Trong bối cảnh làm việc từ xa đang trở thành xu thế chủ đạo, việc đảm bảo an toàn thông tin cá nhân và doanh nghiệp trở nên cấp thiết hơn bao giờ hết. Các hình thức lừa đảo trực tuyến (phishing) ngày càng tinh vi, đặc biệt với sự hỗ trợ của trí tuệ nhân tạo (AI), đang đặt ra những thách thức lớn. Đối với những người làm việc độc lập, không có sự hỗ trợ trực tiếp từ đội ngũ IT, việc trang bị kiến thức và kỹ năng tự bảo vệ là chìa khóa để tránh trở thành nạn nhân của những chiêu trò lừa đảo tinh vi này. Bài viết này sẽ cung cấp một cẩm nang toàn diện, giúp bạn nâng cao cảnh giác và bảo vệ bản thân khỏi các mối đe dọa phishing khi làm việc từ xa.
1. Luôn Cập Nhật Thông Tin Về Các Chiêu Trò Lừa Đảo Mới Nhất
Kiến thức chính là sức mạnh tối thượng trong cuộc chiến chống lại tội phạm mạng. Nếu bạn nắm rõ những gì cần tìm kiếm, chỉ cần một cái nhìn lướt qua email lạ hoặc tin nhắn SMS đáng ngờ cũng đủ để chuông báo động trong đầu bạn vang lên.
Các hình thức lừa đảo qua email cổ điển, nơi kẻ gian giả mạo ngân hàng để lấy cắp dữ liệu, tương đối dễ nhận biết. Tuy nhiên, với vai trò là một người làm việc từ xa, bạn cần phải thành thạo việc nhận diện “spear phishing” (tấn công lừa đảo có chủ đích). Đây là hình thức khó khăn hơn nhiều, vì nó thường bao gồm thông tin cụ thể về bạn hoặc công ty của bạn. Nói cách khác, tin tặc đã thực hiện nghiên cứu kỹ lưỡng và do đó có thể xuất hiện thuyết phục hơn.
Công nghệ AI tạo giọng nói giả mạo trên điện thoại thông minh, rủi ro tiềm ẩn của lừa đảo Vishing.
Cùng với spear phishing, bạn cũng có thể gặp phải “clone phishing”, nơi bạn sẽ nhận được các bản sao của các thông tin liên lạc hợp pháp nhưng được bổ sung thêm các tệp đính kèm hoặc liên kết nguy hiểm.
Đáng sợ hơn, AI đã làm cho mọi thứ trở nên phức tạp hơn, bao gồm cả “voice phishing” (vishing) – lừa đảo qua giọng nói. Trước đây, kẻ lừa đảo sẽ gọi điện và giả vờ là người hợp pháp. Giờ đây, chúng thực sự có thể sao chép giọng nói (và cả hình ảnh thông qua video deepfake) của một người trong tổ chức của bạn. Việc nắm rõ tất cả các kỹ thuật này sẽ giúp bạn suy nghĩ kỹ hơn trước khi nhấp vào một liên kết trong một email tưởng chừng an toàn từ đồng nghiệp.
2. Kỹ Năng Nhận Diện Phishing: Những Dấu Hiệu Cần Lưu Ý
Học cách phát hiện phishing tương đối đơn giản. Điều đầu tiên bạn nên xem xét là địa chỉ email của người gửi. Trong hầu hết các trường hợp, bạn sẽ nhận thấy rằng mặc dù nó trông rất giống một tổ chức chính thức (hoặc một thành viên trong nhóm), nhưng một số chữ cái có thể bị thay đổi bằng ký hiệu tương tự, hoặc một chữ cái có thể bị bỏ qua hoàn toàn.
Các chiêu trò lừa đảo qua video bằng công nghệ AI đang gia tăng, cần cảnh giác.
Đối với tôi, dấu hiệu lớn nhất của phishing thường là ngôn ngữ tạo ra một cảm giác khẩn cấp. Tội phạm mạng đang cố gắng lợi dụng những người có thể không có kinh nghiệm nhận biết lừa đảo, và do đó, họ tạo ra các kịch bản yêu cầu bạn phải hành động nhanh chóng mà không cần suy nghĩ.
Trước đây, email phishing thường bị lỗi ngữ pháp và lỗi chính tả. Ngày nay, tội phạm mạng thường sử dụng các mô hình ngôn ngữ AI để tạo ra văn bản trau chuốt hơn, đủ để đánh lừa hầu hết các cá nhân không cảnh giác. Tuy nhiên, điểm mấu chốt ở đây là “đủ tốt”.
Bạn có thể nhận ra các cuộc tấn công phishing được thúc đẩy bởi AI qua luồng câu văn không tự nhiên. Cũng phổ biến khi văn bản trong email quá trang trọng hoặc quá hoàn hảo và thiếu bất kỳ sự tiếp xúc nào của con người, đây là đặc điểm của hầu hết các giao tiếp liên quan đến công việc.
Ví dụ về email lừa đảo được tạo bởi AI Gemini từ một đồng nghiệp giả mạo, cần kiểm tra kỹ.
Ví dụ trên bề mặt trông ổn, nhưng sẽ lộ rõ khi kiểm tra kỹ. Nếu bạn nhận được một email tương tự, hãy liên hệ trực tiếp với người được cho là đã gửi nó để làm rõ mọi nhầm lẫn thay vì chấp nhận bất kỳ rủi ro nào.
Với công nghệ sao chép giọng nói (voice cloning) và deepfake, việc nhận diện sẽ khó khăn hơn một chút. Tin tốt là hầu hết tội phạm mạng đều muốn kiếm tiền nhanh chóng, nên việc sao chép giọng nói và hình ảnh của quản lý bạn có thể đòi hỏi quá nhiều nỗ lực. Do đó, hầu hết chúng ta sẽ không bao giờ phải đối phó với loại phishing này. Tuy nhiên, dù cơ hội là mong manh, nhưng không bao giờ là bằng không, vì vậy bạn chắc chắn nên nắm vững các kiến thức cơ bản. Ví dụ, giọng nói được sao chép nghe rất thuyết phục, nhưng hiện tại, vẫn có thể nhận thấy các “hiện vật kỹ thuật số” khiến người nói nghe giống robot. Nhịp điệu và những thay đổi nhỏ trong giọng nói sẽ bị lệch, mặc dù âm sắc có thể rất giống.
Điều tương tự cũng áp dụng cho việc phát hiện deepfake, nơi bạn có thể nhận thấy những điểm không hoàn hảo như chuyển động giật cục hoặc khớp môi bị lỗi. Dù bằng cách nào, bạn cũng đủ quen thuộc với đồng nghiệp của mình để nhận biết các khuôn mẫu của họ, vì vậy bất cứ điều gì có vẻ bất thường đều là một dấu hiệu cảnh báo lớn đối với bạn.
3. Suy Nghĩ Kỹ Trước Khi Nhấp: Liên Kết và Tệp Đính Kèm
Có lẽ tôi hơi đa nghi, nhưng bất cứ khi nào tôi nhận được một liên kết trong email (ngay cả từ một địa chỉ quen thuộc), tôi luôn kiểm tra nó bằng cách di chuột qua đó. Bạn cũng nên làm như vậy – nhưng bạn nên tìm kiếm điều gì?
Đầu tiên, hãy kiểm tra tên miền (còn gọi là phần đầu tiên của liên kết). Tương tự như cách kẻ lừa đảo cố gắng làm cho địa chỉ email trông hợp pháp, chúng cũng làm điều tương tự với tên miền trong các liên kết chúng gửi cho bạn. Hãy tìm các lỗi chính tả, dấu gạch ngang và các chữ cái bị thiếu hoặc thừa. Mục đích của phishing là đánh cắp thông tin đăng nhập của bạn hoặc khiến bạn tải xuống phần mềm độc hại, vì vậy liên kết sẽ cố gắng bắt chước một dịch vụ hợp pháp.
Tương tự, bạn nên cảnh giác với bất kỳ tệp đính kèm nào. Điều này bao gồm các tệp thực thi (.exe) và các tệp nén (.zip, .rar) mà tội phạm mạng yêu thích vì dễ dàng ẩn mã độc, cũng như các tài liệu Microsoft Office mà giờ đây cho phép tin tặc thiết lập các script và macro có chức năng tương tự như tệp .exe.
4. Cảnh Giác Đặc Biệt Với Wi-Fi Công Cộng
Điều tuyệt vời nhất khi làm việc từ xa là bạn có thể mang công việc của mình đi bất cứ đâu. Mặc dù điều này rất tốt cho tinh thần, nhưng nó có thể nguy hiểm về mặt an ninh mạng, chủ yếu do “Wi-Fi phishing” hoặc “Wi-Fi spoofing”.
Trong kịch bản này (thường được gọi là “tấn công Man-in-the-Middle”), tin tặc tạo ra một mạng lưới song sinh với một điểm truy cập Wi-Fi thực sự ở nơi công cộng. Sau đó, chúng chỉ cần đợi nạn nhân thiết lập kết nối để xem mọi thứ họ làm trực tuyến, bao gồm cả bất kỳ thông tin đăng nhập nào.
Có rất nhiều điều bạn cần chuẩn bị nếu bạn định làm việc từ quán cà phê và những nơi công cộng khác như thư viện, chủ yếu là về an ninh mạng. Để tránh trở thành nạn nhân của Wi-Fi spoofing, tốt nhất là nên tránh hoàn toàn Wi-Fi công cộng, đặc biệt nếu bạn đang xử lý dữ liệu công ty nhạy cảm. Ví dụ, tôi luôn mang theo một bộ phát Wi-Fi di động hoặc sử dụng tính năng chia sẻ kết nối (tethering) để giảm thiểu rủi ro và tránh tắc nghẽn lưu lượng truy cập. Nếu bạn hoàn toàn nhất quyết sử dụng mạng công cộng, bạn nên cài đặt một VPN trước để đảm bảo an toàn.
5. Tận Dụng Phần Mềm Hỗ Trợ Chống Phishing
Tại sao phải tự mình đối phó khi luôn có phần mềm có thể hỗ trợ bạn? Ví dụ, phiên bản cao cấp của Malwarebytes có thể tăng cường đáng kể an ninh trực tuyến của bạn và bảo vệ bạn không chỉ khỏi phần mềm độc hại mà còn khỏi phishing.
Với khả năng quét theo thời gian thực, Malwarebytes phân tích các email đến và tự động chặn chúng nếu nó nhận ra bất kỳ dấu hiệu đáng ngờ nào. Nó cũng phân tích các liên kết trong email để kiểm tra xem chúng có an toàn không, cùng với việc kiểm tra kỹ lưỡng nội dung của chính tin nhắn. Malwarebytes cũng có thể xác minh liệu người gửi email có phải là thật hay không bằng cách đối chiếu thông tin của họ với các dữ liệu có sẵn. Do đó, nó cũng là một công cụ mạnh mẽ chống lại “email spoofing” (giả mạo email).
Giao diện phần mềm Malwarebytes, công cụ hiệu quả trong việc phát hiện và chặn các mối đe dọa trực tuyến và lừa đảo.
Mặc dù đây là một bước tùy chọn, nhưng nó sẽ bổ sung thêm một lớp phòng thủ chống lại số lượng các vụ lừa đảo phishing ngày càng tăng và cũng giảm bớt gánh nặng “đấu tranh chống phishing” của bạn.
Bằng cách thực hành thận trọng trong công việc và kiểm tra kỹ lưỡng các liên kết, tệp đính kèm trong email, bạn sẽ tránh trở thành con mồi của một vụ lừa đảo phishing. Dù AI được thêm vào cuộc chiến này không giúp ích gì, nhưng các quy tắc tương tự vẫn được áp dụng – hãy cảnh giác, đừng mắc lừa các chiến thuật gây áp lực, hãy nghi vấn mọi thứ, và AI sẽ không thể làm gì bạn!
Hãy chia sẻ kinh nghiệm của bạn về việc phòng chống lừa đảo trực tuyến và các công cụ bạn tin dùng trong phần bình luận bên dưới!
