Social Engineering Attacks

Posted Dec 12, 2025 Updated Dec 25, 2025

By Chung Duc Nguyen Dang

2 min read

Social Engineering (Tấn công phi kỹ thuật) là nghệ thuật thao túng tâm lý con người để tiết lộ thông tin bí mật hoặc thực hiện các hành động có lợi cho kẻ tấn công.

A. Impersonation (Giả mạo)

Đây là kỹ thuật Social Engineering dựa trên con người phổ biến nhất.

Cơ chế: Kẻ tấn công giả vờ là một người hợp lệ hoặc người có thẩm quyền.
Phương thức: Thực hiện trực tiếp (gặp mặt) hoặc thông qua các phương tiện truyền thông như điện thoại, email, v.v.
Mục tiêu: Đánh lừa nạn nhân để họ tiết lộ các thông tin nhạy cảm.

B. Phishing (Tấn công giả mạo)

Phishing là hành vi gửi email không hợp lệ, giả danh các trang web/tổ chức uy tín nhằm chiếm đoạt thông tin cá nhân hoặc tài khoản của người dùng.

Các loại hình Phishing:

Spear Phishing: Tấn công có mục tiêu cụ thể vào một cá nhân hoặc tổ chức.
Whaling: Nhắm vào các mục tiêu “lớn” như giám đốc điều hành (CEO) hoặc quản lý cấp cao.
Pharming: Kẻ tấn công cài đặt chương trình độc hại để điều hướng lưu lượng truy cập web từ trang hợp lệ sang một trang web giả mạo.
Spimming: Tấn công giả mạo thông qua tin nhắn tức thời (Instant Messaging).

Công cụ hỗ trợ Phishing:

The Social-Engineer Toolkit (SET): Bộ công cụ mạnh mẽ để giả lập các cuộc tấn công.
ShellPhish: Công cụ tạo trang giả mạo tự động.

Kẻ tấn công sử dụng phần mềm và giao diện máy tính để đánh lừa người dùng:

Pop-Up Windows: Cửa sổ bật lên thông báo giả.
Hoax Letters: Các lá thư lừa đảo (ví dụ: thông báo trúng thưởng giả).
Chain Letters: Thư chuyển tiếp gây hoang mang hoặc hứa hẹn lợi ích.
Instant Chat Messenger: Lừa đảo qua tin nhắn trực tuyến.
Spam Email: Thư rác chứa nội dung độc hại hoặc quảng cáo lừa đảo.
Scareware: Phần mềm hù dọa (ví dụ: cảnh báo virus giả) để ép người dùng cài đặt mã độc.

Công cụ SET thường được sử dụng trong các bài Lab để trình diễn khả năng tấn công:

Tạo Web Clone: Sao chép giao diện của một trang web nổi tiếng (như Facebook, Gmail) để đánh cắp thông tin đăng nhập khi nạn nhân nhập vào trang giả mạo.

4. Tấn công qua ứng dụng di động

Kẻ tấn công lợi dụng sự tin tưởng của người dùng vào các kho ứng dụng:

Publishing Malicious Apps: Phát hành các ứng dụng chứa mã độc trực tiếp lên cửa hàng.
Repackaging Legitimate Apps: Lấy các ứng dụng hợp lệ, chèn thêm mã độc vào bên trong, sau đó đóng gói lại và phát tán nhằm đánh cắp dữ liệu người dùng.

Publishing Malicious Apps and Repackaging Legitimate Apps

Lưu ý: Tài liệu này phục vụ mục đích giáo dục và nâng cao nhận thức về bảo mật thông tin.

Hacking

This post is licensed under CC BY 4.0 by the author.

Tìm hiểu về Tấn công Social Engineering

1. Các loại hình Social Engineering phổ biến