Một cuộc gọi nghe có vẻ rất thuyết phục có thể vượt qua những lớp kiểm soát vốn đủ sức chặn một email đáng ngờ chỉ trong vài giây. Đó là lý do Vishing Attacks vẫn là một rủi ro dai dẳng đối với doanh nghiệp. Thay vì tìm cách xuyên thủng các lớp phòng vệ kỹ thuật, kẻ tấn công thường gây áp lực để nhân viên tiết lộ thông tin đăng nhập, phê duyệt thanh toán hoặc chia sẻ dữ liệu nhạy cảm. Với nhiều tổ chức, điểm yếu thực sự không nằm ở hệ thống điện thoại mà ở sự tin tưởng dành cho những yêu cầu khẩn cấp qua giọng nói.
Vì sao gian lận qua giọng nói lại hiệu quả đến vậy
Vishing, hay voice phishing, dựa vào hành vi con người nhiều hơn là malware. Kẻ tấn công có thể mạo danh nhân viên ngân hàng, lãnh đạo cấp cao, nhà cung cấp, cơ quan nhà nước hoặc bộ phận IT nội bộ. Mục tiêu rất rõ ràng: tạo cảm giác khẩn cấp, nói chuyện đủ đáng tin và thúc ép nạn nhân hành động trước khi kịp xem xét kỹ yêu cầu. Vì cuộc trao đổi diễn ra theo thời gian thực, nhân viên thường cảm thấy bị áp lực phải hợp tác thay vì dừng lại để xác minh thông tin đang được cung cấp.
Chiêu thức này ngày càng hiệu quả hơn khi kẻ tấn công tận dụng thông tin doanh nghiệp được công khai để khiến cuộc gọi nghe có vẻ hợp lệ. Chức danh công việc, tuyến báo cáo, mối quan hệ với nhà cung cấp, thậm chí cả kế hoạch công tác đều có thể được ghép nối từ website và các nền tảng mạng xã hội. Một kẻ gọi điện được chuẩn bị kỹ không cần biết mọi thứ. Chỉ một vài chi tiết chính xác cũng có thể đủ để làm giảm sự nghi ngờ và biến một cuộc trao đổi tưởng như bình thường thành một sự cố an ninh.
Tác động với doanh nghiệp không chỉ dừng ở một cuộc gọi sai lầm
Nhiều tổ chức vẫn xem vishing là một vấn đề nhỏ về nhận thức, nhưng tác động vận hành của nó có thể rất nghiêm trọng. Chỉ một cuộc gọi thành công cũng có thể dẫn đến tài khoản bị xâm phạm, chuyển tiền trái phép, lộ dữ liệu hoặc gián đoạn hoạt động chăm sóc khách hàng. Trong một số trường hợp, cuộc gọi đầu tiên chỉ là bước mở màn cho một cuộc tấn công lớn hơn có thể bao gồm email compromise, lạm dụng quyền truy cập từ xa hoặc thay đổi gian lận đối với thông tin thanh toán.
Chi phí tài chính chỉ là một phần của vấn đề. Đội ngũ bảo mật có thể phải điều tra nhật ký truy cập, đặt lại thông tin đăng nhập, rà soát giao dịch, thông báo cho các bên bị ảnh hưởng và lập hồ sơ sự cố để phục vụ yêu cầu tuân thủ. Quá trình ứng phó này làm tiêu tốn thời gian vốn dành cho hoạt động thường ngày, đồng thời có thể gây tổn hại lâu dài đến uy tín. Khi một vụ lừa đảo qua điện thoại tiếp cận được các bộ phận tài chính, nhân sự hoặc help desk, phạm vi ảnh hưởng thường mở rộng rất nhanh.
Những điểm mà tổ chức dễ bị khai thác nhất
Bất kỳ nhân viên nào cũng có thể nhận một cuộc gọi lừa đảo, nhưng một số vai trò chịu áp lực lớn hơn nên cũng đối mặt với rủi ro cao hơn. Đội ngũ tài chính có thể trở thành mục tiêu của các yêu cầu thanh toán. Nhân viên help desk có thể bị thúc ép đặt lại mật khẩu hoặc bỏ qua bước kiểm tra danh tính. Lãnh đạo cấp cao và trợ lý điều hành cũng thường bị nhắm đến như điểm xâm nhập ban đầu vì kẻ tấn công cho rằng các quyết định của họ luôn mang tính khẩn cấp và có thẩm quyền.
- Yêu cầu phê duyệt thanh toán ngoài các kênh thông thường
- Cuộc gọi yêu cầu đặt lại thông tin đăng nhập hoặc thay đổi MFA ngay lập tức
- Yêu cầu chia sẻ thông tin của nhân viên, khách hàng hoặc nhà cung cấp
- Mạo danh lãnh đạo, cơ quan quản lý hoặc nhà cung cấp dịch vụ đáng tin cậy
Những tình huống này đặc biệt nguy hiểm vì chúng trông rất quen thuộc. Nhân viên xử lý các yêu cầu khẩn cấp mỗi ngày. Nếu không có quy trình xác minh rõ ràng, hoạt động kinh doanh thường nhật có thể trở thành con đường để kẻ tấn công đạt được mục tiêu.
Giảm rủi ro cần quy trình, không chỉ nhận thức
Đào tạo nâng cao nhận thức là cần thiết, nhưng chỉ đào tạo thôi thì chưa đủ. Tổ chức chỉ thực sự giảm rủi ro khi nhân viên có những quy trình đơn giản để xác minh các yêu cầu bất thường, đặc biệt là những yêu cầu liên quan đến tiền, thông tin đăng nhập hoặc dữ liệu nhạy cảm. Một cách tiếp cận hiệu quả cần kết hợp xác minh cuộc gọi, kiểm soát phê duyệt, kiểm tra danh tính và các kênh báo cáo sự cố để nhân viên có thể sử dụng ngay mà không do dự.
Trên thực tế, điều đó thường đồng nghĩa với việc thiết lập một số nguyên tắc không thể bỏ qua. Ví dụ: không thay đổi thông tin thanh toán chỉ dựa trên một cuộc gọi điện thoại. Không đặt lại mật khẩu nếu chưa có bước xác minh danh tính được phê duyệt. Không tiết lộ thông tin nhạy cảm nếu chưa được xác nhận qua một kênh độc lập và đáng tin cậy khác. Khi các biện pháp kiểm soát này được ghi rõ và diễn tập thường xuyên, nhân viên sẽ ít có xu hướng hành động theo cảm tính khi chịu áp lực.
Điều lãnh đạo an ninh cần rà soát ngay lúc này
Lãnh đạo an ninh nên xem vishing là một phần của rủi ro social engineering rộng hơn, thay vì coi đó chỉ là một phiền toái riêng lẻ. Việc rà soát hữu ích nhất nên bắt đầu từ các quy trình kinh doanh mà kẻ tấn công có khả năng khai thác cao nhất. Điều đó bao gồm quy trình thanh toán, xác minh của help desk, liên lạc với lãnh đạo, yêu cầu thay đổi từ nhà cung cấp và quy trình khôi phục quyền truy cập. Nếu các khu vực này phụ thuộc quá nhiều vào tốc độ và sự tin tưởng, chúng sẽ trở thành mục tiêu lý tưởng.
Một đợt rà soát thực tế nên bao gồm:
- Các yêu cầu nhạy cảm được xác minh như thế nào trước khi thực hiện
- Những bộ phận nào nhận khối lượng cuộc gọi có độ tin cậy cao nhiều nhất
- Nhân viên có biết cách chuyển tiếp hoặc báo cáo các cuộc trao đổi đáng ngờ hay không
- Tổ chức có thể khoanh vùng tài khoản hoặc giao dịch bị xâm phạm nhanh đến mức nào
FAQ
Các cuộc tấn công vishing chỉ nhắm vào doanh nghiệp lớn?
Không. Doanh nghiệp nhỏ cũng thường là mục tiêu vì họ có thể có ít quy trình xác minh chính thức hơn và đội ngũ phụ trách tài chính hoặc hỗ trợ thường mỏng hơn.
Có thể tin vào caller ID không?
Không. Caller ID có thể bị giả mạo, vì vậy một số điện thoại quen thuộc không bao giờ nên được xem là bằng chứng xác thực duy nhất về tính hợp pháp.
Đào tạo nhân viên có đủ để ngăn chặn vishing không?
Đào tạo có ích, nhưng chỉ phát huy hiệu quả cao nhất khi đi kèm với quy trình rõ ràng, các bước phê duyệt và chính sách xác minh giúp loại bỏ sự phỏng đoán trong lúc đang xử lý cuộc gọi.
Lựa chọn mô hình hỗ trợ phù hợp
Các tổ chức đang đánh giá biện pháp phòng thủ trước social engineering cần nhiều hơn là một cuộc trao đổi xoay quanh một sản phẩm đơn lẻ. Họ thường cần kết hợp giữa nâng cao nhận thức người dùng, kiểm soát danh tính, quy trình xác minh và kế hoạch ứng phó sự cố phù hợp với mô hình vận hành của mình. Terrabyte hỗ trợ các tổ chức đánh giá những yêu cầu này và xác định các giải pháp cybersecurity phù hợp với quy trình kinh doanh, ưu tiên rủi ro và mục tiêu tăng cường khả năng chống chịu trong dài hạn.