Xin chào, bạn có bao giờ tự hỏi: hacker thực sự làm thế nào để đột nhập vào các công ty lớn chưa? Trước đây mình cứ nghĩ họ phải dùng công nghệ siêu cao cấp hay viết mã như trong phim hành động.

Nhưng mới đây, mình được chứng kiến tận mắt một cuộc tấn công mạng giả lập ngay tại công ty — và thú thật, nó đơn giản (và đáng sợ) hơn mình tưởng rất nhiều

Để mình kể cho bạn nghe chuyện gì đã xảy ra và vì sao từ đó, mình nhìn an ninh mạng bằng con mắt hoàn toàn khác.

Mọi thứ bắt đầu chỉ với một email...

Vâng, đúng vậy. Chỉ một email trông hoàn toàn bình thường.

Đội IT của công ty đã tổ chức một bài kiểm tra để xem phản ứng của nhân viên trước một cuộc tấn công lừa đảo. Email được ngụy trang như đến từ phòng Nhân sự, yêu cầu chúng mình “cập nhật thông tin phúc lợi” bằng cách nhấn vào một liên kết. Trông vô hại, đúng không?

Sai rồi.

Cái bẫy từ đường link giả

Đường link ấy dẫn đến một trang đăng nhập trông cực kỳ chuyên nghiệp. Giao diện gọn gàng, logo đúng chuẩn — thậm chí ngôn ngữ trong email còn quen thuộc nữa. Một vài người (trong đó có cả đồng nghiệp mình) đã nhập mật khẩu vào đó.

Và… boom. Chỉ cần vậy thôi. Trang giả mạo đó đã thu thập đầy đủ thông tin đăng nhập, và cuộc thử nghiệm kết thúc thành công.

Vì sao chiêu này hiệu quả đến vậy

Điều khiến mình rùng mình là:

• Không hề dùng công cụ hack cao siêu nào cả

• Chỉ là một email trông như bao email công ty khác

• Đánh vào lòng tin của chúng ta đối với hệ thống quen thuộc

Đây chính là thủ đoạn của tấn công tâm lý — đánh lừa con người, không phải phá hỏng hệ thống.

Hacker thực sự tìm kiếm điều gì

Hacker ngoài đời cũng thường dùng chiêu tương tự. Thay vì tấn công tường lửa, họ nhắm đến điểm yếu nhất: chính là chúng ta.

• Nhấp vào liên kết đáng ngờ

• Dùng mật khẩu dễ đoán

• Không bật xác thực hai lớp

• Tái sử dụng mật khẩu cho nhiều tài khoản

Những gì mình học được (một cách hơi đau)

Sau đợt kiểm tra, đội IT đã phân tích toàn bộ sự việc. Sự thật gây sốc? Nếu đây là hacker thật, họ có thể đã truy cập vào email, hệ thống và cả dữ liệu khách hàng — chỉ từ một cú nhấp chuột.

Giờ thì mình luôn kiểm tra kỹ mọi email, rê chuột xem trước đường link trước khi bấm, và tuyệt đối không dùng lại mật khẩu. Ngoài ra, mình cũng bắt đầu dùng trình quản lý mật khẩu và bật xác thực hai bước cho tất cả tài khoản

Chủ động một bước để không thua cả trận

Mối đe dọa mạng là có thật — và đôi khi, chúng ta là mắt xích yếu nhất mà chẳng hề hay biết. Nếu một email giả có thể qua mặt cả đội nhân viên thông minh, thì bạn nghĩ hacker thật đang làm gì mỗi ngày?

Bạn đã từng gặp tình huống tương tự chưa?

Hãy chia sẻ câu chuyện hoặc mẹo của bạn bên dưới — cùng nhau cảnh giác để hacker không còn cơ hội. Giữ an toàn khi trực tuyến, bạn nhé!