Phishing Email là gì? Làm thế nào để phát hiện ra Phishing Email? Bài viết sau Pho Tue Software Solutions sẽ giúp bạn hiểu rõ hơn về mức độ nghiêm trọng của Phishing Email. 
 

Phishing Email là gì? 

Phishing là một loại lừa đảo trực tuyến, email lừa đảo thường có vẻ như là được gửi từ một công ty hợp pháp và yêu cầu người nhận cung cấp các thông tin cá nhân nhạy cảm. Các email lừa đảo này thường được đính kèm theo một liên kết và khi click vào liên kết, bạn sẽ được điều hướng vào trang web giống như của một công ty, yêu cầu bạn điền các trường thông tin trong đó. Thực tế đây chính là một trang web được làm giả tinh vi và thông tin bạn cung cấp sẽ chuyển thẳng đến kẻ lừa đảo.

Thuật ngữ "phishing" là cách nói lái của từ fishing - câu cá, bởi vì tội phạm đang thả "mồi nhử" (email có vẻ hợp pháp, trang web cũng có vẻ hợp pháp) để người dùng sẽ "cắn câu" bằng cách cung cấp thông tin cho bọn tội phạm. Các thông tin này bao gồm số thẻ tín dụng, số tài khoản, mật khẩu, tên người dùng, và nhiều thông tin quan trọng khác.

Hãy xem những trò lừa đảo tinh vi này hoạt động như thế nào trong ví dụ sau đây: thông báo giả mạo Charles Schwab. Hình ảnh sau đây nêu bật những dấu hiệu thể hiện đây là email lừa đảo.

 

Dưới đây là một số dấu hiệu chỉ ra email này chỉ là một trò lừa đảo

Nếu nhìn thấy bất kỳ một trong những sai sót này, bạn có thể nhận ra đây chính xác là một email l lừa đảo. Nhưng nếu tất cả những lỗi này đều bị che giấu đi thì sao?

Một kẻ lừa đảo tinh vi hơn có thể che dấu được những sai lầm này, bằng cách khắc phục các dấu hiệu trên: biết tên và địa chỉ email của người nhận, che giấu URL theo cách thuyết phục hơn nhiều. 

Một ví dụ khác của Phishing Email: Lừa đảo xác thực 2 lớp của Instagram

 

Xác thực hai yếu tố (2FA), là một trong những cách tốt nhất để bảo vệ thông tin cá nhân và thông tin tài chính cho người dùng. Khi bạn đăng nhập vào một trang web - giả sử là của ngân hàng trực tuyến hoặc nhà cung cấp thẻ tín dụng - bạn sẽ phải đăng nhập bằng cách cung cấp tên người dùng và mật khẩu. Nếu bạn đã bật tính năng xác thực hai yếu tố, trang web sẽ gửi code qua email hoặc tin nhắn cho bạn. Bạn phải nhập mã đó trước khi bạn có thể hoàn thành đăng nhập vào trang web.

Tuy nhiên, những kẻ lừa đảo hiện đang sử dụng biện pháp bảo mật bổ sung này như một cách để lừa đảo. Một chiến dịch lừa đảo mới đang nhắm mục tiêu vào người dùng Instagram, những kẻ lừa đảo gửi cho người dùng một email thông báo rằng ai đó đã cố đăng nhập vào tài khoản Instagram của họ.

Email yêu cầu người nhận đăng nhập vào một trang web được cho là của Instagram. Tất nhiên trang web đó là giả. Tuy nhiên điều thú vị ở đây là những kẻ lừa đảo sẽ gửi theo một mã ở cuối tin nhắn, ngụ ý rằng người dùng nên nhập mã đó - như thể đó là xác thực hai yếu tố - khi họ đăng nhập vào trang web giả mạo.

Vậy làm thế nào bạn có thể đảm bảo bạn không mắc bẫy của chiêu trò lừa đảo Phising này?

Áp dụng hai cách thức sau một cách nhất quán sẽ giúp bảo vệ bạn khỏi những trò lừa đảo trực tuyến:

- Sử dụng liên kết của riêng bạn

Nếu bạn sử dụng thông tin của một công ty hợp pháp, bạn hẳn đã biết đường link website chính xác của công ty đó. Nếu không, hãy sử dụng công cụ tìm kiếm và nhập tên công ty, sau đó sử dụng liên kết từ công cụ tìm kiếm của bạn để đi đến đúng trang web. Nếu email là hợp pháp, bạn sẽ thấy các thông tin trong email trùng khớp với các thông tin trên website hợp pháp của công ty. Đây là cách DUY NHẤT để đảm bảo bạn truy cập vào đúng trang web. Hãy luôn chủ động kiểm soát và tự mình xác minh tính chính xác của những đường link trước khi bạn quyết định click vào, đừng vội vàng truy cập vào các đường link của một bên thứ ba không đáng tin tưởng cung cấp. Trang web giả mạo hoặc các nhân viên mạo danh tự xưng qua điện thoại có thể là một lớp ngụy trang rất thuyết phục, và nếu bạn cung cấp thông tin của mình, chắc chắn các thông tin này sẽ bị đánh cắp hoặc lạm dụng.

- Cài đặt hoặc kích hoạt một công cụ giúp xác định các trang web độc hại nhằm cảnh báo cho bạn biết trang web hoặc liên kết bạn truy cập có an toàn hay không

Hiện nay hầu hết các trình duyệt đều có các công cụ hỗ trợ điều này. 

- SpoofGuard: là một plugin trình duyệt tương thích với Microsoft Internet Explorer. SpoofGuard đặt một "cảnh báo" trên thanh công cụ của trình duyệt. Nó sẽ chuyển từ màu xanh sang màu đỏ nếu bạn vô tình vào trang web giả mạo. Nếu bạn cố nhập các thông tin nhạy cảm vào một mẫu từ trang giả mạo, SpoofGuard sẽ lưu dữ liệu của bạn và cảnh báo bạn.

-Anti-phishing Domain Advisor: bản chất là một toolbar giúp cảnh báo những trang web lừa đảo dựa theo dữ liệu của Panda Security.

- Netcraft Anti-phishing Extension: Netcraft là một đơn vị uy tín cung cấp các dịch vụ bảo mật bao gồm nhiều dịch vụ. Trong số đó, tiện ích mở rộng chống Phishing của Netcraft được đánh giá khá cao với nhiều tính năng cảnh báo thông minh.

Nếu bạn thấy bạn đang có nguy cơ trở thành nạn nhân của một trò lừa đảo, hãy thay đổi tất cả mật khẩu ngay lập tức. Nếu bạn sử dụng cùng một mật khẩu cho nhiều trang web, tội phạm mạng có thể đang trong quá trình cố gắng truy cập các trang web khác bằng tài khoản của bạn. Hãy cân nhắc việc sử dụng trình quản lý mật khẩu để giảm thiểu rủi ro, đồng thời cài đặt các phần mềm chống vi-rút với các tính năng duyệt web an toàn.