Với gần một thập kỷ làm việc từ xa, tôi chưa bao giờ trở thành nạn nhân của một vụ lừa đảo phishing – và tôi muốn giữ vững điều đó. Chắc chắn, các cuộc tấn công lừa đảo phishing ngày càng tinh vi hơn bao giờ hết, nhưng bạn vẫn hoàn toàn có thể giữ an toàn cho bản thân và công việc của mình bằng cách nâng cao cảnh giác và thực hiện các biện pháp phòng ngừa cần thiết. Bài viết này sẽ cung cấp những hướng dẫn chi tiết để giúp bạn nhận diện và bảo vệ mình khỏi các mối đe dọa trực tuyến, đặc biệt trong môi trường làm việc từ xa đang ngày càng phổ biến.
1. Luôn Cập Nhật Kiến Thức Về Các Kiểu Lừa Đảo Phishing Mới
Kiến thức thực sự là sức mạnh khi nói đến việc bảo vệ doanh nghiệp của bạn khỏi tội phạm mạng. Nếu bạn biết mình đang tìm kiếm điều gì, chỉ cần một cái nhìn nhanh vào email hoặc một tin nhắn SMS đáng ngờ cũng đủ để chuông báo động nội bộ của bạn reo lên.
Các trò lừa đảo email cổ điển, nơi kẻ xấu giả danh ngân hàng của bạn để đánh cắp dữ liệu, tương đối dễ nhận biết. Tuy nhiên, với tư cách là người làm việc từ xa, bạn sẽ phải trở nên thành thạo hơn trong việc nhận diện spear phishing (lừa đảo có chủ đích). Hình thức này phức tạp hơn nhiều vì nó thường bao gồm thông tin cụ thể về bạn hoặc công ty của bạn. Nói cách khác, tin tặc đã nghiên cứu kỹ lưỡng và do đó có thể xuất hiện đáng tin cậy hơn.
Cùng với spear phishing, bạn cũng có thể gặp phải clone phishing, nơi bạn sẽ nhận được các bản sao của các thông tin liên lạc hợp pháp nhưng được thêm vào các tệp đính kèm hoặc liên kết nguy hiểm.
Thật không may, AI đã làm cho mọi thứ trở nên đáng sợ hơn, bao gồm cả voice phishing (vishing – lừa đảo qua giọng nói). Trước đây, kẻ lừa đảo sẽ gọi điện cho bạn và giả vờ là người hợp pháp. Giờ đây, chúng có thể thực sự sao chép giọng nói (và hình ảnh thông qua video deepfake) của một người trong tổ chức của bạn. Bạn nên làm quen với tất cả các kỹ thuật này để đảm bảo rằng bạn sẽ suy nghĩ kỹ trước khi nhấp vào một liên kết trong một email có vẻ an toàn từ đồng nghiệp của bạn.
2. Kỹ Năng Nhận Diện Các Dấu Hiệu Lừa Đảo Phishing
Học cách phát hiện các cuộc tấn công phishing tương đối đơn giản. Điều đầu tiên bạn nên kiểm tra là địa chỉ email của người gửi. Trong hầu hết các trường hợp, bạn sẽ nhận thấy rằng mặc dù nó rất giống với địa chỉ của một tổ chức chính thức (hoặc một thành viên trong nhóm), nhưng một số chữ cái có thể bị đổi thành ký hiệu tương tự, hoặc một trong các chữ cái có thể bị bỏ qua hoàn toàn.
Đối với tôi, dấu hiệu lớn nhất của lừa đảo phishing thường là ngôn ngữ mang lại cảm giác khẩn cấp. Tội phạm mạng đang cố gắng lợi dụng những người có thể không có kinh nghiệm để nhận ra các trò lừa đảo và do đó, tạo ra các kịch bản yêu cầu bạn phải hành động nhanh chóng mà không cần suy nghĩ.
Trước đây, email lừa đảo thường chứa đầy lỗi ngữ pháp và lỗi chính tả. Ngày nay, tội phạm mạng thường sử dụng các mô hình ngôn ngữ AI để tạo ra văn bản trau chuốt hơn, đủ tốt để lừa hầu hết những người không cảnh giác. Từ khóa ở đây là “đủ tốt”.
Bạn có thể nhận ra các cuộc tấn công phishing do AI thúc đẩy bởi dòng chảy câu không tự nhiên. Cũng phổ biến khi văn bản trong email quá trang trọng hoặc quá hoàn hảo và thiếu bất kỳ sự chạm nhẹ nào của con người, điều này là đặc trưng của hầu hết các thông tin liên lạc liên quan đến công việc.
Dưới đây là một ví dụ về email tôi đã tạo bằng Gemini của Google:
Ví dụ email lừa đảo phishing giả mạo đồng nghiệp được tạo bởi AI Gemini
Nhìn bề ngoài nó có vẻ ổn, nhưng sẽ lộ ra sau khi kiểm tra kỹ lưỡng. Nếu bạn từng nhận được một email tương tự, hãy liên hệ trực tiếp với người được cho là đã gửi nó để làm rõ mọi nhầm lẫn thay vì mạo hiểm bất kỳ rủi ro nào.
Với việc sao chép giọng nói và deepfake, mọi thứ phức tạp hơn một chút. Tin tốt là hầu hết tội phạm mạng đang tìm cách kiếm tiền nhanh chóng, vì vậy việc sao chép giọng nói và hình ảnh của quản lý của bạn có thể đòi hỏi quá nhiều nỗ lực. Kết quả là, hầu hết chúng ta sẽ không bao giờ phải đối phó với loại lừa đảo này. Tuy nhiên, mặc dù cơ hội là rất nhỏ nhưng không bao giờ bằng không, vì vậy bạn chắc chắn nên nắm vững những kiến thức cơ bản.
Ví dụ, sao chép giọng nói nghe có vẻ thuyết phục, nhưng hiện tại, vẫn có thể nhận thấy các “hiện vật” kỹ thuật số làm cho người nói nghe giống robot. Nhịp điệu của lời nói và những thay đổi nhỏ trong giọng nói sẽ bị lệch, mặc dù âm sắc có thể rất giống.
Điều tương tự cũng áp dụng cho việc phát hiện deepfake, nơi bạn có thể nhận thấy những khuyết điểm như chuyển động giật cục hoặc khớp môi bị lỗi. Dù bằng cách nào, bạn cũng đủ quen thuộc với đồng nghiệp của mình để nhận biết các kiểu hành vi của họ, vì vậy bất kỳ điều gì có vẻ bất thường đều phải là một dấu hiệu cảnh báo lớn.
3. Luôn Cảnh Giác Trước Khi Nhấp Vào Liên Kết Hoặc Tệp Đính Kèm
Có thể gọi tôi là người hay lo lắng, nhưng bất cứ khi nào tôi nhận được một liên kết trong email (ngay cả từ một địa chỉ quen thuộc), tôi luôn kiểm tra nó bằng cách di chuyển con trỏ chuột qua đó. Bạn cũng nên làm như vậy – nhưng bạn nên tìm kiếm điều gì?
Đầu tiên, hãy kiểm tra tên miền (còn gọi là phần đầu tiên của liên kết). Tương tự như cách kẻ lừa đảo cố gắng làm cho địa chỉ email có vẻ hợp pháp, chúng cũng làm điều tương tự với tên miền trong các liên kết chúng gửi cho bạn. Hãy tìm các lỗi chính tả, dấu gạch ngang, và các chữ cái bị thiếu hoặc thừa. Mục đích của phishing là đánh cắp thông tin đăng nhập của bạn hoặc khiến bạn tải xuống phần mềm độc hại, vì vậy liên kết sẽ cố gắng bắt chước một dịch vụ hợp pháp.
Tương tự, bạn nên cảnh giác với bất kỳ tệp đính kèm nào. Điều này bao gồm các tệp thực thi (.exe) và các tệp nén (.zip, .rar) mà tội phạm mạng yêu thích vì dễ dàng ẩn mã độc, cũng như các tài liệu Microsoft Office mà giờ đây cho phép tin tặc thiết lập các script và macro hoạt động tương tự như các tệp .exe.
4. Đặc Biệt Chú Ý Khi Sử Dụng Wi-Fi Công Cộng
Điều tuyệt vời nhất khi làm việc từ xa là bạn có thể mang công việc của mình đi khắp mọi nơi. Mặc dù điều này rất tốt cho sức khỏe tinh thần của bạn, nhưng nó có thể nguy hiểm về mặt an ninh mạng, chủ yếu là do Wi-Fi phishing hoặc Wi-Fi spoofing.
Trong kịch bản này (thường được gọi là tấn công man-in-the-middle), tin tặc tạo một mạng lưới giống hệt một điểm truy cập Wi-Fi thực tế ở nơi công cộng. Sau đó, chúng chỉ cần chờ nạn nhân thiết lập kết nối để xem mọi thứ họ làm trực tuyến, bao gồm cả thông tin đăng nhập.
Có rất nhiều điều bạn nên chuẩn bị nếu bạn định làm việc tại các quán cà phê và các địa điểm công cộng khác như thư viện, chủ yếu về mặt an ninh mạng. Để tránh trở thành nạn nhân của Wi-Fi spoofing, tốt nhất là nên tránh hoàn toàn Wi-Fi công cộng, đặc biệt nếu bạn đang xử lý dữ liệu nhạy cảm của công ty. Ví dụ, tôi luôn mang theo một điểm truy cập di động hoặc sử dụng tethering để giảm thiểu rủi ro và tránh tắc nghẽn lưu lượng truy cập. Nếu bạn tuyệt đối muốn sử dụng mạng công cộng, bạn nên cài đặt VPN trước để đảm bảo an toàn.
5. Tận Dụng Phần Mềm Hỗ Trợ Để Nâng Cao Khả Năng Phòng Chống Phishing
Tại sao phải tự mình đối phó khi luôn có phần mềm có thể hỗ trợ bạn? Ví dụ, phiên bản cao cấp của Malwarebytes có thể tăng cường đáng kể an ninh trực tuyến của bạn và bảo vệ bạn không chỉ khỏi phần mềm độc hại mà còn cả lừa đảo phishing.
Với tính năng quét theo thời gian thực, Malwarebytes phân tích các email đến và tự động chặn chúng nếu nó nhận ra bất kỳ dấu hiệu lừa đảo nào. Nó cũng phân tích các liên kết trong email để kiểm tra xem chúng có an toàn không, cùng với việc kiểm tra kỹ lưỡng nội dung của chính các tin nhắn. Malwarebytes cũng có thể xác minh xem người gửi email có phải là thật hay không bằng cách đối chiếu thông tin của họ với thông tin có sẵn. Do đó, nó cũng là một công cụ mạnh mẽ chống lại email spoofing.
Giao diện phần mềm Malwarebytes Premium hỗ trợ chống phishing và mã độc
Mặc dù đây là một bước tùy chọn, nhưng nó sẽ bổ sung thêm một lớp phòng thủ chống lại số lượng các vụ lừa đảo phishing ngày càng tăng và cũng giảm bớt khối lượng công việc “chống lừa đảo” của bạn.
Bằng cách thực hành cẩn trọng trong công việc và kiểm tra kỹ lưỡng các liên kết cũng như tệp đính kèm trong email, bạn sẽ tránh trở thành con mồi của một vụ lừa đảo phishing. Thật vậy, việc AI được thêm vào cuộc chơi không giúp ích gì, nhưng các quy tắc vẫn được áp dụng – hãy luôn cảnh giác, đừng mắc bẫy bởi các chiến thuật gây áp lực cao, hãy đặt câu hỏi cho mọi thứ, và AI sẽ không thể làm gì được bạn! Hãy chia sẻ trải nghiệm của bạn về việc đối phó với phishing trong phần bình luận bên dưới nhé!
