Ví dụ về tấn công phi kỹ thuật: 15 kiểu tấn công và cách phòng thủ

Theo Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA), tấn công phi kỹ thuật (social engineering) là một kiểu tấn công trong đó... "Kẻ tấn công sử dụng tương tác giữa người với người (kỹ năng xã hội) để thu thập hoặc xâm phạm thông tin về một tổ chức hoặc hệ thống máy tính của tổ chức đó."Nó hiệu quả vì nhắm vào con người, chứ không phải phần mềm. Báo cáo Điều tra Vi phạm Dữ liệu năm 2026 của Verizon đã phát hiện ra rằng... Yếu tố con người xuất hiện trong 62% các vụ vi phạm.Tăng từ 60% so với năm trước.

Dưới đây là 15 ví dụ về tấn công kỹ thuật xã hội, được chia thành 3 nhóm, mỗi nhóm 5 ví dụ. Mỗi ví dụ đều đi kèm với một dấu hiệu cảnh báo cần chú ý và một hành động cần thực hiện để ngăn chặn. Nhóm 1 bao gồm các hình thức tấn công lừa đảo (phishing), nhóm 2 bao gồm các hình thức giả mạo danh tính và mạo danh người khác, và nhóm 3 bao gồm các cuộc tấn công vật lý và dụ dỗ. Mỗi nhóm đều kết thúc bằng một lời cảnh báo. Lựa chọn của chúng tôiVí dụ đầu tiên chúng ta sẽ dùng để huấn luyện là: lý do được giải thích bằng một dòng ngắn gọn.

Tất cả các công ty, cá nhân và thông điệp ví dụ dưới đây đều là hư cấu.

Bộ 1: Gia đình lừa đảo trực tuyến

1. Lừa đảo qua email. Một tin nhắn trông giống như đến từ ngân hàng, nhà cung cấp hoặc nhóm CNTT của chính bạn yêu cầu bạn nhấp vào liên kết và đăng nhập. CISA cho biết các cuộc tấn công lừa đảo sử dụng email hoặc các trang web độc hại để thu thập thông tin cá nhân bằng cách giả danh một tổ chức đáng tin cậy.. Cờ đỏ: Địa chỉ người gửi giả mạo một doanh nghiệp thực sự, lời chào chung chung như "Kính gửi Quý khách hàng", hoặc một liên kết mà địa chỉ không khớp với văn bản khi bạn di chuột qua. Stop: Đừng nhấp chuột. Hãy truy cập trang web bằng cách tự gõ địa chỉ hoặc báo cáo tin nhắn.
2. Tấn công lừa đảo có chủ đích. Cùng một thủ đoạn, nhưng nhắm vào một người cụ thể. Người gửi sử dụng tên của bạn, tên người quản lý của bạn và một dự án mà bạn thực sự đang làm, những thông tin này có thể được ghép lại từ các nguồn công khai. Cờ đỏ: Một yêu cầu cụ thể đến kỳ lạ nhưng lại không phù hợp với tính cách, chẳng hạn như "gửi cho tôi hợp đồng Atlas ngay hôm nay". Stop: Hãy hỏi người gửi qua một kênh khác, chẳng hạn như gọi đến số điện thoại mà bạn đã có.
3. Đập phá. Lừa đảo qua tin nhắn văn bản. CISA mô tả như sau: smishing Đây là một hình thức tấn công phi kỹ thuật (social engineering) lợi dụng tin nhắn SMS, chứa các liên kết, số điện thoại hoặc địa chỉ, khi nhấn vào sẽ mở trình duyệt hoặc thực hiện cuộc gọi. Cờ đỏ: Một dòng chữ "Đơn hàng đang chờ xử lý" hoặc "Tài khoản bị khóa" kèm theo một liên kết ngắn. Stop: Hãy xóa nó đi và tự mở ứng dụng hoặc trang web chính thức.
4. Thăm viếng. CISA cho biết: Lừa đảo qua điện thoại. lừa đảo Ứng dụng này sử dụng cuộc gọi thoại và số người gọi có thể bị giả mạo, vì vậy một cuộc gọi hiển thị tên quen thuộc không chứng minh được điều gì. Cờ đỏ: Người gọi gây áp lực và yêu cầu mã hoặc mật khẩu. Stop: Hãy cúp máy và gọi lại theo số điện thoại được in trên sao kê hoặc trên trang web của công ty.
5. Lừa đảo qua mã QR. Mã QR che giấu địa chỉ mà nó dẫn đến. FBI đã cảnh báo về điều này. các gói hàng không được yêu cầu có chứa mã QR yêu cầu người nhận cung cấp thông tin cá nhân và tài chính hoặc cài đặt phần mềm đánh cắp dữ liệu. Cờ đỏ: Một mã số bạn không ngờ tới, không có thông tin người gửi. Stop: Không nên quét mã QR từ các nguồn không xác định.

Lựa chọn của chúng tôi: ví dụ 4, lừa đảo qua điện thoại (vishing). Verizon phát hiện ra rằng trong các mô phỏng tấn công lừa đảo, tỷ lệ nhấp chuột trung bình trong Các phương thức giao tiếp tập trung vào thiết bị di động như gọi thoại và nhắn tin văn bản cao hơn 40%. Thay vì qua email. Mọi người đã học cách không tin tưởng email nhanh hơn so với việc học cách không tin tưởng một cuộc gọi điện thoại.

Bộ 2: Giả danh và mạo danh

Verizon định nghĩa "giả danh" là một chiến thuật tấn công trong đó... Mối quan hệ tin cậy được xây dựng thông qua các tình huống dàn dựng. Mục đích là lừa người dùng thực hiện hành động gây nguy hại cho tổ chức, thường là bằng giọng nói nhưng cũng có thể bằng email hoặc tin nhắn. Hình thức này chiếm 6% tổng số vụ vi phạm trong báo cáo năm 2026, so với 16% của tấn công lừa đảo (phishing).

6. Gian lận CEO và xâm phạm email doanh nghiệp. Trung tâm Khiếu nại Tội phạm Internet (IC3) của FBI định nghĩa như sau: thỏa hiệp email doanh nghiệp (BEC) Đây là một hình thức lừa đảo nhắm vào các doanh nghiệp, hoạt động thông qua các tài khoản email bị xâm phạm và các phương tiện liên lạc khác để gây ra các giao dịch chuyển tiền trái phép. Năm 2025, IC3 ghi nhận 24,768 khiếu nại về BEC và khoảng 3.05 tỷ đô la thiệt hại được báo cáo. Cờ đỏ: Một yêu cầu khẩn cấp từ lãnh đạo cấp cao về việc thanh toán hoặc mua thẻ quà tặng, kèm theo lời dặn dò "đừng nói với ai". Stop: Xác nhận mọi yêu cầu thanh toán qua điện thoại hoặc trực tiếp.
7. Hỗ trợ CNTT giả mạo. Có người tự xưng là nhân viên hỗ trợ kỹ thuật và cần mật khẩu hoặc quyền truy cập từ xa của bạn "để khắc phục sự cố". IC3 đã nhận được thông báo này. 47,794 khiếu nại hỗ trợ kỹ thuật trong năm 2025với mức lỗ được báo cáo trên 2.1 tỷ đô la. Cờ đỏ: Bộ phận CNTT sẽ liên hệ với bạn trước và yêu cầu mật khẩu hoặc mã xác nhận một lần. Stop: Các nhóm CNTT thực thụ không cần mật khẩu của bạn. Hãy cúp máy và gửi yêu cầu hỗ trợ qua kênh thông thường.
8. Thay đổi hóa đơn nhà cung cấp. Một email, có vẻ như từ một nhà cung cấp thường xuyên, cho biết thông tin tài khoản ngân hàng của họ đã thay đổi. Định nghĩa BEC của IC3 bao gồm các vụ lừa đảo nhắm mục tiêu vào... các doanh nghiệp làm việc với nhà cung cấp và thường xuyên thực hiện chuyển khoản ngân hàng. Cờ đỏ: Thông tin tài khoản ngân hàng mới kèm theo hạn thanh toán. Stop: Hãy gọi cho nhà cung cấp theo số điện thoại đã được lưu trong hệ thống trước khi bạn thay đổi bất cứ điều gì.
9. Nhà tuyển dụng giả mạo. Một "nhà tuyển dụng" tiếp cận một nhân viên với một vị trí có vẻ như là thăng chức, sau đó yêu cầu các tài liệu cá nhân hoặc một bài kiểm tra cần tải xuống. IC3 đã nhận được 24,688 đơn khiếu nại về lừa đảo việc làm trong năm 2025. Cờ đỏ: Một lời đề nghị mà bạn không hề ứng tuyển, với các bước thực hiện nhanh chóng. Stop: Hãy kiểm tra thông tin nhà tuyển dụng thông qua trang tuyển dụng chính thức của công ty, và tuyệt đối không cài đặt phần mềm nào trước khi phỏng vấn.
10. Giọng nói Deepfake. Một giọng nói được sao chép giống hệt giọng của giám đốc bạn đang yêu cầu thanh toán khẩn cấp. IC3 cho biết Việc sao chép giọng nói có thể được sử dụng để yêu cầu chuyển khoản. và các doanh nghiệp đã báo cáo thiệt hại hơn 30 triệu đô la vào năm 2025 do các vụ lừa đảo BEC liên quan đến AI. Cờ đỏ: Một tin nhắn thoại hoặc cuộc gọi thúc giục bạn hành động trước khi bạn kịp kiểm tra. Stop: Hãy thống nhất một mật mã hoặc quy tắc gọi lại cho việc thanh toán, vì vậy chỉ một giọng nói thuyết phục thôi là chưa đủ.

Lựa chọn của chúng tôi: ví dụ 6, gian lận CEO và BEC. Đây là ví dụ tốn kém nhất, thậm chí còn vượt cả các vụ lừa đảo hỗ trợ kỹ thuật trong số liệu năm 2025 của IC3, và biện pháp ngăn chặn lại rất đơn giản: chỉ cần một cuộc gọi đến số điện thoại đã biết trước khi tiền được chuyển đi.

Bộ 3: Tấn công vật lý và dụ dỗ

Những cuộc tấn công này không cần bàn phím. Chúng rất nguy hiểm vì người lạ trong tòa nhà có thể tiếp cận được những gì tường lửa bảo vệ.

11. Tiệc ngoài trời trước trận đấu. Có người đi theo bạn qua một cánh cửa có khóa "vì tay họ đang mang đồ". Cờ đỏ: Một người không đeo phù hiệu nhưng có vẻ thoải mái và thân thiện. Stop: Hãy lịch sự yêu cầu họ tự quẹt thẻ hoặc dẫn họ đến quầy lễ tân.
12. Sử dụng ổ USB làm mồi nhử. Một chiếc USB có nhãn "Đánh giá lương năm 2027" bị bỏ quên ở bãi đậu xe hoặc sảnh. Cờ đỏ: Bất kỳ ổ đĩa di động nào bạn không mua. Stop: Tuyệt đối không cắm thiết bị tìm thấy vào ổ điện. Hãy giao nó cho bộ phận CNTT để họ kiểm tra một cách an toàn.
13. Nhìn trộm vai. Ai đó có thể đọc màn hình máy tính của bạn hoặc theo dõi bạn nhập mã PIN trên tàu hoặc tại bàn làm việc chung. Cờ đỏ: Một người đứng quá gần hoặc hướng điện thoại quá sát vào màn hình của bạn. Stop: Hãy sử dụng bộ lọc bảo mật, khóa màn hình khi bạn rời đi và ngồi dựa lưng vào tường.
14. Dumpster lặn. Các email in, sơ đồ tổ chức và ghi chú cuộc họp bị vứt vào thùng rác thông thường sẽ cung cấp cho kẻ tấn công tên, số điện thoại và tiêu đề dự án để thực hiện cuộc gọi tiếp theo. Cờ đỏ: Giấy có ghi tên hoặc số trong một thùng rác mở. Stop: Hãy sử dụng máy hủy giấy hoặc thùng rác có khóa, và giữ thói quen bàn làm việc gọn gàng.
15. Giao hàng giả. Một nhân viên giao hàng mặc áo khoác có logo thương hiệu yêu cầu được vào qua khu vực lễ tân, hoặc để lại bưu kiện trong phòng máy chủ. Cờ đỏ: Một đơn hàng không ai đặt hoặc một đơn hàng không thể đến quầy lễ tân. Stop: Hãy mang nó đến quầy lễ tân và kiểm tra các bưu kiện bất ngờ với người có tên trên nhãn.

Lựa chọn của chúng tôi: ví dụ 11, tiệc ngoài trời trước trận đấu. Việc này không cần kỹ năng và không tốn kém, chỉ cần có thái độ lịch sự là đủ. Hãy cung cấp cho nhân viên một kịch bản lịch sự, để việc góp ý với ai đó trở nên bình thường và không thô lỗ.

Cách ngăn chặn tất cả 15

15 ví dụ này có một điểm chung: chúng thúc đẩy bạn hành động nhanh chóng và độc lập. Ba thói quen sẽ phá vỡ điều đó.

1. Xác minh thông qua kênh thứ hai. Nếu yêu cầu liên quan đến tiền bạc, mật khẩu, mã số hoặc quyền truy cập, hãy xác nhận bằng phương thức khác, sử dụng thông tin liên hệ mà bạn đã có. CISA khuyên rằng nếu bạn không chắc chắn liệu yêu cầu đó có phải là thật hay không, Hãy xác minh điều này bằng cách liên hệ trực tiếp với công ty.và không sử dụng thông tin liên hệ được cung cấp trong tin nhắn.
2. Báo cáo nó. Lời khuyên của CISA đối với trường hợp nghi ngờ bị lừa đảo qua mạng là: báo cáo tin nhắn Rồi xóa nó đi. Hãy biến việc báo cáo thành thói quen chỉ cần một cú nhấp chuột, không đổ lỗi, để người đầu tiên phát hiện ra điều gì đó sẽ cảnh báo mọi người khác.
3. Chậm lại. Danh sách CISA ngôn ngữ khẩn cấp hoặc hấp dẫn về mặt cảm xúc Trong số những dấu hiệu phổ biến của lừa đảo trực tuyến, CISA cũng lưu ý rằng ngữ pháp hoàn hảo không còn là bằng chứng về sự an toàn, vì một số email hiện nay có chính tả hoàn hảo nhờ trí tuệ nhân tạo. Khi một tin nhắn yêu cầu tốc độ, đó là tín hiệu để bạn tạm dừng.

Đào tạo là cách để hình thành thói quen. Yếu tố con người xuất hiện trong 62% các vụ vi phạm, theo thống kê. Báo cáo năm 2026 của VerizonMột đội ngũ đã luyện tập nhận diện 15 ví dụ này thực sự là một phần quan trọng trong hệ thống phòng thủ của bạn. Để có chương trình toàn diện hơn, hãy xem hướng dẫn của chúng tôi về... đào tạo nâng cao nhận thức về an ninh mạng.

Các cách thức tổ chức buổi huấn luyện kỹ thuật xã hội với AhaSlides

Hãy trình bày trực tiếp 15 ví dụ này, trong phòng họp hoặc qua cuộc gọi video, với đáp án hiển thị trên màn hình khi mọi người trả lời.

1. Chọn đáp án: "Thật hay lừa đảo?" Hãy đưa ra một tin nhắn giả cho mỗi ví dụ và hỏi xem nó có phải là thật hay không. Tiết lộ dấu hiệu đáng ngờ và thảo luận.
2. Từ khóa đám mây: "Chiêu trò lừa đảo bạn hay gặp nhất". Từ ngữ lớn nhất cho biết nên luyện tập điều gì trước tiên.
3. Thang đánh giá: "Bạn tự tin đến mức nào trong việc nhận biết hàng giả?" Hãy yêu cầu đánh giá từ 1 đến 5 trước và sau buổi trị liệu, rồi so sánh điểm trung bình.
4. Câu hỏi mở: "Một tin nhắn đáng ngờ mà tôi nhận được". Hãy thu thập các ví dụ thực tế, bỏ tên người liên quan, và sử dụng ví dụ tốt nhất làm kịch bản cho vòng tiếp theo.

Mẫu khóa học về tấn công lừa đảo và kỹ thuật xã hội cung cấp cho bạn các slide đã được soạn sẵn để tùy chỉnh, và mẫu nâng cao nhận thức về mối đe dọa nội bộ là một tài liệu bổ trợ tốt cho toàn bộ nhóm.

Các câu hỏi thường gặp

Những ví dụ về kỹ thuật thao túng tâm lý là gì?

Lừa đảo qua mạng (phishing), giả mạo danh tính (pretexting), dụ dỗ (baiting) và theo dõi người dùng (tailgating) là những thủ đoạn chính. Bài viết này liệt kê 15 thủ đoạn, từ lừa đảo qua email và điện thoại (vishing) đến hỗ trợ CNTT giả mạo, dụ dỗ bằng USB và giao hàng giả.

Loại tấn công phi kỹ thuật phổ biến nhất là gì?

Tấn công lừa đảo (Phishing). Báo cáo năm 2026 của Verizon cho thấy tấn công lừa đảo chiếm 16% tổng số vụ vi phạm bảo mật, so với 6% của tấn công giả mạo (pretexting), và IC3 đã nhận được 191,561 khiếu nại về tấn công lừa đảo và giả mạo danh tính trong năm 2025.

Làm thế nào để ngăn chặn kỹ thuật thao túng tâm lý?

Xác minh yêu cầu thông qua kênh thứ hai và báo cáo những yêu cầu đáng ngờ. Bổ sung các khóa đào tạo ngắn hạn, thường xuyên, vì các cuộc tấn công thay đổi nhanh hơn bất kỳ khóa học một lần nào.

Giả vờ có lý do là gì?

Một câu chuyện bịa đặt được sử dụng để lấy thông tin hoặc quyền truy cập. Kẻ tấn công xây dựng lòng tin thông qua một kịch bản đáng tin, chẳng hạn như cuộc gọi đến bộ phận hỗ trợ, sau đó yêu cầu mật khẩu, khoản thanh toán hoặc yêu cầu cửa được mở.

Bắt đầu từ đâu

Hãy chọn một bộ ví dụ và trình bày tại cuộc họp nhóm tiếp theo. Nếu chỉ có thời gian cho một ví dụ, hãy chọn chủ đề lừa đảo qua điện thoại (vishing), sau đó hỏi mọi người xem họ sẽ làm gì trong lần nhận được cuộc gọi bất ngờ tiếp theo.