Dựng một bản giả trông rất thật thì chẳng tốn gì. Logo, phông chữ, bố cục và cả cái ổ khóa trên thanh địa chỉ đều có thể chép lại trong một buổi chiều. Thứ duy nhất kẻ tấn công không chép được là tên miền, và đó là lý do mọi phép kiểm tra đáng tin đều quay về chuyện đọc URL cho đúng.
Các gói đăng ký nội dung người lớn hút kiểu tấn công này vì một lý do rất cụ thể: nạn nhân ít khi gọi tổng đài chăm sóc khách hàng, ít khi chuyển tiếp email cho đồng nghiệp, và ít khi làm ầm lên sau đó. Sự kín đáo chính là đòn bẩy. Nhận ra rằng chính nỗi ngại ngùng ấy là một phần trong thiết kế của cuộc tấn công đã là một cách phòng vệ.
Đọc một URL cho đúng là đọc thế nào?
Đọc từ phải sang, không phải từ trái sang. Tên miền đáng kể là nhãn nằm ngay trước tên miền cấp cao nhất.
Mọi thứ nằm bên trái chỗ đó đều do người kiểm soát tên miền tùy ý đặt, kể cả những chữ nghe rất yên tâm:
| URL hiển thị | Tên miền đã đăng ký | Kết luận |
|---|---|---|
account.example.com/billing |
example.com |
Thuộc về example.com |
example.com.billing-secure.xyz |
billing-secure.xyz |
Tên miền của kẻ tấn công |
example-billing.com |
example-billing.com |
Một tên miền hoàn toàn khác |
examp1e.com |
examp1e.com |
Đồng hình — chữ số một đứng thay chữ cái l |
example.com@evil.tld/pay |
evil.tld |
Mọi thứ trước dấu @ đều bị bỏ qua |
Còn hai cái bẫy nữa. Tên miền quốc tế hóa có thể hiển thị những ký tự Kirin hay
Hy Lạp trông y hệt ký tự La-tinh; trình duyệt thường hiện chúng dưới dạng
punycode xn--, nên một địa chỉ có xn-- trên một thương hiệu quen thuộc chắc
chắn là hàng giả. Còn trên di động thì thanh địa chỉ bị cắt ngắn — hãy chạm vào
đó để bung ra toàn bộ URL trước khi phán xét bất cứ điều gì.
Biểu mẫu nhập thẻ đúng ra phải nằm ở đâu?
Trên một trang mà bạn không tự mình mở tới, nó không nên tồn tại chút nào.
Phần lớn đơn vị bán hàng hợp pháp chẳng muốn động vào số thẻ của bạn, vì tự tay xử lý nó đặt lên họ một gánh nặng tuân thủ nặng hơn hẳn. Họ hoặc chuyển hướng bạn sang chính tên miền của đơn vị xử lý thanh toán, hoặc nhúng các ô nhập thẻ trong một iframe do đơn vị xử lý phục vụ. Kiểu nào thì số thẻ cũng được nhập vào trang của đơn vị xử lý, không phải trang của người bán.
Các phép kiểm tra thực tế:
- Có phải bạn là người khởi đầu chuyện này không? Một trang thanh toán bạn tới bằng cách bấm vào liên kết trong email là chuyện hoàn toàn khác với một trang bạn tới bằng cách gõ địa chỉ của site rồi đăng nhập. Chỉ cái thứ hai mới kiểm chứng được.
- Trang đó đã có thẻ của bạn chưa? Người đang đăng ký sẵn gần như không bao giờ bị yêu cầu gõ lại đầy đủ số thẻ. "Vui lòng xác nhận lại thông tin thanh toán" là một trong những dấu hiệu đơn lẻ mạnh nhất của hàng giả.
- Biểu mẫu có hỏi nhiều hơn mức một giao dịch cần không? Số thẻ, ngày hết hạn, CVC và mã bưu chính là một giao dịch. Thêm ngày sinh, số giấy tờ, mật khẩu tài khoản, tên thời con gái của mẹ hay ảnh chụp thẻ là đang đi thu gom thông tin đăng nhập.
- Yêu cầu nhập CVC có lặp lại không? Một quy trình thật chỉ hỏi một lần.
Những tín hiệu nào tách một trang giả khỏi một trang thanh toán thật?
Hãy so với những gì bản hợp pháp làm, thay vì đi soi lỗi sai — hàng giả thời nay rất ít lỗi.
| Tín hiệu | Trang lừa đảo | Trang hợp pháp |
|---|---|---|
| Bạn tới đó bằng cách nào | Liên kết trong email, tin nhắn riêng hay quảng cáo | Bạn tự gõ địa chỉ rồi đăng nhập |
| Tên miền | Trông na ná, có gạch nối hoặc chẳng liên quan | Chính tên miền đã đăng ký của site |
| Giọng điệu | Hạn chót, dọa khóa tài khoản, "thông báo cuối cùng" | Trung tính, không đếm ngược |
| Dữ liệu bị hỏi | Thẻ cộng mật khẩu cộng giấy tờ tùy thân | Chỉ các ô về thẻ |
| Nơi nhập thẻ | Các ô nằm ngay trên cùng trang đó | Tên miền của đơn vị xử lý hoặc iframe của họ |
| Đường liên hệ hỗ trợ | Số điện thoại hoặc liên kết chat ngay trên trang | Kênh liên hệ nằm bên trong tài khoản đã đăng nhập |
| Trạng thái đăng nhập | Bắt bạn đăng nhập lại để "xác minh" | Bạn vốn đã đăng nhập rồi |
| Ngôn ngữ | Ngữ pháp hơi lệch, đơn vị tiền tệ không nhất quán | Nhất quán với phần còn lại của site |
Còn những email nói rằng họ có clip quay lén bạn thì sao?
Hãy coi thư tống tiền tình dục là thư rác có kèm một lời dọa. Bản chuẩn của nó đọc ra một mật khẩu mà bạn nhận ra — lấy từ một danh sách rò rỉ dữ liệu cũ, chứ không phải từ thiết bị của bạn — và tuyên bố đang giữ các đoạn quay webcam.
Dấu hiệu lộ tẩy là những thư này không bao giờ kèm theo tư liệu, vì tư liệu đó không tồn tại. Chúng chỉ chứa một mật khẩu, một hạn chót và một địa chỉ ví. Nếu một kẻ tấn công thật sự có clip thật, thư đầu tiên đã đính kèm một khung hình rồi.
Cách phản ứng đúng là không trả gì, không hồi đáp gì, và đổi mật khẩu ở mọi tài khoản còn dùng cái mật khẩu bị đọc ra kia. Trả tiền là tự nhận mình thuộc nhóm người chịu trả, và chắc chắn sẽ kéo theo một đòi hỏi thứ hai.
Nếu bạn đã lỡ nhập thông tin rồi thì sao?
Ở đây thứ tự quan trọng hơn tốc độ, dù cả hai đều giúp ích.
| Bước | Vì sao nó nằm ở chỗ đó |
|---|---|
| 1. Gọi cho đơn vị phát hành thẻ theo số in trên thẻ | Khóa số thẻ là chặn được thiệt hại; tuyệt đối đừng dùng số lấy từ trang hay email đáng ngờ |
| 2. Đổi mật khẩu bạn vừa nhập, ngay trên site thật | Cứ giả định thông tin đăng nhập đã bị lấy ngay lúc bạn bấm gửi |
| 3. Đổi mật khẩu đó ở mọi nơi khác bạn từng dùng lại | Việc thử nhồi thông tin đăng nhập sang các dịch vụ khác diễn ra chỉ sau vài giờ |
| 4. Đăng xuất toàn bộ phiên trong tài khoản thật | Ở một số nền tảng, token phiên bị đánh cắp vẫn sống sót qua một lần đổi mật khẩu |
| 5. Kiểm tra các thiết lập khôi phục tài khoản | Kẻ tấn công thêm email hoặc số điện thoại khôi phục để giữ đường vào |
| 6. Rà lại sao kê tìm những khoản thử nhỏ | Việc thử thẻ luôn diễn ra trước khoản trừ thật |
Một chỗ cố ý bỏ trống: đừng phản ứng bằng cách cài một công cụ "bảo mật" mà trang đó hoặc email đó gợi ý. Đấy là một giai đoạn thứ hai đã được ghi nhận của cùng cuộc tấn công, và nó biến một sự cố về thẻ thành một sự cố về thiết bị.