Phishing là gì?, cách phòng chống và 3 hình thức tấn công Phishing phổ biến nhất

Phishing (giả mạo lừa đảo) là hình thức tấn công mạng phổ biến nhằm đánh cắp thông tin nhạy cảm như tên đăng nhập, mật khẩu, mã OTP, hoặc dữ liệu tài chính. Tin tặc sẽ giả mạo các tổ chức uy tín (ngân hàng, nhà cung cấp dịch vụ, quản lý nội bộ...) để lừa người dùng cung cấp thông tin hoặc truy cập vào liên kết độc hại.

Các thông tin bị đánh cắp và các lỗ hổng bảo mật là những lý do gây cản trở doanh nghiệp. Đây là phương thức khởi đầu cho nhiều hình thức tấn công phức tạp hơn như ransomware, BEC (Business Email Compromise) hay APT (Advanced Persistent Threat). Xem thêm: Những cách để bảo vệ email cho doanh nghiệp

Quy mô tấn công

2.1. Spear Phishing – Lừa đảo có chủ đích

Đây là hình thức tấn công nhắm vào cá nhân hoặc tổ chức cụ thể, thường là nhân sự cấp cao như kế toán, quản lý tài chính, IT... Hacker thu thập thông tin mục tiêu từ mạng xã hội, email cũ, hoặc rò rỉ dữ liệu, sau đó gửi email giả mạo để yêu cầu hành động khẩn cấp (chuyển tiền, mở tệp, đăng nhập...).

Ví dụ: Hacker giả danh CEO yêu cầu chuyển tiền gấp qua email có địa chỉ gần giống thật như ceo@vnetw0rk.com.

Loại hình này còn được gọi là Business Email Compromise (BEC), gây thiệt hại hàng tỷ USD mỗi năm theo FBI.

2.2. Phishing dựa trên tin tức nóng và sự kiện xã hội

Tin tặc thường lợi dụng các sự kiện nóng như: dịch bệnh (COVID-19), thiên tai, lễ hội mua sắm, các đợt tuyển dụng lớn… để tạo email giả mạo với nội dung khẩn cấp.

Ví dụ:Email thông báo nhận “hỗ trợ y tế khẩn cấp” trong thời kỳ đại dịch Giả danh Apple yêu cầu cập nhật tài khoản khi có sản phẩm mới ra mắt Ngoài ra, URL rút gọn (bit.ly, tinyurl...) thường được sử dụng để che giấu liên kết độc hại. Chúng dễ dàng được chia sẻ trên mạng xã hội, diễn đàn, gây khó khăn cho người dùng trong việc kiểm tra tính hợp pháp của đường dẫn.

2.3. Tấn công vì động cơ tài chính – Phishing dẫn tới Ransomware

Một trong những mục tiêu chính của phishing là trục lợi tài chính. Với sự phát triển mạnh của các dịch vụ cloud storage (Google Drive, OneDrive, Dropbox…), nhiều doanh nghiệp trở thành nạn nhân khi hacker chiếm quyền truy cập, mã hóa dữ liệu và đòi tiền chuộc.

Tình huống thực tế: Một doanh nghiệp bị đánh cắp dữ liệu kế toán lưu trên Google Drive. Hacker mã hóa toàn bộ và yêu cầu chuộc 200.000 USD. Nếu không, họ đe dọa công khai thông tin khách hàng.

Bên cạnh đó, tin tặc còn tái sử dụng thông tin đăng nhập để xâm nhập vào các dịch vụ khác (Facebook, Gmail, Microsoft 365...), từ đó mở rộng quyền truy cập và kiếm lời từ việc đánh cắp danh tính.

Ngoài 3 hình thức truyền thống, năm 2025 ghi nhận các kỹ thuật phishing tinh vi hơn:

AI-generated phishing: Tin tặc dùng AI để tạo nội dung email thuyết phục hơn, thậm chí dùng giọng nói Deepfake để gọi điện giả danh.

Quishing (QR Code Phishing): Mã QR dẫn tới trang web giả mạo, phổ biến trong nhà hàng, sự kiện, hoặc QR trên hóa đơn điện tử.

Phishing trên nền tảng SaaS: Tấn công nhắm vào người dùng các nền tảng như Google Workspace, Microsoft Teams, Notion…

Tìm hiểu giải pháp bảo mật email doanh nghiệp với công nghệ AI hiện đại

Để giảm thiểu rủi ro từ phishing, các doanh nghiệp nên triển khai các biện pháp sau:

Đào tạo nhận thức nhân viên: Tổ chức các khóa học định kỳ về an toàn thông tin, nhận biết dấu hiệu phishing.

Xác thực email với SPF, DKIM, DMARC Triển khai các bản ghi xác thực email giúp hệ thống máy chủ nhận biết email đến từ đâu, xác minh tính hợp pháp của người gửi. Điều này ngăn chặn việc kẻ tấn công giả mạo domain hoặc gửi email từ địa chỉ trông giống thật

EG-Platform của VNETWORK là giải pháp bảo mật email toàn diện, đạt chuẩn quốc tế (ITU, ISO, CC-EAL2), giúp:

• Phát hiện email giả mạo, tên miền gần giống
• Ngăn chặn mã độc zero-day, ransomware, APT
• Phân tích hành vi người gửi & độ tin cậy
• Quản lý email chiều gửi để tránh rò rỉ dữ liệu
• Tăng cường SOC giám sát 24/7: Hệ thống cảnh báo sớm giúp doanh nghiệp phản ứng kịp thời khi có sự cố.

Phishing vẫn là mối đe dọa hàng đầu đối với an ninh mạng doanh nghiệp trong kỷ nguyên số. Các cuộc tấn công ngày càng tinh vi, khó phát hiện bằng mắt thường. Vì vậy, việc đầu tư vào giải pháp bảo mật email thông minh, kết hợp đào tạo nhận thức là chìa khóa giúp doanh nghiệp chủ động ứng phó và bảo vệ dữ liệu an toàn.

Liên hệ VNETWORK để được tư vấn miễn phí về giải pháp bảo mật email EG-Platform chuẩn quốc tế.