Lừa đảo và các cuộc tấn công kỹ thuật mang tính xã hội khác

Các cuộc tấn công kỹ thuật mang tính xã hội như lừa đảo sử dụng tương tác xã hội làm phương tiện để thuyết phục nạn nhân tuân thủ. Chúng rất linh hoạt và có thể được gửi qua email, thông qua phương tiện truyền thông xã hội hoặc qua các cuộc gọi điện thoại và tin nhắn văn bản. Thông thường, chúng được thiết kế để trông giống như email hợp pháp từ các tổ chức đã được biết đến, với các logo trực quan gởi cho nạn nhân. Tuy nhiên, những email này thường kèm theo yêu cầu, chẳng hạn như thanh toán hóa đơn hoặc sửa đổi chi tiết và sẽ khuyến khích nạn nhân nhấp vào liên kết. Các cuộc tấn công lừa đảo hoạt động bằng cách đưa nạn nhân đến một trang web độc hại giả dạng một doanh nghiệp hợp pháp, có thể thu thập thông tin từ người dùng hoặc khuyến khích cài đặt phần mềm độc hại.

Có nhiều kiểu tấn công lừa đảo khác nhau. Lừa đảo và thu thập thông tin cá nhân thông qua các trang web giả mạo, đánh lừa thu thập thông tin cá nhân thông qua tin nhắn văn bản di động và hiển thị (lừa đảo bằng giọng nói) qua điện thoại. Sau đó là lừa đảo trực tuyến, các cuộc tấn công được nhắm mục tiêu cao bằng email được gửi từ một người gửi đáng tin cậy, chẳng hạn như đồng nghiệp làm việc, nhưng trên thực tế, email đó là giả mạo bởi một kẻ lừa đảo. Các email giả mạo trông rất hợp pháp, cực kỳ thành công và đã dẫn đến các vi phạm cấp cao (ví dụ: Google). Chúng có thể tốn thời gian của kẻ lừa đảo vì cần có thông tin cụ thể để thực hiện chúng, nhưng chúng cũng có tỷ lệ thành công cao hơn. Trong nghiên cứu của Jagatic, họ đã mô phỏng các cuộc tấn công lừa đảo thu hút người tham gia, trong cuộc sống thực, một trang web độc hại thu thập dữ liệu cá nhân. Họ nhận thấy những email đến từ một người bạn thành công hơn những email đến từ một người lạ. Điều này có ý nghĩa bởi vì chúng ta có quan hệ xã hội để tin tưởng bạn bè của mình. Họ cũng nhận thấy rằng email thành công hơn nếu chúng đến từ một người khác giới và hiệu ứng này mạnh hơn đối với nam giới.

Lừa đảo bằng giọng nói, nơi những kẻ lừa đảo gọi nạn nhân để thử lấy thông tin cá nhân, cũng hiệu quả hơn email và cũng ẩn danh không kém khi những kẻ lừa đảo thực hiện các cuộc gọi qua Internet. Những kẻ lừa đảo sẽ có một số thông tin cá nhân khi họ gọi cho nạn nhân và thông tin này được sử dụng để làm cho cuộc gọi có vẻ hợp pháp. Sau đó, chúng yêu cầu nạn nhân về thông tin bảo mật hoặc mật khẩu của họ. Đôi khi những kẻ lừa đảo sẽ giả vờ là cảnh sát, nói với nạn nhân rằng tài khoản của họ đã bị xâm phạm và ai đó đã bị bắt vì điều này. Nạn nhân sau đó được khuyến khích đưa ra số pin của họ và nói với họ rằng sẽ đến để thu thập thẻ ngân hàng bị xâm nhập làm bằng chứng. Hoặc chúng có thể yêu cầu nạn nhân chuyển tiền vào một tài khoản mới, an toàn.

Thông thường, các cuộc tấn công lừa đảo qua điện thoại rất khó nghiên cứu, bởi vì không có bằng chứng vật lý như email hoặc văn bản.

Các cuộc tấn công lừa đảo cũng có thể được thực hiện thông qua tin nhắn văn bản và hoạt động tương tự như email, thường bắt chước các tổ chức hợp pháp và thu hút nạn nhân nhấp vào liên kết. Điện thoại thông minh đặc biệt dễ bị khai thác vì chúng chứa thông tin nhạy cảm hơn do thường cài đặt các ứng dụng ngân hàng và cho phép kẻ lừa đảo tiếp cận nạn nhân qua email, điện thoại, văn bản, Bluetooth hoặc các ứng dụng web.

Các nhà nghiên cứu cho rằng việc sử dụng phương tiện truyền thông xã hội khiến chúng ta ít thận trọng hơn khi tương tác với các liên kết, bởi vì chúng ta đã quen với việc chia sẻ và nhấp vào liên kết để truy cập thông tin. Ngoài ra, những kẻ lừa đảo đã nhận ra điều này, vì các nỗ lực lừa đảo hiện đang ngày càng phổ biến trên phương tiện truyền thông xã hội. Là con người, chúng ta cũng sử dụng các phím tắt khi xử lý thông tin và chúng thường được trang bị trực quan bởi các logo, thương hiệu nổi tiếng.