Thông báo lừa đảo về vi phạm dữ liệu: Cách phát hiện và ngăn chặn

Khi một vụ vi phạm dữ liệu lớn xuất hiện trên các tiêu đề, tội phạm mạng chú ý rất kỹ. Chỉ trong vài giờ sau khi sự cố được công bố công khai, những kẻ lừa đảo bắt đầu tung ra hàng loạt thông báo giả mạo được thiết kế để trông giống thư thật. Hiểu cách các thông báo lừa đảo về vi phạm dữ liệu hoạt động, và những công cụ nào thực sự giúp chống lại chúng, giờ đây là yêu cầu cơ bản đối với bất kỳ ai sử dụng internet.

Cách những kẻ lừa đảo khai thác các vụ vi phạm thực tế để tạo ra các cảnh báo giả mạo thuyết phục

Các vụ vi phạm dữ liệu thực tế tạo ra một tấm bình phong hoàn hảo cho lừa đảo. Một khi có thông tin về vụ vi phạm trên báo chí, tội phạm đã biết rằng hàng triệu người đang lo lắng, mong đợi một thông báo, và có thể hành động bốc đồng khi nhận được.

Kịch bản thường thấy là: những kẻ lừa đảo gửi email, tin nhắn văn bản hoặc cuộc gọi tự động tự nhận là đến từ công ty bị vi phạm hoặc một dịch vụ giám sát tín dụng. Tin nhắn cảnh báo rằng thông tin cá nhân của bạn đã bị lộ và thúc giục bạn nhấp vào một liên kết, xác minh danh tính hoặc gọi ngay đến một số điện thoại. Sự khẩn cấp là có chủ ý. Sự hoảng loạn rút ngắn thời gian bạn dành để xem xét kỹ các chi tiết.

Những thông báo giả này ngày càng tinh vi. Tội phạm hiện nay lấy cả logo thật của công ty, sao chép giọng điệu của các thông báo chính thức, và thậm chí tham chiếu chính xác ngày vi phạm mà chúng tìm thấy trên tin tức. Một số kẻ mạo danh các dịch vụ thông báo vi phạm của bên thứ ba thay vì chính công ty, khiến việc truy vết trở nên khó khăn hơn. Các thỏa thuận dàn xếp thực tế như Vụ dàn xếp vi phạm dữ liệu 1,6 triệu USD của Krispy Kreme nhanh chóng bị bắt chước, với việc những kẻ lừa đảo gửi các mẫu đơn yêu cầu bồi thường giả tới những người chưa bao giờ nằm trong tập khách hàng bị ảnh hưởng.

Phân biệt thông báo vi phạm hợp lệ với nỗ lực lừa đảo phishing

Thông báo vi phạm hợp lệ tuân theo các khuôn mẫu có thể dự đoán được, và chúng khác biệt rõ rệt so với các tin nhắn lừa đảo. Biết được những khác biệt này là tuyến phòng thủ đầu tiên của bạn.

Thông báo thực sự từ các công ty thường được gửi qua đường bưu điện đối với những vụ vi phạm nghiêm trọng, đặc biệt là những vụ liên quan đến dữ liệu tài chính hoặc chính phủ. Khi được gửi qua email, chúng đến từ tên miền đã được xác minh mà công ty từng sử dụng trước đây, không phải từ một địa chỉ tương tự với các ký tự thừa hoặc tên miền cấp cao nhất khác. Thông báo hợp lệ mô tả cụ thể dữ liệu nào đã bị lộ, công ty đang làm gì với vụ việc và những nguồn lực miễn phí nào (chẳng hạn như giám sát tín dụng) họ đang cung cấp. Chúng không yêu cầu bạn xác nhận mật khẩu, số An sinh Xã hội hay chi tiết thanh toán.

Ngược lại, các nỗ lực phishing hầu như luôn bao gồm một lời kêu gọi hành động đòi bạn phải cung cấp thông tin nhạy cảm. Chúng tạo ra các hạn chót giả tạo. Chúng có thể đe dọa khóa tài khoản hoặc hậu quả pháp lý nếu bạn không hành động. Các liên kết trong những tin nhắn này dẫn đến các trang web giả mạo để thu thập bất cứ thông tin gì bạn nhập vào.

Để biết ngữ cảnh về một tiết lộ vi phạm dữ liệu cấp chính phủ thực sự trông như thế nào, vụ rò rỉ dữ liệu ANTS của Pháp làm lộ 12 triệu tài khoản là một tài liệu tham khảo hữu ích. Các thông báo vi phạm chính thức ở quy mô đó đi kèm với các tuyên bố công khai, báo chí đưa tin và hướng dẫn do chính phủ ban hành, chứ không phải những email hoảng loạn yêu cầu bạn xác minh danh tính trong vòng 24 giờ.

Tại sao VPN và các công cụ quyền riêng tư không cứu được bạn khỏi tấn công phi kỹ thuật

Đây là phần khiến nhiều người dùng có ý thức bảo mật ngạc nhiên. VPN mã hóa lưu lượng internet của bạn và che giấu địa chỉ IP. Trình quản lý mật khẩu tạo và lưu trữ thông tin đăng nhập mạnh. Những công cụ này cung cấp sự bảo vệ thực sự, có thể đo lường được trước một số mối đe dọa nhất định. Nhưng không công cụ nào trong số đó có thể ngăn bạn bị lừa để tự mình cung cấp thông tin.

Các cuộc tấn công phi kỹ thuật (social engineering) đánh vào tâm lý con người, không phải các lỗ hổng kỹ thuật. Khi bạn nhận được một thông báo giả thuyết phục và tự nguyện nhấp vào liên kết hoặc gọi đến một số điện thoại lừa đảo, VPN của bạn trở nên vô nghĩa. Cuộc tấn công vượt qua mọi lớp bảo vệ kỹ thuật vì chính bạn là người mở cửa.

Tương tự, các dịch vụ giám sát vi phạm cho bạn biết khi nào địa chỉ email của bạn xuất hiện trong cơ sở dữ liệu rò rỉ đã biết. Điều đó thực sự hữu ích để nâng cao nhận thức, nhưng nó không ngăn được kẻ lừa đảo gửi cho bạn một cảnh báo giả về một vụ vi phạm hoàn toàn xảy ra với người khác, hoặc một vụ thậm chí còn chưa được xác nhận công khai.

Khoảng trống bảo vệ ở đây là rất đáng kể. Các công cụ kỹ thuật giải quyết các cuộc tấn công kỹ thuật. Tấn công phi kỹ thuật đòi hỏi một kiểu phòng thủ khác: sự hoài nghi, thói quen xác minh, và hiểu biết rõ ràng về cách các tổ chức thực sự giao tiếp.

Điều thực sự hiệu quả: Các bước cụ thể để tự bảo vệ sau một vụ vi phạm

Nếu bạn tin rằng dữ liệu của mình có thể đã bị lộ, các bước sau đây phản ánh những gì các chuyên gia bảo mật thực sự khuyến nghị.

  • Xác minh trước khi hành động. Nếu bạn nhận được một thông báo, hãy truy cập trực tiếp vào trang web chính thức của công ty bằng cách tự gõ địa chỉ. Đừng nhấp vào bất kỳ liên kết nào trong tin nhắn. Kiểm tra phòng tin tức hoặc các kênh truyền thông xã hội chính thức của công ty để biết các thông báo vi phạm. Nếu vụ vi phạm là thực, bạn sẽ tìm thấy xác nhận ở đó.
  • Kiểm tra điều kiện tham gia dàn xếp qua các kênh chính thức. Các thỏa thuận dàn xếp vi phạm thực sự có các trang web quản lý dàn xếp chính thức được liệt kê trong các tài liệu của tòa án và thông cáo báo chí. Nếu ai đó liên hệ với bạn đề nghị giúp nộp đơn yêu cầu bồi thường, hãy coi đó là đáng ngờ cho đến khi được xác minh độc lập.
  • Phong tỏa tín dụng của bạn. Phong tỏa tín dụng tại cả ba văn phòng tín dụng lớn là miễn phí, có thể đảo ngược và thực sự hiệu quả trong việc ngăn chặn kẻ gian mở tài khoản mới dưới tên bạn. Đây là một trong số ít các bước có hiệu quả bất kể dữ liệu nào đã bị lộ.
  • Sử dụng mật khẩu duy nhất và bật xác thực hai yếu tố. Nếu dịch vụ bị vi phạm có mật khẩu của bạn và bạn đã sử dụng lại nó ở nơi khác, hãy thay đổi nó ở mọi nơi nó xuất hiện. Xác thực hai yếu tố đảm bảo rằng chỉ mật khẩu bị đánh cắp thì chưa đủ để truy cập tài khoản của bạn.
  • Báo cáo các thông báo đáng ngờ. Chuyển tiếp email phishing tới FTC và tới công ty bị mạo danh. Điều này giúp các cơ quan chức năng theo dõi các chiến dịch lừa đảo và có thể bảo vệ những nạn nhân tiềm năng khác.

Thông báo lừa đảo về vi phạm dữ liệu có hiệu quả vì chúng đến chính xác vào thời điểm mọi người đã lo lắng về một mối đe dọa thực sự. Cách đối phó tốt nhất là chậm lại, xác minh độc lập, và nhớ rằng các tổ chức hợp pháp sẽ không bao giờ gây áp lực buộc bạn phải hành động ngay lập tức thông qua một tin nhắn không được yêu cầu. Xây dựng thói quen đó mang lại sự bảo vệ hơn bất kỳ phần mềm đơn lẻ nào.