Phishing Attack: Cách đào tạo nhân viên nhận biết lừa đảo mạng

Đào tạo nhân viên nhận biết phishing hiệu quả không phải là một buổi thuyết trình mỗi năm, mà là một chương trình liên tục gồm bài học ngắn, mô phỏng sát thực tế, kênh báo cáo dễ dùng và văn hóa không đổ lỗi. Phishing là cách lừa người dùng tự tay trao mật khẩu, mã OTP, tiền hoặc quyền truy cập máy tính. Vì nó nhắm vào con người, mọi lớp công nghệ đều cần một lớp nhận thức đi kèm.

Vì sao phishing vẫn hiệu quả với kẻ gian

Email lọc thư rác ngày càng tốt, nhưng kẻ tấn công cũng thay đổi theo. Chúng dùng tài khoản email thật đã bị chiếm của đối tác, sao chép giao diện hệ thống nội bộ, gửi qua tin nhắn Zalo, SMS, mạng xã hội hay gọi điện trực tiếp. Công cụ AI giúp viết tiếng Việt trơn tru, không còn lỗi chính tả để nhận diện như trước.

Quan trọng hơn, phishing khai thác tâm lý: sự khẩn cấp ("tài khoản sẽ bị khóa trong 2 giờ"), quyền uy ("Giám đốc cần chuyển khoản gấp"), lòng tốt ("hỗ trợ đồng nghiệp"), sự tò mò ("bảng lương tháng này") hay lợi ích ("nhận thưởng"). Khi đang bận, ai cũng có thể bấm nhầm. Những chiến dịch kết hợp mã độc đánh cắp tài khoản ngân hàng cho thấy một cú bấm có thể dẫn tới thiệt hại tài chính trực tiếp.

Những dạng lừa đảo nhân viên cần nhận ra

• Email giả mạo thông báo hệ thống: hộp thư đầy, mật khẩu hết hạn, tài liệu được chia sẻ, yêu cầu đăng nhập lại.
• Lừa đảo email doanh nghiệp (BEC): giả lãnh đạo hoặc nhà cung cấp, yêu cầu đổi số tài khoản nhận tiền, chuyển khoản gấp, mua thẻ quà tặng.
• Spear phishing: email được cá nhân hóa dựa trên thông tin công khai trên LinkedIn, website công ty.
• Smishing và vishing: qua tin nhắn và cuộc gọi, thường giả ngân hàng, cơ quan thuế, bộ phận IT.
• Quishing: mã QR dẫn tới trang đăng nhập giả, đặc biệt khó kiểm tra trên điện thoại.
• Tấn công mệt mỏi MFA: gửi liên tục yêu cầu xác nhận đăng nhập cho tới khi nạn nhân bấm "Đồng ý" cho xong.

Dạy nhân viên những dấu hiệu nào

Thay vì danh sách dài khó nhớ, hãy dạy một vài phản xạ cốt lõi:

1. Dừng lại khi thấy áp lực thời gian. Sự khẩn cấp là dấu hiệu phổ biến nhất của lừa đảo.
2. Kiểm tra người gửi thực sự, không chỉ tên hiển thị. Chú ý tên miền gần giống như thay chữ "m" bằng "rn".
3. Di chuột lên đường link trước khi bấm, đọc tên miền từ phải sang trái.
4. Không đăng nhập từ link trong email. Tự mở hệ thống bằng dấu trang hoặc gõ địa chỉ.
5. Xác minh qua kênh khác mọi yêu cầu liên quan tiền, mật khẩu, dữ liệu nhạy cảm: gọi lại số điện thoại đã biết, không dùng số trong email.
6. Không bao giờ đọc mã OTP cho người khác, kể cả người tự xưng là IT hay ngân hàng.
7. Từ chối yêu cầu MFA mà mình không chủ động đăng nhập và báo IT ngay.

Thiết kế chương trình đào tạo

Bài học ngắn, gắn với vai trò

Nội dung nên ngắn, khoảng vài phút, và gắn với công việc. Kế toán cần tình huống đổi số tài khoản nhà cung cấp. Nhân sự cần tình huống hồ sơ ứng viên chứa tệp độc. Lễ tân cần tình huống cuộc gọi hỏi thông tin nội bộ. Lãnh đạo cần biết họ là mục tiêu được nhắm nhiều nhất và tên họ thường bị mạo danh.

Mô phỏng phishing định kỳ

Gửi email mô phỏng với độ khó tăng dần, từ mẫu dễ nhận ra tới mẫu tinh vi. Người bấm vào sẽ thấy ngay trang hướng dẫn giải thích dấu hiệu đã bỏ lỡ, thay vì bị gọi tên. Tránh các mẫu gây tổn thương như giả thông báo thưởng Tết hay sa thải, vì chúng làm mất niềm tin vào bộ phận IT.

Kênh báo cáo một chạm

Nút "Báo cáo phishing" trên trình email giúp nhân viên chuyển thư đáng ngờ cho đội bảo mật trong một thao tác. Phản hồi lại người báo cáo, dù chỉ là lời cảm ơn tự động, khuyến khích họ tiếp tục. Một email lừa đảo thật được báo sớm cho phép IT gỡ nó khỏi hộp thư của mọi người khác.

Văn hóa không đổ lỗi

Nhân viên sợ bị phạt sẽ giấu việc đã bấm nhầm. Khi đó, kẻ tấn công có thêm nhiều giờ trong hệ thống. Lãnh đạo nên công khai khen ngợi người báo cáo sớm, kể cả khi chính họ là người bấm nhầm. Thay đổi văn hóa như vậy cũng là một phần của quá trình vượt qua rào cản văn hóa khi doanh nghiệp số hóa.

Đo lường hiệu quả đúng cách

Tỷ lệ bấm vào email mô phỏng là chỉ số hay được dùng nhưng dễ gây hiểu lầm, vì nó phụ thuộc độ khó của mẫu. Các chỉ số đáng theo dõi hơn:

• Tỷ lệ báo cáo: bao nhiêu người báo cáo email đáng ngờ. Đây là chỉ số tích cực nên tăng dần.
• Thời gian tới báo cáo đầu tiên: càng ngắn, đội bảo mật càng phản ứng nhanh.
• Tỷ lệ nhập thông tin trên trang giả, nghiêm trọng hơn chỉ bấm link.
• Xu hướng theo thời gian và theo phòng ban, để điều chỉnh nội dung.

Công nghệ hỗ trợ con người

Đào tạo không thay thế được công nghệ, và ngược lại. Các biện pháp nên song hành gồm: cấu hình SPF, DKIM, DMARC chặn giả mạo tên miền công ty; gắn nhãn cảnh báo cho email đến từ bên ngoài; lọc link và tệp đính kèm; dùng phương thức xác thực chống phishing như khóa bảo mật hoặc passkey cho tài khoản quan trọng; quy trình phê duyệt hai người cho thay đổi thông tin thanh toán. Trên thiết bị, giải pháp bảo mật thiết bị đầu cuối giúp chặn mã độc nếu nhân viên lỡ mở tệp.

Kế hoạch triển khai trong 90 ngày

Tháng đầu: đo hiện trạng bằng một đợt mô phỏng cơ bản, cài nút báo cáo, gửi thông điệp từ lãnh đạo giải thích mục tiêu. Tháng thứ hai: triển khai các bài học ngắn theo vai trò, ưu tiên kế toán, nhân sự, quản lý. Tháng thứ ba: mô phỏng lần hai với độ khó cao hơn, so sánh tỷ lệ báo cáo, tổng kết và chia sẻ những tình huống thật mà nhân viên đã phát hiện. Sau đó duy trì nhịp hằng tháng.

Khi nhân viên coi mình là một phần của hệ thống phòng thủ thay vì "mắt xích yếu nhất", doanh nghiệp có thêm hàng chục, hàng trăm cảm biến phát hiện tấn công mà không công cụ nào thay thế được.