Chủ động gửi mail 'lừa đảo' để nhân viên tăng cảnh giác

Đây là một trong những hình thức diễn tập an toàn thông tin nhằm phát hiện và ngăn chặn nguy cơ đe dọa với doanh nghiệp tại Việt Nam. Tại sự kiện về bảo mật ở Hà Nội tuần này, Liên minh an toàn thông tin Cyseex cho biết các thành viên trong liên minh đã tổ chức sáu chiến dịch, với hai đợt và hơn 14.000 người được diễn tập.

"Công nghệ có thể gia cố, nhưng điểm yếu lớn nhất luôn nằm ở con người", ông Nguyễn Quang Hoàng, Giám đốc An ninh thông tin công ty Misa, trưởng ban tổ chức tập trận của liên minh, cho biết.

Theo đó, đơn vị sẽ xây dựng kịch bản lừa đảo mạo danh (phishing) tương tự tin tặc. Họ tạo các website, email, cùng nội dung giả mạo, dụ nạn nhân truy cập đường link để điền thông tin, sau đó gửi email đến các nhóm nhân viên ngẫu nhiên trong doanh nghiệp. Dựa trên thống kê về phản ứng của nhân viên với những email đó, doanh nghiệp có thể đánh giá tình hình nhận thức an toàn thông tin, từ đó có biện pháp đào tạo để cải thiện.

Kết quả của các chiến dịch cho thấy trong đợt đầu tiên, 18% số người nhận đã mở email, 13% bấm vào đường link bên trong, và 10,5% đã gửi dữ liệu theo yêu cầu trong email lừa đảo. Đến đợt thứ hai, các tỷ lệ này lần lượt là 11%, 8% và 2,6%.

Thống kê kết quả trong hai đợt diễn tập tấn công phishing của Cyseex. Ảnh chụp màn hình

Theo ông Hoàng, kết quả cho thấy nhận thức của nhân viên trong tổ chức được nâng cao sau mỗi chiến dịch. Tuy nhiên, vẫn còn 2,6% nhân viên gửi dữ liệu, cho thấy khả năng dẫn đến việc tài khoản bị lộ lọt và dữ liệu bị đánh cắp.

Ngoài ra, khi một nhân viên trong tổ chức tin theo các email mạo danh, họ có nguy cơ tải và cài phần mềm độc hại, từ đó hacker có thể xâm nhập vào máy tính, lan rộng ra cả doanh nghiệp. Đây cũng là nguyên nhân của nhiều vụ tấn công mã hóa dữ liệu tống tiền ransomware thời gian qua.

"Diễn tập chống phishing giống như một liều vaccine phòng bệnh. Nó không chỉ giúp nhân viên phát hiện và xử lý các mối đe dọa, mà còn xây dựng 'hệ miễn dịch' vững chắc cho cả nhân viên lẫn tổ chức", ông Hoàng nói, đồng thời nhấn mạnh việc này cần được thường hiện thường xuyên, giống như "tiêm liều nhắc lại".

Ngoài diễn tập phòng chống tấn công giả mạo, đại diện liên minh Cyseex cũng cho biết năm qua đã tổ chức các cuộc diễn tập thực chiến về tấn công - phòng thủ mạng với 18 hệ thống trong các đơn vị thành viên. Hình thức này nhằm nâng cao kỹ năng cho cả nhóm RedTeam - chuyên đóng vai hacker tấn công, và BlueTeam - nhóm phòng thủ. Các cuộc diễn tập đã giúp phát hiện ra 497 lỗ hổng trong các hệ thống của các đơn vị, đồng thời cũng cho thấy số lượng các lỗ hổng mức nghiêm trọng trong sản phẩm giảm xuống khoảng 40% so với năm ngoái.

Tại sự kiện, ông Trần Quang Hưng, quyền Cục trưởng An toàn thông tin - Bộ Thông tin và Truyền thông, đánh giá các hoạt động diễn tập tấn công và phòng thủ không chỉ để phát hiện lỗ hổng, mà hướng đến rèn luyện khả năng phối hợp, phản ứng nhanh nhạy trước mọi tình huống bất ngờ. Năm ngoái, Cục đã phối hợp tổ chức hơn 100 cuộc diễn tập trên cả nước.

Ông Trần Quang Hưng, quyền Cục trưởng An toàn thông tin phát biểu tại sự kiện. Ảnh: Tuấn Bùi

Theo ông Hưng, thời gian tới, Cục sẽ hướng tới chuyên nghiệp hóa hoạt động diễn tập, tập trung vào xây dựng năng lực ứng phó và khả năng phục hồi linh hoạt, đồng thời thực hiện diễn tập chuyên sâu, áp dụng những tình huống phức tạp hơn để đảm bảo khả năng ứng phó toàn diện.

"Các cuộc diễn tập sẽ không chỉ là kiểm tra hệ thống, mà sẽ chú trọng hơn vào phát triển năng lực con người, yếu tố then chốt trong công tác an toàn, bảo mật", ông Hưng nói.

Lưu Quý