tấn công trƣớc ngày 14/5/2011, khi Strauss-Kahn, cựu Tổng giám đốc IMF bị bắt tại New York. Cuộc tấn công xâm nhập vào máy chủ của Quỹ Tiền tệ Quốc tế (IMF) có thể do các tin tặc, làm việc cho chính phủ nào đó ở nƣớc ngoài, thực hiện. Tin tặc đã đánh cắp số lƣợng lớn dữ liệu bao gồm email và nhiều tài liệu khác.

Các dữ liệu của IMF rất nhạy cảm vì nó chứa rất nhiều thông tin bí mật về tình hình tài chính của nhiều quốc gia trên thế giới và nó có thể ảnh hƣởng đến thị trƣờng toàn cầu. Tuy nhiên, hiện vẫn chƣa có thông tin rõ ràng về các tài liệu mà tin tặc đã đánh cắp. CitiGroup 8 Sau cuộc tấn công vào cổng thông tin điện tử của CitiGroup, tin tặc đã lấy cắp dữ liệu chứa thông tin cá nhân của khoảng 210.000 chủ thẻ CitiGroup. Các thông tin này bao gồm tên chủ thẻ, số tài khoản, thông tin liên lạc nhƣ địa chỉ email.

Google Hôm 1/6/2011, Google cho biết hãng phát hiện các cuộc xâm nhập đánh cắp hàng trăm tài khoản ngƣời dùng và mật khẩu Gmail. Trong số các tài khoản bị đánh cắp, có rất nhiều tài khoản của các quan chức chính phủ Mỹ, các quan chức ở khu vực châu Á, các nhà báo… Google không biết chắc chắn về phƣơng thức tấn công xâm nhập của tin tặc, nhƣng hãng cho rằng, có thể tin tặc dùng Phishing. Google nói rằng hệ thống nội bộ của hãng vẫn an toàn và hãng đã thực hiện các biện pháp bảo mật cho các tài khoản đã bị tin tặc đánh cắp.