An toàn trong thương mại điện tử

Bài thảo luận nhóm 11.
Đề tài: Tìm hiểu về các hoạt động lừa đảo và nguy cơ đối với hoạt động
thương mại điện tử hiện nay. Các biện pháp mà các công ty áp dụng để giảm thiểu
và khắc phục những nguy cơ này.
Thị trường ngày càng phát triển vì vậy các loại hình kinh doanh cũng ngày càng
trở lên đa dạng. Là một loại hình mua bán thông qua các phương tiện truyền thông, mạng
internet, tiết kiệm thời gian cũng như chi phí đối với cả người mua và người bán, thương
mại điện tử đã trở thành một sự ưu tiên lựa chọn đối với nhiều người. Tuy có nhiều lợi ích
song vẫn còn không ít những bất lợi trong thương mại điện tử. Vậy đó là những gì?
I. Lý thuyết về an toàn trong thương mại điện tử
1/ Các vấn đề đặt ra với an toàn thương mại điện tử.
Thương mại điện tử giúp thục hiện các giao dịch, thanh toán, marketing và
tăng giá trị của các sản phẩm hàng hóa hữu hình hoặc truyền những cơ sờ dữ liệu
liên quan tới thẻ tín dụng, các phương tiện thanh toán khác của khách hàng.Việc
đảm bảo an toàn cho các thông tin trên là rất quan trọng.
An toàn trong thương mại điện tử luôn mang tính tương đối.lịch sử an toàn
thương mại đã chứng minh rằng, bất cứ hệ thống an toàn nào cũng có thể bị phá vỡ
nếu không đủ sức để chống lại các cuộc tấn công. Vì vậy các vấn đề đặt ra đối với
an toàn trong thương mại điện tử :
-Yêu cầu từ phía người sử dụng :
+ Sử dụng đúng website của các công ty hợp pháp.
+ Không chứa đựng virus hay các đoạn mã nguy hiểm trong các website
hoặc các bảng khai thông tin cá nhân.
+ Thông tin cá nhân cần phải được đảm bảo bí mật
-Yêu cầu từ phía nhà cung cấp ( từ phía các website )
+ Người sử dụng không được tấn công máy chủ hay các trang web của
doanh nghiệp.
+ Người sử dụng không được làm gián đoạn hoạt động của máy chủ.
-Yêu cầu từ cả người sử dụng và nhà cung cấp:
+ Đảm bảo cho các thông tin trao đổi hai chiều giữa người sử dụng và nhà
cung cấp không bị bên thứ ba nghe trộm.

+Đảm bảo tính toàn vẹn của thông tin , đảm bảo cho các thông tin trao đổi
hai chiều giữa người sử dụng và nhà cung cấp không bị biến đổi trong quá trình
truyền.
-Các công việc cần phải thực hiện để đảm bảo an toàn trong TMDT:
+ Xác thực: là quá trình xác định xem những ai là người có quyền truy
cập vào quá trình trao đổi thông tin, xác định dối tượng của giao dịch là cái gì?
+ Cấp phép: cấp phép là quá trình xác định xem những ai là người có
quyền truy cập vào tài nguyên hệ thống và loại tài nguyên nào thì có thể được sử
dụng?
+ Là quá trình thu thập các thông tin về việc truy cập vào tài nguyên hệ
thống của người sử dụng thông qua cung cấp các bằng chứng cụ thể.
2/ Hệ thống an toàn điện tử được coi là an toàn cần phải đảm bảo các yêu
cầu.
a/ Đảm bảo tính bí mật của thông tin: đảm bảo cho các thông tin trao đổi
hai chiều không bị tiết lộ trong quá trình truyền, bát kì sự sửa đổi hay thay thế nội
dung, thông tin dù có bị chặn nhưng cũng không thể đọc được, hiểu được.
b/ Tính toàn vẹn của thông tin: đảm bảo cho các thông tin trao đổi hai chiều
không bị biến đổi trong quá trình truyền bất kỳ sự sửa đổi hay thay thế nào dù là
nhỏ nhất cũng sẽ dễ dàng bị phát hiện.
c/ Tính sẵn có của thông tin: đảm bảo thông tin luôn luôn sẵn sàng đáp ứng
yêu cầu truy cập các thông tin khi cần thiết.
d/ Đảm bảo tính chống từ chối hay phủ nhận: đảm bảo chống lại việc từ
chối hay phủ nhận các giao dịch đã thực hiện thông qua cung cấp các bằng chứng
cụ thể
II. Các hoạt động lừa đảo và nguy cơ với hoạt động thương mại điện tử
hiện nay
1.Tấn công phi kỹ thuật
Các nguy cơ phi kĩ thuật thường nhắm vào sự nhẹ dạ cả tin và thiếu hiểu
biết của người dùng ( không dùng các biện pháp kĩ thuật ) để lừa đảo
Các nguy cơ này có 12 dạng chính sau :

Da
̣
ng 1: Trang web giả mạo tổ chức từ thiện – Hãy cẩn thận khi bạn đóng
góp.
Vào mùa lễ, tin tặc lợi dụng lòng hảo tâm của cộng đồng bằng cách gửi đi
các thư điện tử có vẻ như hợp pháp của những tổ chức từ thiện. Trong thực tế, đó là
những trang web giả mạo được thiết kế nhằm ăn cắp tiền, thông tin thẻ tín dụng và
thông tin nhận dạng của các nhà tài trợ.
Da
̣
ng 2: Hóa đơn giả mạo từ các dịch vụ giao hàng nhằm ăn cắp tiền của
bạn.
Trong suốt mùa lễ, tội phạm mạng thường gởi các hóa đơn giả mạo và hiện
những thông báo giao hàng từ Federal Express, UPS hay dịch vụ hải quan Mỹ.
Những Email họ gởi nhằm yêu cầu người tiêu dùng xác nhận các thông tin
chi tiết về thẻ tín dụng của họ để xâm nhập vào tài khoản, hoặc yêu cầu người sử
dụng mở một hóa đơn trực tuyến hoặc biên nhận thanh toán trọn gói.
Sau khi hoàn thành, thông tin người dùng bị đánh cắp hoặc các phần mềm
độc hại được tự động cài đặt trên máy tính của họ.
Da
̣
ng 3: Mạng xã hội –Tội phạm mạng “Muốn kết bạn”
Tội phạm mạng tận dụng thời gian này của năm bằng cách gửi đi các email
yêu cầu xác nhận “Yêu cầu kết bạn mới” từ các trang web trên mạng xã hội.
Người sử dụng internet nên thận trọng với việc truy cập vào các liên kết
trong các email có khả năng tự động cài đặt phần mềm độc hại trên các máy tính và
ăn cắp thông tin cá nhân
Da
̣
ng 4: Những E-Cards nguy hiểm có liên quan tới ngày nghỉ

Những kẻ trộm tiền mặt trong tài khoản của các khách hàng gởi những e-
cards ra sức nâng cao ý thức bảo vệ môi trường. Mùa lễ năm ngoái, trung tâm
nghiên cứu Labs của McAfee đã phát hiện một con sâu ngụy trang dưới các chương
trình khuyến mãi như các e-card của Hallmark, McDonald và Coca-Cola.
Những trang đính kèm trên email bằng PowerPoint liên quan tới ngày lễ
cũng phổ biến trong giới tội phạm mạng. Hãy cẩn thận với những gì bạn truy cập
vào.
Da
̣
ng 5: Các mặt hàng trang sức cao cấp giảm giá trong ngày lễ.
Mới đây, trung tâm nghiên cứu Labs của McAfee đã phát hiện một một
chiến dịch trong mùa lễ mới dẫn dắt người mua sắm tới những trang chứa đựng
phần mềm độc hại như chương trình “giảm giá” các mặt hàng quà tặng trang sức
cao cấp từ Cartier, Gucci, và Tag Heuer.
Tội phạm mạng thậm chí sử dụng cả biểu tượng gỉa mạo giống hệt biểu
tượng doanh nghiệp chính hãng nhằm lừa người mua sắm vào trong để mua những
sản phẩm mà họ không bao giờ nhận được.
Da
̣
ng 6: Thực hiện an toàn trong ngày lễ mua sắm – Nạn trộm cắp thông tin
nhận diện trực tuyến đang ngày càng gia tăng
Trung tâm nghiên cứu Forrester dự báo bán hàng trực tuyến trong dịp nghỉ
lễ sẽ tăng lên trong năm nay, những người săn giá rẻ sẽ đăng trên web để thỏa
thuận. Khi người sử dụng mua sắm và lướt trên các điểm nóng mở, tin tặc có thể
xâm nhập vào hoạt động để ăn cắp thông tin cá nhân của họ.
McAfee khuyên người sử dụng không nên mua sắm trực tuyến từ bất kỳ
một máy tính hoặc mạng không dây công cộng công cộng nào.
Da
̣
ng 7: Danh sách các bài hát mừng lễ Giáng Sinh có thể gây ra nguy hiểm

– Việc tìm kiếm vào mùa lễ là rất mạo hiểm.
Trong những ngày lễ, các tin tặc tạo ra các trang web lừa đảo có liên quan
tới ngày lễ dành cho những người tìm kiếm nhạc chuông hoặc hình nền về ngày lễ
đó, các danh sách nhạc mừng lễ Giáng Sinh hoặc hình nền lễ hội. Các tập tin họ tải
về có liên quan tới ngày lễ có thể lây nhiễm phần mềm độc hại cho máy tính với
phần mềm gián điệp, phần mềm quảng cáo hay các phần mềm độc hại khác.
McAfee đã tìm thấy một trong những trang web tải bài hát mừng lễ Giáng
Sinh đưa những người tiềm kiếm vào các phần mềm quảng cáo, phần mềm gián
điệp và các chương trình có khả năng không mong muốn khác.
Da
̣
ng 8: Thất nghiệp – Email lừa đảo có liên quan tới việc làm.
Gần đây, tỷ lệ thất nghiệp ở nước Mỹ đã tăng lên tới 10.2%, mức cao nhất
từ năm 1983 cho tới nay. Những kẻ lừa đảo đang lợi dụng sự tuyệt vọng của những
người tìm việc trong kinh tế nghèo, với những lời hứa công việc với mức lương cao
và có nhiều cơ hội làm việc kiếm tiền tại nhà.
Khi những người quan tâm gửi thông tin của họ và trả tiền phí để được giới
thiệu việc làm thông qua mạng trực tuyến, dựa vào các thông tin mà họ đã gửi các
tin tặc trộm tiền của họ thay vì cho họ cơ hội việc làm như chúng đã hứa.
Da
̣
ng 9: Outbidding cho tội phạm - Trang web đấu giá Gian Lận
Những kẻ lừa đảo thường ẩn dưới dạng các trang web đấu giá vào mùa lễ.
Người mua cần đề phòng những thỏa thuận đấu giá xuất hiện giống hệt như là
những thỏa thuận đấu giá hợp lệ, vì vậy những lần mua hàng thường không bao giờ
có chủ sở hữu mới.
Da
̣
ng 10: Trang web giả mạo đánh cắp mật khẩu
Ăn cắp mật khẩu là vấn nạn đại tràn trong mùa lễ, những kẻ trộm thường sử

dụng công cụ với chi phí thấp để khám phá mật khẩu của một người và gửi đi
những phần mềm độc hại ghi lại những tổ hợp phím, gọi là keylogging.
Một khi tội phạm có quyền truy cập vào một hay nhiều mật khẩu, chúng
truy cập vào tài khoản ngân hàng, chi tiết thẻ tín dụng trên phạm vi rộng lớn và rút
sạch tài khoản của khách hàng chỉ trong vài phút. Chúng cũng thường gởi thư rác từ
tài khoản của người dùng cho các địa chỉ trong danh sách liên lạc của họ.
Da
̣
ng 11: E-Mail giả mạo ngân hàng
Tội phạm mạng lừa các khách hàng tiết lộ chi tiết tài khoản ngân hàng của
họ bằng cách gửi những thư điện tử có vẻ như hợp pháp từ các tổ chức tài chính.
Họ yêu cầu người sử dụng xác nhận thông tin tài khoản, trong đó bao gồm
tên người dùng và mật khẩu, với một cảnh báo rằng tài khoản của họ sẽ không hợp
lệ nếu không thực hiện theo yêu cầu. Sau đó, họ thường bán thông tin này thông qua
một thị trường đen trực tuyến ngầm.
Trung tâm nghiên cứu labs của McAfee tin rằng các tội phạm mạng đang
tích cực hơn trong việc lừa đảo người tiêu dùng với chiến thuật này trong những
ngày lễ từ những người mua hàng mà chúng đang giám sát chặt chẽ.
Da
̣
ng 12: Đo
̀
i tiê
̀
n chuô
̣
c dư
̃
liê
̣

u
Các tin tặc giành quyền kiểm soát máy tính của người mọi người thông qua
một vài trang web giả mạo có liên quan tới ngày lễ. Sau đó, chúng hành động như
một kẻ bắt cóc tống tiền nhằm cướp các tập tin trên máy tính và mã hóa chúng, làm
cho họ không thể đọc và truy cập được
2.Tấn công kỹ thuật
Xét trên góc độ công nghệ, có ba bộ phân dễ bị tấn công và tổn thương nhất
khi thực hiện các giao dịch thương mại điện tử đó là hệ thống khách hàng, máy chủ
doanh nghiệp và đường truyền thông tin
A) .Maliciouscode
Trước khi tìm hiểu về virus, chúng ta cần hiểu khái niệm Malicious code.
Malicious code hay còn gọi là Malware ( Mã độc hại) là một khái niệm rộng, được
định nghĩa là “một chương trình (program) được chèn một cách bí mật vào hệ thống
với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ
thống”.
Định nghĩa này sẽ bao hàm rất nhiều thể loại mà chúng ta vẫn quen gọi
chung là virus máy tính ở Việt nam như: worm, trojan, spy-ware, ... thậm chí là
virus hoặc các bộ công cụ để tấn công hệ thống mà các hacker thường sử dụng như:
backdoor, rootkit, key-logger, …
Malware được phân loại như sau:
Loại Ví dụ
Maliciou
s code
Virus Nonre
sident
Virus
Miche
langelo,
Stined,
Jerusalem

Reside
nt virus
Melisa
Worm Netwo
rk service
worm
Sasser
Mass
mailing worm
Netsk
y, mydoom
Trojan
Malicious
Mobile Code
Nimd
a
Tracking
Cookie
Backd
oor
Trino,
Tribe Flood,
Network
Keylo
gger
KeySn
atch, Spyster
Attacker Tool Rootk
it
LRK5

,
Knark,Adore,
Hack
Defender
Web
Brower Plug-
in
Email
Generator
a.Virus:
Với cách định nghĩa, phân loại này, virus là một loại mã độc hại (Malicious code)
có khả năng tự nhân bản. tự tái tạo và lây nhiễm chính nó vào các file, chương trình
hoặc máy tính. Như vậy, theo cách định nghĩa này virus máy tính phải luôn luôn
bám vào một vật chủ (đó là file dữ liệu hoặc file ứng dụng) để lây lan. Các chương
trình diệt virus dựa vào đặc tính này để thực thi việc phòng chống và diệt virus, để
quét các file trên thiết bị lưu, quét các file trước khi lưu xuống ổ cứng, ...
Về bản chất virus chỉ lây nhiễm trên một máy tính đơn, nhưng nó sẽ có thể
lan sang nhiều máy tính khác bằng cách lây nhiễm vào các file share trên hệ thống
mạng nội bộ, máy nào truy cập vào thì sẽ bị nhiễm. Hoặc virus có thể được gửi qua
email để lây lan trên mạng diện rộng. Điều này cũng giải thích vì sao đôi khi các
phần mềm diệt virus tại PC đưa ra thông báo “phát hiện ra virus nhưng không diệt
được” khi thấy có dấu hiệu hoạt động của virus trên PC, bởi vì “vật mang virus” lại
nằm ở máy khác nên không thể thực thi việc xoá đoạn mã độc hại đó.
Phân loại: người ta chia virus thành 2 loại chính:
• Nonresident virus (virus ko thường trú):loại virus này gồm 2 module
là finder module và replication module. Finder có nhiệm virus tìm các file cần lây
nhiễm, cứ mỗi file tìm được, nó sẽ gọi replication module để lây nhiễm file đó.
• Resident virus (virus thường trú):ở loại này, virus chỉ có replication
module. Virus tải replication module vào trong bộ nhớ, và mỗi khi hệ điều hành
thực thi một file nhất định nào đó, replication module được gọi và lây nhiễm virus

vào các chương trình đang thực thi trên hệ điều hành.
b. Worm:
Worm cũng là một chương trình có khả năng tự nhân bản và tự lây nhiễm
trong hệ thống tuy nhiên nó có khả năng “tự đóng gói”, điều đó có nghĩa là worm
không cần phải có “file chủ” để mang nó khi nhiễm vào hệ thống. Như vậy, có thể
thấy rằng chỉ dùng các chương trình quét file sẽ không diệt được worm trong hệ
thống vì worm không “bám” vào một file hoặc một vùng nào đó trên đĩa cứng. Môi
trường hoạt động của worm chủ yếu là môi trường mạng, khác với virus là chỉ “ăn
dần ăn mòn” một máy tính nhất định, mục tiêu của worm là “ăn mòn” mạng, làm
lãng phí nguồn lực băng thông của mạng và phá hoại hệ thống như xoá file, tạo
backdoor, thả keylogger,... Tấn công của worm có đặc trưng là lan rộng cực kỳ
nhanh chóng do không cần tác động của con người (như khởi động máy, copy file
hay đóng/mở file). Worm có thể chia làm 2 loại:
• Network Service Worm: lan truyền bằng cách lợi dụng các lỗ hổng
bảo mật của mạng, của hệ điều hành hoặc của ứng dụng. Sasser là ví dụ cho loại
worm này.
• Mass Mailing Worm: là một dạng tấn công qua dịch vụ mail, tuy
nhiên nó tự đóng gói để tấn công và lây nhiễm chứ không bám vào vật chủ là email.
Khi worm này lây nhiễm vào hệ thống, nó thường cố gắng tìm kiếm sổ địa chỉ và tự
gửi bản thân nó đến các địa chỉ thu nhặt được. Việc gửi đồng thời cho toàn bộ các
địa chỉ thường gây quá tải cho mạng hoặc cho máy chủ mail. Netsky, Mydoom là ví
dụ cho thể loại này.
c.Trojan:
Trojan là loại mã độc hại được đặt theo sự tích “Ngựa thành Troa”. Trojan không
tự nhân bản, tuy nhiên nó lây vào hệ thống với biểu hiện rất ôn hoà nhưng thực chất
bên trong có ẩn chữa các đoạn mã với mục đích gây hại. Trojan có thể lựa chọn một
trong 3 phương thức để gây hại:
• Tiếp tục thực thi các chức năng của chương trình mà nó bám vào, bên
cạnh đó thực thi các hoạt động gây hại một cách riêng biệt (ví dụ như gửi một trò
chơi dụ cho người dùng sử dụng, bên cạnh đó là một chương trình đánh cắp

password).
• Tiếp tục thực thi các chức năng của chương trình mà nó bám vào,
nhưng sửa đổi một số chức năng để gây tổn hại (ví dụ như một trojan giả lập một
cửa sổ login để lấy password) hoặc che dấu các hành động phá hoại khác (ví dụ như
trojan che dấu cho các tiến trình độc hại khác bằng cách tắt các hiển thị của hệ
thống).
• Thực thi luôn một chương trình gây hại bằng cách núp dưới danh một
chương trình không có hại (ví dụ như một trojan được giới thiệu như là một chò
chơi hoặc một tool trên mạng, người dùng chỉ cần kích hoạt file này là lập tức dữ
liệu trên PC sẽ bị xoá hết).
d.Malicious Mobile Code
Malicious Mobile Code là một dạng mã phần mềm có thể được gửi từ xa
vào để chạy trên một hệ thống mà không cần đến lời gọi thực hiện của người dùng
hệ thống đó. Malicious Mobile Code được coi là khác với virus, worm ở đặc tính là
nó không nhiễm vào file và không tìm cách tự phát tán . Thay vì khai thác một điểm
yếu bảo mật xác định nào đó, kiểu tấn công này thường tác động đến hệ thống bằng
cách tận dụng các quyền ưu tiên ngầm định để chạy mã từ xa. Các công cụ lập trình
như Java, ActiveX, JavaScript, VBScript là môi trường tốt cho malicious mobile
code. Một trong những ví dụ nổi tiếng của kiểu tấn công này là Nimda, sử dụng
JavaScript.
Kiểu tấn công này của Nimda thường được biết đến như một tấn công hỗn
hợp (Blended Atatck). Cuộc tấn công có thể đi tới bằng một email khi người dùng
mở một email độc bằng web-browser. Sau khi nhiệm vào máy này, Nimda sẽ cố
gắng sử dụng sổ địa chỉ email của máy đó để phát tán tới các máy khác. Mặt khác,
từ máy đã bị nhiễm, Nimda cố gắng quét các máy khác trong mạng có thư mục chia
sẻ mà không bảo mật, Nimda sẽ dùng dịch vụ NetBIOS như phương tiện để chuyển
file nhiễm virus tới các máy đó. Đồng thời Nimda cố gắng dò quét để phát hiện ra
các máy tính có cài dịch vụ IIS có điểm yếu bảo mật của Microsoft. Khi tìm thấy,
nó sẽ copy bản thân nó vào server. Nếu một web client có điểm yếu bảo mật tương
ứng kết nối vào trang web này, client đó cũng bị nhiễm (lưu ý rằng bị nhiễm mà

không cần “mở email bị nhiễm virus”). Quá trình nhiễm virus sẽ lan tràn theo cấp số
nhân.
e.Attacker Tool
Là những bộ công cụ tấn công có thể sử dụng để đẩy các phần mềm độc hại
vào trong hệ thống. Các bộ công cụ này có khả năng giúp cho kẻ tấn công có thể
truy nhập bất hợp pháp vào hệ thống hoặc làm cho hệ thống bị lây nhiễm mã độc
hại. Khi được tải vào trong hệ thống bằng các đoạn mã độc hai, attacker tool có thể
chính là một phần của đoạn mã độc đó (ví dụ như trong một trojan) hoặc nó sẽ được
tải vào hệ thống sau khi nhiễm. Ví dụ như một hệ thống đã bị nhiễm một loại worm,
worm này có thể điều khiển hệ thống tự động kết nối đến một web-site nào đó, tải
attacker tool từ site đó và cài đặt attacker tool vào hệ thống. Attacker tool thường
gặp là backdoor và keylogger.
• Backdoor: Là một thuật ngữ chung chỉ các phần mềm độc hại
thường trú và đợi lệnh điều khiển từ các cổng dịch vụ TCP hoặc UDP. Một cách