Tấn công lừa đảo là gì?

Tấn công lừa đảo là gì?

Hình thức tấn công mạng giả mạo ngân hàng hoặc tổ chức uy tín để đánh cắp thông tin đăng nhập và tài chính của người dùng.

Thuật ngữ tiếng Anh: Phishing Attack

Lĩnh vực: Công nghệ & Số hóa

Các hình thức tấn công lừa đảo phổ biến với doanh nghiệp SME

Kẻ tấn công thường nhắm vào doanh nghiệp nhỏ thông qua nhiều kênh, mỗi hình thức có đặc điểm nhận diện riêng:

• Email giả mạo (Email Phishing): Email từ địa chỉ gần giống đối tác, nhà cung cấp hoặc ngân hàng, yêu cầu xác nhận lại thông tin đăng nhập, cập nhật mật khẩu hoặc xem hóa đơn đính kèm. Ví dụ: kế toán nhận email "từ nhà cung cấp" đề nghị chuyển khoản vào tài khoản mới — thực chất là tài khoản của kẻ lừa đảo.

• Lừa đảo qua SMS và tin nhắn (Smishing): Tin nhắn giả danh ngân hàng thông báo tài khoản bị khóa, kèm đường link dẫn đến trang web giả mạo. Hình thức này phổ biến với chủ doanh nghiệp hay giao dịch qua điện thoại.

• Giả mạo trang web (Website Phishing): Website có giao diện gần giống cổng đăng nhập ngân hàng, ví điện tử hoặc sàn thương mại điện tử. Doanh nghiệp có thể vô tình nhập thông tin khi truy cập từ link trong email hoặc quảng cáo.

• Lừa đảo qua điện thoại (Vishing): Kẻ tấn công gọi điện tự xưng nhân viên ngân hàng, cơ quan thuế hoặc công an, yêu cầu cung cấp mã OTP, số tài khoản hoặc xác nhận giao dịch.

• Lừa đảo qua ứng dụng và QR code (Quishing): Mã QR dán đè lên mã thanh toán thật tại cửa hàng, hoặc ứng dụng giả mạo công cụ kế toán, chữ ký số được đẩy lên các kho ứng dụng không chính thống.

Tác động đến tài chính và hoạt động của doanh nghiệp SME

Một cuộc tấn công lừa đảo thành công có thể gây ra nhiều hệ quả nghiêm trọng, đặc biệt với doanh nghiệp nhỏ thường có hệ thống bảo mật hạn chế:

• Thất thoát tiền trực tiếp: Chuyển khoản nhầm sang tài khoản lừa đảo, hoặc bị rút tiền từ tài khoản ngân hàng doanh nghiệp sau khi lộ thông tin đăng nhập. Việc truy vết và thu hồi tiền thường mất nhiều thời gian và không phải lúc nào cũng khả thi.

• Lộ dữ liệu khách hàng và đối tác: Email công ty bị xâm nhập có thể bị lợi dụng để gửi email giả mạo đến danh sách khách hàng, gây mất uy tín thương hiệu và ảnh hưởng đến quan hệ kinh doanh.

• Gián đoạn hoạt động: Hệ thống bị mã hóa hoặc khóa sau khi nhân viên vô tình cài phần mềm độc hại, khiến doanh nghiệp tạm dừng giao dịch, xử lý đơn hàng hoặc kế toán.

• Thiệt hại chi phí khắc phục: Doanh nghiệp phải chi trả cho việc khôi phục hệ thống, thuê chuyên gia an ninh mạng, thay đổi toàn bộ thông tin đăng nhập, đồng thời đối mặt với rủi ro pháp lý nếu dữ liệu khách hàng bị lộ.

Biện pháp phòng chống cho doanh nghiệp SME

Phòng chống tấn công lừa đảo không đòi hỏi đầu tư lớn, nhưng cần thói quen và quy trình rõ ràng trong toàn bộ nhân sự:

• Xác minh trước khi chuyển tiền: Bất kỳ yêu cầu thay đổi tài khoản thụ hưởng từ đối tác hoặc nhà cung cấp đều cần được xác nhận qua kênh liên lạc độc lập (gọi điện đến số đã lưu, không phải số trong email).

• Bật xác thực hai yếu tố (2FA/MFA): Áp dụng cho tất cả tài khoản ngân hàng doanh nghiệp, email công ty, ví điện tử và các hệ thống quan trọng. Lớp bảo vệ này giúp ngăn chặn truy cập trái phép ngay cả khi mật khẩu bị lộ.

• Đào tạo nhân viên định kỳ: Đặc biệt bộ phận kế toán, bán hàng và quản trị — những người thường xuyên xử lý giao dịch tài chính và nhận email từ bên ngoài.

• Kiểm tra địa chỉ email và URL cẩn thận: Chú ý các ký tự lạ trong tên miền (ví dụ: .corn thay vì .com), hoặc đường link rút gọn không rõ nguồn gốc.

• Cập nhật phần mềm và sao lưu dữ liệu: Hệ điều hành, phần mềm kế toán, chữ ký số cần được cập nhật bản vá bảo mật thường xuyên. Sao lưu dữ liệu định kỳ giúp doanh nghiệp phục hồi nhanh nếu bị tấn công.

• Thiết lập quy trình báo cáo nội bộ: Khi nhân viên phát hiện email hoặc tin nhắn đáng ngờ, cần có kênh thông báo nhanh đến bộ phận phụ trách, tránh để sự cố lan rộng trước khi được xử lý.

Lưu ý: Nội dung trên mang tính tham khảo tổng quát về an toàn thông tin, không thay thế tư vấn chuyên môn từ đơn vị cung cấp giải pháp bảo mật hoặc cơ quan chức năng.

Câu hỏi thường gặp

Tấn công lừa đảo khác gì so với hack hệ thống hay lây nhiễm virus? Tấn công lừa đảo nhắm vào con người thông qua email, SMS, cuộc gọi hoặc trang web giả mạo để dụ cung cấp thông tin, trong khi hack hệ thống thường khai thác lỗ hỗ kỹ thuật và virus/mã độc lây nhiễm trực tiếp vào thiết bị.

Nếu nhân viên vô tình chuyển khoản nhầm cho kẻ lừa đảo, doanh nghiệp có lấy lại được tiền không? Khả năng thu hồi phụ thuộc vào thời gian phát hiện và phản hồi của ngân hàng, vì vậy việc báo cáo ngay trong vòng vài giờ đầu rất quan trọng — tuy nhiên không phải trường hợp nào cũng lấy lại được toàn bộ.

Chỉ bật xác thực hai yếu tố (2FA) cho tài khoản ngân hàng đã đủ chưa, hay cần áp dụng cho cả email công ty? Cần áp dụng cho cả email công ty, vì kẻ tấn công chiếm được email có thể dùng để gửi lệnh chuyển tiền giả, yêu cầu đổi tài khoản thụ hưởng hoặc truy cập các dịch vụ khác liên kết với tài khoản đó.

Khi nhận email yêu cầu đổi tài khoản thụ hưởng từ đối tác, nên xác minh bằng cách nào nhanh và chính xác nhất? Gọi điện trực tiếp đến số điện thoại đã lưu trong hợp đồng hoặc hệ thống quản lý khách hàng nội bộ, không gọi lại số trong email và không xác nhận qua email phản hồi.

Vay vốn kinh doanh

Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.