Các Cuộc Tấn Công Phishing: Cách Chúng Hoạt Động & Cách Phòng Chống

Dòng Dưới Cùng: Phishing là một trong những vectơ tấn công mạng phổ biến nhất, sử dụng các email, cuộc gọi và trang web giả để đánh cắp thông tin xác thực. Phòng chống hiệu quả yêu cầu kết hợp các công cụ bảo mật với sự cảnh báo liên tục và một nền văn hóa hoài nghi đối với các liên lạc không được yêu cầu.

Tội phạm mạng không ngừng cải tiến chiêu thức để đánh cắp thông tin cá nhân và xâm nhập hệ thống. Lừa đảo qua mạng (phishing) vẫn là vũ khí hiệu quả nhất của chúng. Trung tâm Khiếu nại Tội phạm Internet (IC3) của FBI đã tiếp nhận 298.878 khiếu nại về lừa đảo và giả mạo qua mạng trong năm 2023[1], nhiều hơn bất kỳ loại tội phạm nào khác mà cơ quan này theo dõi. Báo cáo Điều tra Vi phạm Dữ liệu 2024 của Verizon cũng cho thấy thời gian trung bình để một người dùng mắc bẫy email lừa đảo là dưới 60 giây[2].

Các cuộc tấn công này sử dụng các email, cuộc gọi điện thoại, tin nhắn văn bản và trang web giả để lừa mọi người trao các thông tin xác thực. Hiểu cách mỗi loại hoạt động là bước đầu tiên để xây dựng một phòng chống thực sự.

Loại lừa đảo	Phương thức	Mục tiêu chính
Lừa đảo qua email	Gửi hàng loạt email giả mạo thương hiệu uy tín	Đối tượng rộng — thông tin đăng nhập, thông tin thanh toán
Lừa đảo nhắm mục tiêu (spear phishing)	Email cá nhân hóa dựa trên thông tin đã biết về nạn nhân	Cá nhân hoặc tổ chức cụ thể
Vishing	Gọi thoại mạo danh ngân hàng hoặc bộ phận hỗ trợ kỹ thuật	Thông tin tài chính, quyền truy cập tài khoản
Smishing	Tin nhắn SMS giả chứa liên kết độc hại	Người dùng di động, lừa đảo giao hàng/bưu kiện
Whaling	Tấn công có chủ đích cao nhắm vào giám đốc điều hành hoặc C-suite	Chuyển khoản, dữ liệu doanh nghiệp nhạy cảm (nhóm tấn công liên quan là thư điện tử doanh nghiệp bị xâm phạm (BEC) đã gây ra thiệt hại được báo cáo 2,9 tỷ USD trong năm 2023[1])
Pharming	Âm thầm chuyển hướng các URL hợp pháp đến trang web giả	Thông tin đăng nhập trên quy mô lớn
Clone phishing	Sao chép một email thật và thay liên kết độc hại vào	Nạn nhân tin tưởng người gửi gốc

Cách Phát Hiện Một Nỗ Lực Phishing

Các tin nhắn phishing chia sẻ các dấu hiệu cảnh báo phổ biến. Phát hiện chúng một cách nhanh chóng sẽ ngăn chặn việc đánh cắp thông tin xác thực và nhiễm phần mềm độc hại.

Kiểm tra địa chỉ người gửi. Những kẻ tấn công thường giả mạo tên hiển thị nhưng sử dụng các miền có chính tả sai. Một email từ “support@amaz0n-security.com” không phải từ Amazon. Di chuột qua trường người gửi để tiết lộ địa chỉ thực tế.

Tìm dấu hiệu khẩn cấp và đe dọa. Các thông báo kiểu “Tài khoản của bạn sẽ bị khóa trong 24 giờ” gây áp lực khiến bạn hành động mà không suy nghĩ kỹ. CISA liệt kê ngôn ngữ khẩn cấp hoặc gây xúc động[3], đặc biệt là những thông báo cảnh báo hậu quả nghiêm trọng nếu không phản hồi ngay lập tức, là một dấu hiệu cảnh báo quan trọng.

Kiểm tra các liên kết trước khi nhấp. Di chuột qua bất kỳ liên kết nào để xem trước URL đích. Nếu văn bản liên kết nói “bankofamerica.com” nhưng URL chỉ tới “boa-secure-login.xyz,” hãy đóng tin nhắn ngay lập tức.

Chú ý đến lỗi ngữ pháp và định dạng, nhưng đừng chỉ dựa vào chúng. Lỗi chính tả, khoảng cách bất thường và logo không nhất quán có thể là dấu hiệu của một thông điệp lừa đảo. Tuy nhiên, CISA lưu ý rằng các thông điệp do AI viết có thể có ngữ pháp hoàn hảo[3], vì vậy hãy kiểm tra người gửi, liên kết và chính yêu cầu trong thông điệp.

Các Thực Hành Phòng Chống Tốt Nhất Thực Sự Hoạt Động

Phát hiện một mình là không đủ. Các tổ chức và cá nhân cần các phòng chống theo lớp để chặn các nỗ lực phishing trước khi chúng đến được hộp thư đến.

Bật xác thực đa yếu tố (MFA). Microsoft cho biết MFA có thể chặn hơn 99,9% các cuộc tấn công xâm phạm tài khoản[4]. Ngay cả khi kẻ tấn công đánh cắp mật khẩu của bạn, chúng cũng không thể truy cập tài khoản nếu thiếu yếu tố xác thực thứ hai. Khi có thể, hãy chọn các phương thức chống lừa đảo như khóa bảo mật, bởi vì hướng dẫn về lừa đảo của CISA[5] ưu tiên MFA chống lừa đảo cho các tài khoản quản trị viên.

Triển khai các giao thức xác thực email. Cấu hình các bản ghi SPF, DKIM và DMARC cho tên miền của bạn. Kết hợp lại, chúng xác minh máy chủ gửi của các email nhận được bằng cách kiểm tra các quy tắc đã được công bố[5], và chỉ thị của CISA dành cho các cơ quan liên bang cho biết chính sách DMARC ở chế độ reject mang lại khả năng bảo vệ mạnh nhất trước email giả mạo[6].

Thường xuyên đào tạo nhận thức bảo mật. Đào tạo giúp mọi người nhận biết và báo cáo lừa đảo qua email: báo cáo năm 2024 của Verizon cho thấy 20% người dùng đã báo cáo lừa đảo trong các đợt mô phỏng tấn công[2], trong đó có 11% số người đã từng nhấp vào liên kết. Vì hầu hết mọi người hành động trong vòng một phút, hãy lặp lại việc đào tạo đủ thường xuyên để thói quen cảnh giác luôn được duy trì.

Sử dụng lọc DNS bảo vệ. CISA khuyến nghị một trình phân giải DNS bảo vệ[5] để ngăn kẻ tấn công chuyển hướng người dùng đến các trang web độc hại nhằm đánh cắp thông tin đăng nhập, và nêu tên các lựa chọn miễn phí như OpenDNS Home và Cloudflare Zero Trust Services.

Triển khai nút báo cáo lừa đảo. Cung cấp cho nhân viên một tùy chọn một chạm để báo cáo email đáng ngờ. CISA gọi việc báo cáo hoạt động lừa đảo đáng ngờ[5] là một trong những phương pháp hiệu quả nhất để bảo vệ tổ chức.

Các Bước Phản Ứng Phishing Khi Một Cuộc Tấn Công Thành Công

Ngay cả những phòng chống tốt nhất cũng thỉnh thoảng thất bại. Một kế hoạch phản ứng sự cố rõ ràng giới hạn thiệt hại và tăng tốc độ phục hồi.

Cô lập tài khoản bị ảnh hưởng ngay lập tức. Đặt lại mật khẩu bị xâm phạm và thu hồi các phiên hoạt động. Nếu MFA không được bật, hãy bật nó ngay bây giờ.

Thông báo ngay cho nhóm bảo mật của bạn. CISA khuyến nghị các tổ chức báo cáo sự cố lừa đảo qua mạng (phishing) một cách kịp thời[5]. Báo cáo nhanh giúp đội ứng phó có thời gian chặn hạ tầng của kẻ tấn công trước khi nó lan sang các tài khoản khác.

Quét để tìm phần mềm độc hại. Nếu nạn nhân nhấp vào một liên kết hoặc tải xuống một tệp đính kèm, hãy chạy một quét điểm cuối đầy đủ. Cách ly thiết bị khỏi mạng cho đến khi quét hoàn tất.

Ghi chép mọi thứ. Ghi lại các tiêu đề email phishing, URL, dấu thời gian và bất kỳ hành động nào được thực hiện. Bằng chứng này hỗ trợ điều tra pháp y và báo cáo quy định.

Giao tiếp với các bên bị ảnh hưởng. Nếu dữ liệu khách hàng bị lộ, hãy thông báo cho các cá nhân bị ảnh hưởng theo luật thông báo vi phạm của khu vực pháp lý của bạn. Sự minh bạch bảo tồn niềm tin.

Kết Luận Cuối Cùng

Phishing vẫn là một trong những mối đe dọa cố định nhất trong an ninh mạng. Những kẻ tấn công thích ứng nhanh chóng, chuyển từ email sang SMS sang cuộc gọi thoại khi phòng chống cải thiện trong bất kỳ kênh nào.

Kỹ năng phát hiện, kiểm soát kỹ thuật theo lớp và đào tạo thường xuyên tạo thành nền tảng của phòng chống hiệu quả. Các giao thức xác thực email như DMARC dừng giả mạo miền. Xác thực đa yếu tố làm cho các thông tin xác thực bị đánh cắp vô hiệu. Đào tạo hàng quý giữ cho nhận thức phishing sắc nét trên toàn tổ chức của bạn.

Một kế hoạch phản ứng sự cố mạnh mẽ đảm bảo rằng khi một cuộc tấn công trượt qua, nhóm của bạn sẽ chứa thiệt hại trong vòng phút thay vì ngày. Ghi chép các quy trình phản ứng của bạn, gán các vai trò rõ ràng và luyện tập chúng thường xuyên.

Phòng chống phishing không phải là một dự án một lần. Nó yêu cầu chú ý liên tục, công cụ được cập nhật và một nền văn hóa bảo mật nhận thức ở mọi cấp độ của tổ chức của bạn.

Tài liệu tham khảo

1. IC3. 2024. 2023 IC3Report. Truy xuất 16 tháng 10, 2026 từ https://www.ic3.gov/AnnualReport/Reports/2023_IC3Report.pdf.Đã lưu trữ: Ảnh chụp Wayback Machine
2. Verizon. k.n.g. 2024 Dbir Data Breach Investigations Report. Truy xuất 16 tháng 10, 2026 từ https://www.verizon.com/business/resources/Tfc3/reports/2024-dbir-data-breach-investigations-report.pdf.
3. Cybersecurity and Infrastructure Security Agency CISA. k.n.g. Recognize and Report Phishing. Truy xuất 16 tháng 10, 2026 từ https://www.cisa.gov/secure-our-world/recognize-and-report-phishing.Đã lưu trữ: Ảnh chụp Wayback Machine
4. M. Maynes. 2019. One simple action you can take to prevent 99.9 percent of attacks on your accounts. Microsoft Security Blog (20 tháng 8, 2019). Truy xuất 16 tháng 10, 2026 từ https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/.Đã lưu trữ: Ảnh chụp Wayback Machine
5. CISA. 2023. Phishing Guidance: Stopping the Attack Cycle at Phase One. Truy xuất 16 tháng 10, 2026 từ https://www.cisa.gov/sites/default/files/2025-03/Phishing%20Guidance%20-%20Stopping%20the%20Attack%20Cycle%20at%20Phase%20One%20508.pdf.Đã lưu trữ: Ảnh chụp Wayback Machine
6. Cybersecurity and Infrastructure Security Agency CISA. k.n.g. BOD 18-01: Enhance Email and Web Security. Truy xuất 16 tháng 10, 2026 từ https://www.cisa.gov/news-events/directives/bod-18-01-enhance-email-and-web-security.Đã lưu trữ: Ảnh chụp Wayback Machine

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ nghiên cứu của chúng tôi, miễn phí xem và chia sẻ.

• 

• Tấn công phishing và kỹ thuật xã hộiPDF · 0.7 MB

Các Câu Hỏi Thường Gặp

Tất cảCách hoạt độngMối Đe DọaBảo vệThực Hành Tốt Nhất

Lừa đảo phishing là gì và kẻ tấn công thực hiện nó như thế nào?

Lừa đảo phishing hoạt động bằng cách mạo danh người gửi đáng tin cậy thông qua email, cuộc gọi, tin nhắn hoặc trang web giả mạo, nhằm lừa nạn nhân cung cấp thông tin đăng nhập hoặc tiền bạc. Trung tâm Khiếu nại Tội phạm Internet (IC3) của FBI đã ghi nhận 298.878 đơn khiếu nại về phishing và giả mạo trong năm 2023. Kẻ tấn công dựa vào sự thúc giục, tên miền giả mạo và thương hiệu được bắt chước thay vì các lỗ hổng kỹ thuật để đạt được mục đích.

Sự khác biệt giữa phishing qua email, spear phishing và whaling là gì?

Phishing qua email gửi hàng loạt các email thương hiệu giả tới một khán giả rộng để tìm kiếm thông tin xác thực hoặc thông tin thanh toán, trong khi spear phishing cá nhân hóa các tin nhắn bằng cách sử dụng các chi tiết đã biết về một mục tiêu cụ thể. Whaling đi xa hơn, nhắm mục tiêu vào các giám đốc điều hành và C-suite cụ thể để ủy quyền chuyển khoản hoặc rò rỉ dữ liệu công ty nhạy cảm. Cuộc tấn công có mục tiêu càng cao, nó thường càng thuyết phục và tốn kém.

Vishing và smishing là gì, và chúng khác với phishing qua email như thế nào?

Vishing sử dụng các cuộc gọi thoại mạo danh ngân hàng hoặc hỗ trợ kỹ thuật để trích xuất thông tin tài chính và quyền truy cập tài khoản, trong khi smishing gửi các tin nhắn SMS giả với các liên kết độc hại, thường được ngụy trang dưới dạng thông báo giao hàng hoặc bưu kiện. Cả hai đều bỏ qua email hoàn toàn, cho phép chúng vượt qua các giao thức xác thực email như DMARC và khai thác sự tức thời mà mọi người liên kết với các cuộc gọi và tin nhắn điện thoại.

Pharming là gì và tại sao nó khó phát hiện hơn một email giả?

Pharming chuyển hướng các URL hợp pháp tới các trang web giả một cách âm thầm, mà không cần email hoặc liên kết đáng ngờ, vì vậy các nạn nhân lên một trang đăng nhập giả mạo ngay cả sau khi tự nhập đúng địa chỉ. Nó nhắm mục tiêu thông tin xác thực đăng nhập quy mô lớn thay vì một nạn nhân cùng một lúc, và không có lôi cuốn rõ ràng như sự khẩn cấp hoặc một miền có chính tả sai để phát hiện.

Clone phishing là gì?

Clone phishing sao chép một email thực, trước đây đã được gửi và thay đổi một liên kết độc hại, dựa vào thực tế là nạn nhân đã tin tưởng người gửi ban đầu và tin nhắn. Vì bản sao trông gần giống với cái gì đó hợp pháp mà người nhận đã thấy, nó vượt qua sự hoài nghi mà một email lạnh, không mong muốn thường kích hoạt.

Những dấu hiệu nhận biết email lừa đảo (phishing) là gì?

Có bốn dấu hiệu cảnh báo cho thấy nhiều email lừa đảo. Hãy kiểm tra địa chỉ người gửi xem có tên miền viết sai như “amaz0n-security.com” hay không, chú ý đến những nội dung tạo cảm giác khẩn cấp như “tài khoản của bạn sẽ bị khóa sau 24 giờ”, di chuột qua liên kết để xem trước địa chỉ đích thực sự, và tìm các lỗi định dạng, mặc dù các thư do AI viết có thể không có lỗi nào.

Xác thực đa yếu tố ngăn các cuộc tấn công lừa đảo thành công như thế nào?

Microsoft cho biết xác thực đa yếu tố (MFA) có thể chặn hơn 99,9% các cuộc tấn công xâm nhập tài khoản, vì một mật khẩu bị đánh cắp không đủ để đăng nhập nếu thiếu yếu tố thứ hai. Ngay cả khi một email lừa đảo thu thập thành công thông tin đăng nhập của bạn, MFA vẫn chặn kẻ tấn công ở màn hình đăng nhập, khiến đây trở thành một trong những biện pháp phòng vệ có tác động lớn nhất hiện có.

SPF, DKIM và DMARC là gì, và bạn có cần cả ba không?

SPF, DKIM và DMARC là các giao thức xác thực email được cấu hình ở cấp tên miền, giúp xác minh rằng thư đến thực sự xuất phát từ người gửi được khai báo. Có, chúng hoạt động cùng nhau chứ không thay thế cho nhau: DMARC dựa trên SPF và DKIM để quyết định xử lý thế nào với thư không vượt qua kiểm tra. CISA cho biết chính sách DMARC ở chế độ reject mang lại khả năng bảo vệ mạnh nhất trước email mạo danh.

Nên tổ chức đào tạo nhận thức an ninh bao lâu một lần để thực sự giảm rủi ro?

Cần đủ thường xuyên để thói quen được duy trì. Báo cáo năm 2024 của Verizon cho thấy thời gian trung vị để một người dùng mắc bẫy email lừa đảo là dưới 60 giây, và chỉ 20% người dùng báo cáo lừa đảo trong các đợt mô phỏng. Các đợt ôn tập ngắn, thường xuyên, cùng với một cách báo cáo dễ dàng, là phản ứng thiết thực trước những con số đó.

Những công cụ nào chặn trang web lừa đảo trước khi nhân viên kịp nhấp vào?

Lọc DNS bảo vệ ngăn người dùng kết nối tới các trang web độc hại đã biết, và CISA gợi ý một số lựa chọn miễn phí như OpenDNS Home và Cloudflare Zero Trust Services. Kết hợp với nút báo cáo lừa đảo chỉ cần một cú nhấp chuột, nhân viên có thể đánh dấu email đáng ngờ ngay lập tức, và CISA gọi đây là một trong những cách hiệu quả nhất để bảo vệ tổ chức.

Tôi nên làm gì trước tiên nếu tôi nhấp vào một liên kết phishing hoặc nhập mật khẩu của mình?

Cô lập tài khoản ngay lập tức: đặt lại mật khẩu bị xâm phạm và thu hồi tất cả các phiên hoạt động, sau đó bật MFA nếu nó chưa được bật. Chạy một quét điểm cuối đầy đủ để tìm phần mềm độc hại nếu bạn nhấp vào một liên kết hoặc tải xuống một tệp đính kèm, và cách ly thiết bị khỏi mạng cho đến khi quét đó hoàn tất.

Một công ty nên báo cáo sự cố lừa đảo qua email nội bộ nhanh đến mức nào?

Hãy thông báo ngay cho đội bảo mật ngay sau khi nghi ngờ bị xâm nhập. CISA khuyến nghị các tổ chức nhanh chóng báo cáo sự cố lừa đảo, vì việc phản ứng nhanh giúp đội ứng phó có thời gian chặn hạ tầng của kẻ tấn công trước khi nó lan sang các tài khoản khác. Hãy tính theo phút, không phải theo ngày.

Kế hoạch phản ứng sự cố tốt bao gồm những gì sau khi thông tin xác thực bị đánh cắp?

Một kế hoạch phản ứng phishing vững chắc ghi chép mọi thứ: tiêu đề email phishing, URL, dấu thời gian và mọi hành động được thực hiện, điều này hỗ trợ điều tra pháp y và báo cáo quy định. Nó cũng cô lập các tài khoản bị ảnh hưởng, quét các thiết bị để tìm phần mềm độc hại và thông báo cho các cá nhân bị ảnh hưởng theo luật thông báo vi phạm của khu vực pháp lý của bạn nếu dữ liệu khách hàng bị lộ.