Kỹ nghệ xã hội

Định nghĩa ngắn gọn

Kỹ nghệ xã hội là thủ đoạn trong đó kẻ tấn công lợi dụng niềm tin, sự tò mò, nỗi sợ, lòng tham hoặc cảm giác cấp bách của con người, thay vì chỉ dựa vào lỗ hổng kỹ thuật, để dụ nhà giao dịch tiết lộ thông tin nhạy cảm, nhấp vào liên kết độc hại, cài phần mềm điều khiển từ xa hoặc chuyển tiền vào tài khoản được chỉ định.

Trong bối cảnh tài chính và giao dịch, đây không phải là một chiến lược giao dịch hợp pháp, mà là một dạng rủi ro gian lận mạng và lừa đảo đầu tư phổ biến. Nhà giao dịch mới đặc biệt cần cảnh giác, vì kẻ gian thường giả danh nhân viên hỗ trợ của công ty môi giới, nền tảng giao dịch, cơ quan quản lý, “chuyên gia” đầu tư hoặc người cung cấp “tin nội bộ”.

Cơ chế hoạt động

Kỹ nghệ xã hội thường diễn ra theo chuỗi “tạo lòng tin — gây áp lực — thúc đẩy hành động”:

Điểm quan trọng là: tấn công kỹ nghệ xã hội thường không giống một “cuộc tấn công của hacker”, mà trông như một cuộc trao đổi hỗ trợ khách hàng, một lời khuyên đầu tư hoặc một cảnh báo bảo mật tài khoản thông thường.

Các tình huống phổ biến trong giao dịch

1. Giả mạo bộ phận hỗ trợ của nền tảng

Kẻ tấn công liên hệ nhà giao dịch qua SMS, email, ứng dụng nhắn tin hoặc quảng cáo tìm kiếm, rồi tuyên bố rằng tài khoản có rủi ro, cần xác minh để rút tiền hoặc cần đăng nhập lại do nâng cấp hệ thống. Chúng thường đính kèm trang đăng nhập giả mạo. Sau khi nhà giao dịch nhập tên đăng nhập, mật khẩu và mã xác thực, tài khoản thật có thể bị chiếm quyền.

2. “Thầy” trong nhóm đầu tư dụ dỗ

Trong các nhóm chat, người tự xưng là chuyên gia thường đăng nhận định thị trường hoặc ảnh chụp lợi nhuận để xây dựng uy tín, sau đó hướng người dùng nạp tiền vào một nền tảng cụ thể hoặc sao chép giao dịch. Các tình huống này có thể liên quan đến nền tảng giao dịch giả, thao túng giá hoặc rủi ro không thể rút tiền.

3. Lừa đảo hỗ trợ từ xa

Kẻ gian nói rằng chúng có thể giúp mở quyền truy cập, khôi phục rút tiền hoặc điều chỉnh cài đặt tài khoản, rồi yêu cầu cài phần mềm điều khiển từ xa. Khi nhà giao dịch cấp quyền, đối phương có thể xem mã xác thực, thay đổi thông tin tài khoản hoặc thực hiện lệnh chuyển tiền.

4. Lừa đảo khóa riêng tư và cụm từ khôi phục trong tài sản mã hóa

Trong giao dịch tài sản mã hóa, bất kỳ ai yêu cầu khóa riêng tư, cụm từ khôi phục hoặc bản sao lưu ví đều nên được xem là đối tượng rủi ro cao. Các nền tảng giao dịch hoặc dịch vụ ví hợp pháp thường không yêu cầu người dùng cung cấp các thông tin này.

Ví dụ ngắn gọn

Một nhà giao dịch ngoại hối mới nhận được email có vẻ như đến từ công ty môi giới, với tiêu đề “Ký quỹ tài khoản bất thường, vui lòng xác minh trong 30 phút”. Liên kết trong email dẫn đến một trang rất giống website chính thức và yêu cầu nhập mật khẩu đăng nhập cùng mã xác thực SMS. Sau khi nhà giao dịch gửi thông tin, kẻ tấn công dùng dữ liệu đó đăng nhập vào tài khoản thật, thay đổi thông tin liên hệ và cố gắng rút tiền.

Trong ví dụ này, rủi ro cốt lõi không nằm ở việc dự đoán hướng thị trường, mà nằm ở giả mạo danh tính, tạo cảm giác cấp bách và làm lộ thông tin nhạy cảm.

Cách phòng tránh

• Không đăng nhập tài khoản giao dịch qua liên kết trong email, SMS hoặc ứng dụng nhắn tin: nên tự nhập địa chỉ website chính thức hoặc dùng ứng dụng chính thức đã lưu.
• Không cung cấp mã xác thực, mật khẩu, khóa riêng tư, cụm từ khôi phục hoặc quyền điều khiển từ xa cho bất kỳ ai: kể cả khi họ tự xưng là nhân viên hỗ trợ, cơ quan quản lý hoặc nhà phân tích.
• Xác minh kênh liên hệ: kiểm tra qua số điện thoại hỗ trợ, hộp thư nội bộ hoặc cổng hỗ trợ trong ứng dụng được công bố trên website chính thức của nền tảng.
• Cảnh giác với lời lẽ “xử lý trong thời hạn ngắn” và “đảm bảo lợi nhuận”: dịch vụ tài chính hợp pháp thường không yêu cầu chuyển tiền riêng qua ứng dụng chat hoặc cam kết lợi nhuận không rủi ro.
• Bật xác thực đa yếu tố (MFA): nhưng cần nhớ rằng mã xác thực không được chuyển tiếp cho người khác.
• Kiểm tra định kỳ cài đặt bảo mật tài khoản: bao gồm email liên kết, số điện thoại, địa chỉ rút tiền, quyền API và thiết bị đăng nhập.
• Khóa hoặc liên hệ nền tảng kịp thời khi phát hiện bất thường: nếu nghi ngờ tài khoản bị xâm nhập, hãy đổi mật khẩu ngay, thu hồi quyền đáng ngờ và liên hệ nhà cung cấp qua kênh chính thức.

Giới hạn rủi ro và phạm vi áp dụng

Rủi ro kỹ nghệ xã hội có thể xuất hiện trong cổ phiếu, ngoại hối, hợp đồng tương lai, CFD, tài sản mã hóa và các dịch vụ tài chính trực tuyến khác. Rủi ro này khác với biến động giá thị trường: ngay cả khi nhận định giao dịch đúng, tài khoản vẫn có thể bị thiệt hại nếu thông tin đăng nhập hoặc quyền truy cập bị lừa lấy mất.

Cần lưu ý rằng không phải mọi khoản lỗ hoặc tranh chấp với nền tảng đều là kỹ nghệ xã hội. Khi đánh giá, nên xem xét liệu có yếu tố giả mạo danh tính, liên kết giả, dụ tiết lộ thông tin, chuyển tiền riêng, điều khiển từ xa hoặc yêu cầu khẩn cấp bất thường hay không.

Thuật ngữ liên quan

• Tấn công lừa đảo (Phishing): dụ người dùng tiết lộ thông tin thông qua email, website hoặc tin nhắn giả mạo.
• Xác thực đa yếu tố (MFA): biện pháp bảo mật tài khoản bổ sung lớp xác minh ngoài mật khẩu.
• Chiếm đoạt tài khoản (Account Takeover): kẻ tấn công giành quyền kiểm soát tài khoản và thực hiện thao tác trái phép.
• Lừa đảo đầu tư (Investment Scam): dụ dỗ đầu tư bằng cơ hội giả, cam kết lợi nhuận hoặc giả danh chuyên gia.
• Phần mềm độc hại (Malware): phần mềm dùng để đánh cắp thông tin, điều khiển thiết bị từ xa hoặc phá hoại hệ thống.

Nguồn tham khảo

• https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/oiea/investor-alerts-and-bulletins
• https://www.ftc.gov/business-guidance/small-businesses/cybersecurity/phishing
• https://www.investopedia.com/terms/s/social-engineering.asp