Cách thức kẻ giả danh IT tiếp cận nhân viên
Giả mạo IT Support trên Teams là hình thức tấn công phi kỹ thuật, trong đó kẻ gian dùng tài khoản bên ngoài đóng giả nhân viên hỗ trợ để dụ người lao động cấp quyền truy cập hoặc tiết lộ thông tin đăng nhập. Đây không phải là khai thác lỗ hổng phần mềm: tin tặc lợi dụng tính năng trò chuyện với người dùng bên ngoài và sự tin tưởng vào công cụ quen thuộc. Arctic Wolf ghi nhận hơn 400 vụ việc theo cùng mô thức, trong đó Teams được dùng để xâm nhập ban đầu vào môi trường doanh nghiệp. Kẻ tấn công có thể tạo tài khoản Microsoft 365 mới với tên hiển thị như “IT Support (Internal)”. Một số chiến dịch mở màn bằng hàng trăm, thậm chí hàng nghìn thư rác để làm chìm email quan trọng, rồi gửi tin nhắn hoặc gọi qua Teams, giả vờ đang giúp xử lý sự cố hộp thư. Vì vậy, Teams bảo mật giả mạo không phải chuyện có thể bỏ qua chỉ vì tin nhắn xuất hiện trong ứng dụng công việc.
Dấu hiệu đáng ngờ và việc cần làm ngay
Hãy cảnh giác với lời đề nghị hỗ trợ bạn không yêu cầu, nhất là khi người gửi thúc ép phải xử lý ngay hoặc muốn chuyển cuộc trao đổi sang cuộc gọi. Kẻ gian có thể lợi dụng tình trạng hộp thư tràn thư rác để tạo cảm giác khẩn cấp, khiến bạn làm theo trước khi kịp kiểm tra. Yêu cầu đặt lại mật khẩu, cài phần mềm, chạy lệnh, mở phiên điều khiển từ xa hoặc cung cấp mã truy cập qua chat đều cần được xác minh độc lập. Đừng gửi mật khẩu, mã xác thực hay mã Quick Assist cho người liên hệ bất ngờ; mã sáu chữ số có thể trao quyền điều khiển máy tính cho kẻ khác. Thay vì trả lời hoặc bấm theo hướng dẫn, hãy tự tìm số điện thoại hay cổng hỗ trợ nội bộ đã được công ty công bố và liên hệ tại đó. Mọi yêu cầu từ IT cần được xác nhận qua kênh chính thức trước khi bạn chia sẻ thông tin hoặc cấp quyền. Cách xử lý này giúp giảm rủi ro từ phishing IT support lẫn lừa đảo công việc.
- Dừng thao tác; không mở liên kết, cài công cụ hay cung cấp mã truy cập theo yêu cầu trong chat.
- Liên hệ bộ phận IT bằng kênh nội bộ quen thuộc, không dùng thông tin liên hệ do người nhắn gửi.
- Báo cáo tài khoản đáng ngờ cho IT hoặc bộ phận an ninh; nếu đã cấp quyền, báo ngay để họ xử lý.
Doanh nghiệp cần siết cấu hình và huấn luyện nhân viên
Bảo vệ tài khoản Teams không thể chỉ trông chờ vào sự cảnh giác của từng nhân viên. Quản trị viên nên rà soát quyền truy cập bên ngoài: nếu không cần trò chuyện với mọi tổ chức, hãy chuyển từ cho phép tất cả sang danh sách miền đối tác đáng tin cậy; có thể giới hạn quyền này theo nhóm người dùng hoặc bộ phận. Với kết nối bên ngoài vẫn cần thiết, hãy theo dõi cuộc trò chuyện mới từ tổ chức lạ và hoạt động bất thường liên quan đến công cụ điều khiển từ xa. Doanh nghiệp cũng cần nói rõ IT sẽ liên hệ như thế nào, những việc nhân viên tuyệt đối không được yêu cầu làm qua chat, và cách báo cáo tin nhắn giả mạo. Đào tạo nên dùng tình huống cụ thể như lời mời hỗ trợ không báo trước, yêu cầu cấp quyền gấp và cuộc gọi thúc ép, thay vì chỉ nhắc chung chung về phishing. Kết hợp chính sách Teams với huấn luyện và giám sát sẽ tạo thêm cơ hội phát hiện vụ việc trước khi một tin nhắn dẫn tới xâm nhập rộng hơn. Kết luận: hãy xác minh trước, cấp quyền sau.
