> ## Documentation Index > Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt > Use this file to discover all available pages before exploring further. # Blog - Kỹ sư xã hội: Sói đội lốt cừu > Chúng tôi dám chắc rằng bạn đã ít nhất một hai lần nghe đến thuật ngữ kỹ thuật xã hội (social engineering) xuất hiện dày đặc trên các bản tin — suy cho cùng, đây là nguyên nhân phổ biến nhất gây ra các vụ xâm phạm an ninh mạng. Chúng tôi dám chắc rằng bạn đã ít nhất một hai lần nghe đến thuật ngữ kỹ thuật xã hội (social engineering) xuất hiện dày đặc trên các bản tin — suy cho cùng, đây là nguyên nhân phổ biến nhất gây ra các vụ xâm phạm an ninh mạng. Nhưng kỹ thuật xã hội thực sự có nghĩa là gì? ### Kỹ thuật xã hội là gì? Kỹ thuật xã hội là hình thức tội phạm mạng có được quyền truy cập, thông tin hoặc tài nguyên mà chúng không được phép có, bằng cách thao túng con người thay vì công nghệ. Mặc dù bạn có thể nghĩ rằng cách phổ biến nhất để tin tặc xâm nhập hệ thống là vượt qua tường lửa hoặc sử dụng một thuật toán bẻ khóa mật khẩu cầu kỳ, nhưng trong phần lớn trường hợp, các vụ xâm phạm xảy ra do kỹ thuật xã hội. Thay vì nhắm vào các rào cản công nghệ, tin tặc “thiết kế” cách thao túng những người trong tổ chức của bạn, dựa trên giả định rằng con người là điểm yếu bảo mật lớn nhất của công ty. Những kẻ xấu dựng nên một tình huống “xã hội” (thường là một vấn đề do chính tin tặc tạo ra!) — do đó mới có tên gọi là kỹ thuật xã hội. Nói một cách đơn giản, kẻ tấn công kỹ thuật xã hội bịa ra một câu chuyện thực sự thuyết phục để đánh lừa bạn làm điều gì đó cho chúng hoặc cấp cho chúng quyền truy cập vào thông tin riêng tư. ![Hình ảnh tài nguyên](https://media2.giphy.com/media/XAa0QJ3sZXO3P3ppsO/giphy.gif) ### Kỹ thuật này hoạt động như thế nào? Tội phạm mạng sử dụng nhiều kỹ thuật tâm lý khác nhau để giành được - rồi phản bội - lòng tin của bạn. Sau đây là một vài kỹ thuật. #### Mồi cảm xúc (Priming) Mồi cảm xúc là khi kẻ tấn công kỹ thuật xã hội tạo sắc thái cảm xúc cho cuộc trò chuyện để phá vỡ sự ngại ngùng và trông đáng tin cậy hơn. Điều này khiến nạn nhân dễ trả lời các câu hỏi của chúng hơn. Có thể chúng mở đầu cuộc trò chuyện bằng việc kể về một buổi sáng tồi tệ, hoặc phát tệp âm thanh tiếng trẻ con chạy nhảy ở phía sau, rồi giả vờ nhắc các con im lặng vì bố/mẹ đang nghe điện thoại. Trẻ con mà, đúng không? #### Định khung (Framing) Bạn còn nhớ những chương trình quảng cáo bán hàng trên truyền hình không (hồi chúng ta còn xem một đoạn quảng cáo OxiClean dài 20 phút chỉ vì yêu thích Billy Mays)? Họ sẽ không bao giờ nói thẳng giá sản phẩm. Thay vào đó, họ sẽ nói “Chỉ 49,99 đô la” hoặc “Sáu lần thanh toán dễ dàng, mỗi lần 12,99 đô la!” Đây chính là định khung; thông tin được trình bày theo cách thao túng cách bạn tiếp nhận nó. 78 đô la có vẻ đắt kinh khủng, nhưng sáu lần thanh toán dễ dàng, mỗi lần 13 đô la lại có vẻ như món hời. Tội phạm mạng cũng làm điều tương tự; chúng sẽ đưa ra thông tin hoặc yêu cầu theo những cách khéo léo nhằm định hướng phản ứng của bạn. Lần tới khi nhận được email từ một người lạ cho biết không thể nuôi nổi gia đình trừ khi bạn gửi cho anh ta một thẻ quà tặng iTunes, hãy tự hỏi: “nếu anh ta chỉ hỏi thẳng tôi điều này, liệu tôi có đồng ý không?” #### Tâm lý sợ mất mát (Loss Aversion) Nếu vào thời điểm phong trào Tidying Up with Marie Kondo đang bùng nổ, bạn bắt tay vào dọn dẹp nhà cửa nhưng rồi nhận ra mình gần như không nỡ bỏ bất cứ thứ gì, thì bạn không hề đơn độc. Con người cực kỳ ngại từ bỏ những thứ mình sở hữu. Kẻ tấn công kỹ thuật xã hội tận dụng điều này bằng cách nhử nạn nhân tiềm năng bằng nguy cơ mất đi một thứ gì đó - thường là tiền - làm mờ khả năng phán đoán và khiến họ sẵn sàng hợp tác hoặc chia sẻ thông tin cá nhân hơn. #### Thiên kiến quyền uy (Authority Bias) Bạn mất bao lâu để nhận ra rằng cha mẹ không phải lúc nào cũng đúng? Con người thường có xu hướng tin tưởng theo phản xạ vào ý kiến của những người có quyền lực đối với mình; họ cũng có khả năng cao hơn nhiều trong việc hành động trái với lợi ích của bản thân khi được một người có thẩm quyền yêu cầu. Kẻ tấn công kỹ thuật xã hội thường giả danh người có thẩm quyền, chẳng hạn như lãnh đạo cấp cao, để khiến nạn nhân tiềm năng không dám xem xét kỹ các yêu cầu của chúng. #### Thiên kiến quen thuộc (Familiarity Bias) Bạn đang ở một quán ăn và gọi nước ngọt, cô phục vụ hỏi bạn muốn Coke hay Dacey Fizz. Bạn chọn loại nào? Coke, đúng không? Khi phải lựa chọn, con người có khả năng chọn (và tin tưởng) phương án quen thuộc nhất cao hơn đáng kể. Kẻ tấn công kỹ thuật xã hội có thể tận dụng điều này bằng cách đưa ra nhiều hướng hành động và tin rằng bạn sẽ chọn phương án quen thuộc nhất - chính là phương án chúng muốn bạn chọn. ![Hình ảnh tài nguyên](https://media0.giphy.com/media/l0HlxoXbk3BNVz2IU/giphy.gif) ### Một số ví dụ là gì? Mặc dù bạn có thể nghĩ rằng cách phổ biến nhất để tin tặc xâm nhập hệ thống là vượt qua tường lửa hoặc sử dụng một thuật toán bẻ khóa mật khẩu cầu kỳ, nhưng trong phần lớn trường hợp, các vụ xâm phạm xảy ra do kỹ thuật xã hội. #### Lừa đảo qua mạng (Phishing) Lừa đảo qua mạng (phishing) là hình thức kỹ thuật xã hội phổ biến nhất - trong đó loại phổ biến nhất là các email lừa đảo. Những email này dụ bạn chia sẻ thông tin riêng tư, nhấp vào một liên kết hoặc mở một tệp đính kèm làm nhiễm phần mềm độc hại vào thiết bị của bạn. Chúng tôi sẽ nói thêm về phishing vào tháng tới. Smishing và Vishing là các biến thể của phishing, lần lượt xảy ra qua tin nhắn văn bản và cuộc gọi thoại. Kẻ tấn công có thể để ID người gọi hiển thị bất kỳ tên nào chúng chọn, nhờ đó giả danh một người mà bạn tin tưởng và nói rằng chúng vừa đổi số mới hoặc cần bạn làm giúp một việc. VÍ DỤ: Bạn nhận được một tin nhắn thoại “khẩn cấp” từ Janet ở chi nhánh khác, nói rằng cơ sở dữ liệu của cô ấy bị ngừng hoạt động và cô ấy cần ngay thông tin tài khoản của một khách hàng cụ thể. Khi bạn gọi lại cho “Janet”, bạn chia sẻ thông tin cá nhân với kẻ lừa đảo, và hắn dùng dữ liệu đó để xâm phạm tài khoản ngân hàng của khách hàng nói trên. #### Xâm nhập vật lý Đôi khi kẻ tấn công kỹ thuật xã hội giả danh nhân viên hoặc những gương mặt thân thiện như nhân viên giao hàng để vào bên trong tòa nhà, rồi khi không có ai giám sát, chúng xâm phạm máy tính hoặc lục lọi giấy tờ riêng tư. VÍ DỤ: Một người mặc đồng phục bưu tá đi phía sau bạn, loay hoay ôm một chồng bưu kiện. Bạn lịch sự giữ cửa cho họ khi bước vào văn phòng, nhưng hóa ra người bưu tá đó là tội phạm mạng cải trang. Trong các bưu kiện có gì? Các thiết bị tấn công, mà chúng cắm vào máy tính và máy chủ của công ty để xâm phạm mạng của bạn. ### Kiến thức là sức mạnh! Kẻ tấn công kỹ thuật xã hội là bậc thầy thao túng, nhưng chúng không có khả năng điều khiển tâm trí. Đúng là tin tặc sẽ cố đánh lừa bạn, nhưng bạn nắm trong tay sức mạnh để bảo vệ tổ chức của mình tốt hơn. Khi tìm hiểu thêm về các kỹ thuật tấn công xã hội, bạn đang trang bị cho mình kiến thức cần thiết để nhận diện kẻ xấu. Hãy tự hào về tác động của mình và chia sẻ những hiểu biết mới có được với đồng nghiệp (và người thân) để mọi người cùng được an toàn. ![Hình ảnh tài nguyên](https://media0.giphy.com/media/S64lALNmPWIWloPJ9L/giphy.gif) This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.