(Thảo luận) tìm hiểu về các loại nguy cơ đe dọa tới sự an toàn của các giao dịch thanh toán điện tử hiện nay theo nhóm, những loại nguy cơ nào có khả năng bùng phát mạnh nhất trong thời gian tới

TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
KHOA HTTTKT & TMĐT

BÀI THẢO LUẬN
HỌC PHẦN: THANH TỐN ĐIỆN TỬ

Đề tài : Tìm hiểu về các loại nguy cơ đe dọa tới sự an toàn của các
giao dịch thanh toán điện tử hiện nay. Theo nhóm, những loại
nguy cơ nào có khả năng bùng phát mạnh nhất trong thời gian
tới.

NHÓM
GIẢNG
VIÊN
DẪN
MÃ LỚP HP

:6
HƯỚNG : TS. Nguyễn Trần Hưng
: 2062PCOM0411

HÀ NỘI 2020

DANH SÁCH THÀNH VIÊN NHÓM 6


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

STT

Mã SV

Họ Và Tên

Lớp HP

TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

1

2

3

18D140169

18D140109

18D140050

4

18D140230

5

18D140051

Nguyễn

Thùy Trang
Trần Thị Thu
Trang
Vũ Thu Trang
(Thư ký)
Trịnh

Thu

Trúc
Trần Đức Tú
Khuất

6

18D140231

Thị

Tứ

Chương 3: Các giải
K54I3

18D140171

K54I2

pháp ngăn chặn đe
dọa trong TTĐT
Tổng hợp word,

K54I1

K54I4
K54I1

Chỉnh sửa và rà
sốt nội dung
Thuyết trình
Làm Powerpoint
Thuyết trình, phân

Hồng
(Nhóm K54I4

Hồng

pháp ngăn chặn đe
dọa trong TTĐT
Chương 3: Các giải

trưởng)

7

Nhiệm vụ

công

công

việc,

quản lý và rà soát
nội dung
Chương 2: Phần

Thế

Tùng

K54I3

2.1: Các nguy cơ
đe dọa từ bên ngoài
DN
Chương 2: Phần
2.2: Các nguy cơ

8

18D140053

Đoàn Thị Vi

K54I1

đe dọa từ bên trong
DN hoặc trong hệ
thống TTĐT.
Chương 1: Khái

9

18D140354

Trần Thị Yến

K54I6

niệm và các vấn đề
đặt ra đối với an
toàn trong TTĐT
Chương 2: Phần
2.3: Các loại nguy

10

17D180012

Vương

Việt

Hà

K53H1

cơ có khả năng
bùng phát mạnh
nhất trong thời gian
tới.
Chương 2: Phần

11

18D140291

Nguyễn

Thị

K54I5

2.1: Các nguy cơ

Đánh giá


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI

HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

MỤC LỤC
LỜI MỞ ĐẦU.........................................................................................................................................1
I. KHÁI NIỆM VÀ CÁC VẤN ĐỀ ĐẶT RA VỚI AN TỒN TRONG TTĐT...............................2
1.1. Khái niệm an tồn trong TTĐT.....................................................................................................2
1.2. Các vấn đề đặt ra với an toàn trong TTĐT hiện nay..................................................................2
II. CÁC NGUY CƠ ĐE DỌA CƠ BẢN ĐỐI VỚI THANH TOÁN ĐIỆN TỬ................................5
2.1. Các nguy cơ đe dọa từ bên ngoài DN (Nguy cơ khách quan).....................................................5
2.1.1 Phishing..................................................................................................................................5
2.1.2 Virus và các loại mã độc........................................................................................................9
2.1.3 Tin tặc (hacker) và một số hình thức tấn cơng phổ biến của hacker: Tính chủ động và
linh hoạt lớn Tấn công cao và mức độ phá hủy lớn...................................................................12
2.2. Các nguy cơ đe dọa từ bên trong DN hoặc trong hệ thống TTĐT (nguy cơ chủ quan)........14
2.3. Nguy cơ có khả năng bùng phát mạnh nhất trong thời gian tới..............................................16
III.CÁC GIẢI PHÁT HẠN CHẾ ĐE DỌA RỦI RO TRONG THANH TOÁN ĐIỆN TỬ.........21
KẾT LUẬN...........................................................................................................................................25
Tài liệu tham khảo:...............................................................................................................................27


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

LỜI MỞ ĐẦU
Trong kỷ nguyên số, tại các nước đang phát triển, vai trò của tiền mặt đang dần
đựơc thay thế bởi các hình thức thanh tốn khác như thanh tốn điện tử, cịn ở Việt
Nam, sử dụng tiền mặt trong thanh toán vẫn là xu hướng chủ đạo, tuy nhiên, để bắt kịp
xu hướng của Công nghiệp cách mạng công nghệ 4.0, trong tương lai gần, Việt Nam

cũng sẽ dần loại bỏ hoàn tồn tiền mặt ra khỏi hình thức thanh tốn.
Bên cạnh việc tiếp tục hoàn thiện và phát triển các phương thức thanh toán
truyền thống như thanh toán bằng tiền mặt, thanh tốn thơng qua ủy nhiệm thu, ủy
nhiệm chi… các phương tiện, dịch vụ thanh toán điện tử tại Việt Nam gần đây đang có
xu hướng phát triển mạnh và đa dạng.
Tiến kịp xu hướng mới, các ngân hàng thương mại (NHTM) cũng đã chủ động
tiếp cận, phát triển các phương tiện, dịch vụ thanh tốn khơng dùng tiền mặt
(TTKDTM) ứng dụng công nghệ mới, hiện đại, gia tăng tiện tích và tiện lợi nhằm đáp
ứng tốt hơn nhu cầu ngày càng cao của khách hàng, như thẻ ngân hàng, thanh toán qua
điện thoại di động, thanh toán qua Internet…
Tuy nhiên đi kèm với sự phát triển của của thanh tốn điện tử thì các mối đe
dọa như Worms, Trojan, virus, phishing, tấn công từ chối dịch vụ… cũng phát triển
mạnh. Điều này đe dọa đến việc bảo mật thông tin đối với các hệ thống thanh toán
điện tử. Nhận thức được điều này nhóm đã tìm hiểu về các loại nguy cơ đe dọa tới sự
an toàn của các giao dịch thanh toán điện tử hiện nay và đưa ra các giải pháp hạn chế
những nguy cơ này.

1


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

I.

KHÁI NIỆM VÀ CÁC VẤN ĐỀ ĐẶT RA VỚI AN TOÀN TRONG
TTĐT

I.1.

Khái niệm an tồn trong TTĐT

An tồn trong thanh tốn điện tử được hiểu là an tồn thơng tin trao đổi giữa
các chủ thể khi tham gia giao dịch thanh tốn, an tồn cho các hệ thống (hệ thống máy
chủ thương mại và các thiết bị đầu cuối, đường truyền…) không bị xâm hại từ bên
ngồi hoặc có những khả năng chống lại những tai hoạ, lỗi hoặc sự tấn cơng từ bên
ngồi.
I.2.

Các vấn đề đặt ra với an toàn trong TTĐT hiện nay

Giao thức internet TCP IP khơng an tồn, vì thơng tin phải truyền qua rất nhiều
nút mạng rồi mới đến đích. Tại các nút mạng đấy, thơng tin có thể bị chặn dị, hacker
có thể đọc được dưới dạng bit 0 1 và chúng có thể sửa đổi nội dung. Tính bảo mật và
tính tồn vẹn của thơng tin khơng được đảm bảo.
Bây giờ, đánh cắp thông tin thường là đánh cắp thông tin cá nhân của người
dùng, đánh cắp thơng tin về phương tiện thanh tốn về cá nhân người dùng và hacker
có thể bán hoặc phá hoại hoặc trục lợi. Go fishing và fishing crammail là 2 phương
pháp các hacker thường dùng để đánh cắp thông tin. Chúng thường đánh vào 2 bản
ngã của người dùng: lòng tham, khía cạnh tình cảm để lợi dụng nhằm đánh cắp thông
tin của người dùng. Để tránh fishing spamming cần nhớ: email từ bank thật gửi tới
không bao giờ bắt click vào link, bao giờ cũng có tên cụ thể người nhận



Nhìn từ góc độ người tiêu dùng. Website u cầu:


Khơng chứa đựng virus hay các đoạn mã nguy hiểm trong các

website và các bản khai thông tin cá nhân.


Được sử dụng đúng website của các công ty hợp pháp.



Được bảo mật các thơng tin về phương tiện thanh tốn: thẻ thanh

tốn, tk, số pin và password.



Nhìn từ góc độ DN. Website Yêu cầu:


Bảo vệ website bởi các tấn công từ bên ngoài:

2


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Bảo mật hệ thống website: Đây là kênh giao tiếp chính của doanh nghiệp với
khách hàng, cũng chính là điểm yếu bị tấn cơng nhiều nhất. Việc sử dụng các công cụ
bảo mật & cảnh báo sự cố website là cần thiết đối với mọi doanh nghiệp. Ngoài ra đối
với các doanh nghiệp TMĐT, tài chính – ngân hàng, ví điện tử, thanh tốn online,…

nên thực hiện pen-test thường xuyên cho website để chủ động phịng tránh tấn cơng.
Bảo mật máy chủ & hệ thống Cloud: Công nghệ đám mây (cloud computing)
đang là xu hướng tất yếu vì tiện lợi hơn, an tồn hơn. Tuy nhiên chúng không hề “miễn
nhiễm” với các cuộc tấn công mạng. Hãy đảm bảo sử dụng dịch vụ của các nhà cung
cấp uy tín như Amazon AWS, hay Microsoft Azure.
Bảo mật hệ thống IT/OT & mạng nội bộ (networks): Nếu một thiết bị dính Mã
độc hoặc Virus, nguy cơ cả mạng lưới doanh nghiệp bị ảnh hưởng là rất cao. Do đó,
cần có biện pháp ngăn chặn sự phát tán của mã độc trong mạng nội bộ, hệ thống
CNTT, hệ thống vận hành để hạn chế rủi ro cho doanh nghiệp.
Nâng cao nhận thức của Cán bộ – nhân viên: Đây được xem là yếu tố quan
trọng nhưng thường bị “lãng quên”. Đôi khi, chỉ cần một sơ ý nhỏ của nhân viên (mở
email chứa mã độc, hoặc đặt mật khẩu facebook quá đơn giản) đã có thể khiến doanh
nghiệp bị tấn công mạng gây thiệt hại nặng nề. Vì thế, bên cạnh các biện pháp về máy
móc – công nghệ, doanh nghiệp cũng cần chú ý tới vai trị của con người trong việc
bảo mật thơng tin.


Bảo vệ người dùng khi tham gia vào các giao dịch thanh tốn:

Để đảm bảo thơng tin riêng tư của khách hàng được bảo mật, trước tiên
DN phải công bằng, minh bạch trong cách ứng xử và hoạt động của mình, website
phải hiển thị mục thông tin DN rõ ràng. DN cần thiết lập quyền riêng tư cho khách
hàng thông qua những tài khoản cá nhân để họ có thể tự xác định những thông tin cần
bảo mật, những thông tin cho phép hoặc không cho phép truy cập, đồng thời giúp họ
xem được q trình bảo mật thơng tin của mình để bảo đảm thơng tin khơng bị rị rỉ.
DN cần có chế độ bảo mật phù hợp trong giao dịch với khách hàng,
thống kê được các hoạt động và giao dịch bất thường phát sinh trong hệ thống, có
những hướng dẫn cho khách hàng khi cung cấp thông tin, chủ động trong việc giải
quyết những vấn đề lạm dụng thông tin khách hàng.

3


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG



Nhìn từ góc độ hệ thống thanh toán điện tử: một HTTTĐT muốn được
coi là an toàn cần phải đảm bảo 7 yêu cầu sau đây:
Tính bí mật: đảm bảo cho các thơng tin trao đổi 2 chiều giữa người dùng và

hệ thống không bị tiết lộ trong q trình truyền dù thơng tin đó có thể bị chặn dị
nhưng khơng thể nào đọc được hiểu được.
Tính tồn vẹn: đảm bảo cho các thơng tin trao đổi 2 chiều không bị biến đổi
trong quá trình truyền, bất kỳ một sự sửa đổi hay thế nội dung nào dù là nhỏ nhất cũng
sẽ dễ dàng bị phát hiện.
Tính sẵn sàng: đảm bảo cho các thơng tin hoặc DV luôn luôn sẵn sàng đáp
ứng yêu cầu truy cập của người dùng, nói cách khác người dùng ln có thể truy cập
các thơng tin, DV này khi cần thiết.
Tính chống từ chối, phủ định: một hệ thống TTĐT cần phải đảm bảo chống
lại các từ chối hay phủ nhận các giao dịch thanh toán đã thực hiện thông qua cung cấp
các bằng chứng cụ thể. VD: người dùng tiến hành thanh tốn thơng qua PSP qua hệ
thống banking, q trình thanh tốn diễn ra hồn tất, nhưng người bán phủ nhận là
khơng có giao dịch nào diễn ra, và khơng giao hàng, thì lúc này hệ thống thanh tốn sẽ
cung cấp bằng chứng có giao dịch diễn ra,... vì vậy người bán phải giao hàng hoặc
phải trả lại tiền cho KH.
Xác thực: là việc xác định xem những ai là người tham gia vào quá trình giao
dịch trao đổi thơng tin về phương tiện thanh tốn. Đối với hệ thống TTĐT, thực hiện 2

công việc xác thực đó là xác định xem chủ thể của giao dịch là những ai và đối tượng
của giao dịch là cái gì? (là phương tiện thanh tốn là séc, là thẻ,... hay là gì). Hai là sử
dụng phương tiện thanh tốn để mua sắm cái gì?
Cấp phép - Authorization: Là 1 công việc mà HT TTĐT cần làm. Là việc xác
định xem những ai là người có quyền truy cập vào tài nguyên hệ thống và những loại
tài nguyên nào thì người này được phép sử dụng. Phương pháp cấp phép hay thấy nhất
là cấp phép mật khẩu, sử dụng mật khẩu để đăng nhập, hoặc cấp phép cho admin, biên
tập,... xác định ai là người có quyền truy cập và mức truy cập đến đâu.
Kiểm soát – Auditing: là việc thu thập các thơng tin về q trình truy cập vào
tài nguyên hệ thống của người dùng. Là cơ sở để tạo điều kiện cho chống từ chối và
phủ nhận diễn ra.
4


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Cấp phép và xác thực là 2 công việc diễn ra đồng thời, kiểm sốt là ơng việc
diễn ra sau đó.
II.

CÁC NGUY CƠ ĐE DỌA CƠ BẢN ĐỐI VỚI THANH TOÁN ĐIỆN
TỬ

II.1. Các nguy cơ đe dọa từ bên ngoài DN (Nguy cơ khách quan)
Nguy cơ khách quan là những nguy cơ đe dọa do các nhân tố bên ngoài sử dụng
phần mềm, tri thức và kinh nghiệm chuyên môn tấn công vào hệ thống thanh tốn điện
tử của DN. Tồn cảnh các nguy cơ đe dọa từ bên ngồi DN:
2.1.1

a.

Phishing

Phishing (Tấn cơng giả mạo)

Là hình thức tấn cơng mạng mà kẻ tấn cơng giả mạo thành một đơn vị uy tín để
lừa đảo người dùng cung cấp thông tin cá nhân cho chúng.
Thông thường, tin tặc sẽ giả mạo thành ngân hàng, trang web giao dịch trực
tuyến, ví điện tử, các cơng ty thẻ tín dụng để lừa người dùng chia sẻ các thông tin nhạy
cảm như: tài khoản & mật khẩu đăng nhập, mật khẩu giao dịch, thẻ tín dụng và các
thơng tin quý giá khác.
Phương thức tấn công này thường được tin tặc thực hiện thông qua email và tin
nhắn. Người dùng khi mở email và click vào đường link giả mạo sẽ được yêu cầu đăng
nhập. Nếu “mắc câu”, tin tặc sẽ có được thơng tin ngay tức khắc.
Phương thức phishing được biết đến lần đầu tiên vào năm 1987. Nguồn gốc của
từ Phishing là sự kết hợp của 2 từ: fishing for information (câu thơng tin) và phreaking
(trị lừa đảo sử dụng điện thoại của người khác không trả phí). Do sự giống nhau giữa
việc “câu cá” và “câu thông tin người dùng”, nên thuật ngữ Phishing ra đời.
b.



Các phương thức tấn công Phishing
Phishing Email

Một trong những kỹ thuật cơ bản trong tấn công Phishing là giả mạo email. Tin
tặc sẽ gửi email cho người dùng dưới danh nghĩa một đơn vị/tổ chức uy tín, dụ người
dùng click vào đường link dẫn tới một website giả mạo và “mắc câu”.

5


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Những email giả mạo thường rất giống với email chính chủ, chỉ khác một vài
chi tiết nhỏ, khiến cho nhiều người dùng nhầm lẫn và trở thành nạn nhân của cuộc tấn
công.
Để làm cho nội dung email giống thật nhất có thể, kẻ tấn công luôn cố gắng
“ngụy trang” bằng nhiều yếu tố:
-

Địa chỉ người gửi (VD: địa chỉ đúng là thì địa

chỉ giả mạo có thể là ).
-

Chèn Logo chính thức của tổ chức để tăng độ tin cậy.

-

Thiết kế các cửa sổ pop-up giống y hệt bản gốc (cả về màu sắc, font chữ,

-

Sử dụng kĩ thuật giả mạo đường dẫn (link) để lừa người dùng (VD: text

…).
là vietcombank.com.vn nhưng khi click vào lại điều hướng tới vietconbank.com.vn).
-

Sử dụng hình ảnh thương hiệu của các tổ chức trong email giả mạo để

tăng độ tin cậy.
➔

Mánh khóe tinh vi của kẻ tấn công Phishing khiến nạn nhân dễ dàng tin

tưởng và đăng nhập.



Giả mạo website
Thực chất, việc giả mạo website trong tấn công Phishing chỉ là làm giả một

Landing page chứ không phải toàn bộ website. Trang được làm giả thường là trang
đăng nhập để cướp thông tin của nạn nhân.
Nếu thanh tốn hóa đơn online thơng qua các cổng thanh tốn hay qua trang
web của ngân hàng thì cần phải cẩn thận vì có thể website đang thực hiện thanh tốn là
website giả. Do đó, cần nên nhận biết được những cách thức để kiểm chứng được
website đó là web trực thuộc doanh nghiệp có uy tín quản lý. Đầu tiên, một website
được đánh giá là an toàn thường bắt đầu bởi cụm https:// và có một biểu tượng ổ khóa
trên thanh địa chỉ (nghĩa là website đã được bảo vệ). Ngồi ra sau khi bạn truy cập vào
URL sẽ có dòng chữ màu xanh hiện ra đầu tiên ở thanh địa chỉ biểu thị tên doanh
nghiệp đang quản lý website đó. Đây là một trong những cách thức đơn giản nhất để
nhận ra một website có uy tín hay khơng.



Vishing

6


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Vishing là hình thức tấn cơng lừa đảo qua điện thoại. Đó thường là lời nhắn thu
âm sẵn, theo đó có một vấn đề khẩn cấp cần giải quyết, hoặc một hóa đơn quá hạn.
Nội dung cịn có thể nhắc đến cảnh sát hoặc cơ quan chính phủ. Tên hiển thị có thể là
“PayPal” hoặc những cơng ty đáng tin khác



SMShing
SMShing đó là một thuật ngữ kết hợp giữa SMS và câu cá. Các văn bản thường

đến từ một người nào đó giả vờ là từ các cơng ty lớn. Thậm chí một số, từ các ngân
hàng uy tín. Các tin nhắn thường có một liên kết có thể đưa bạn đến một trang web độc
hại nhằm đánh cắp các thông tin cá nhân, thơng tin tài chính từ chính người dùng.



Vượt qua các bộ lọc Phishing
Hiện nay, các nhà cung cấp dịch vụ email như Google hay Microsoft đều có

những bộ lọc email spam/phishing để bảo vệ người dùng. Tuy nhiên những bộ lọc này
hoạt động dựa trên việc kiểm tra văn bản (text) trong email để phát hiện xem email đó
có phải phishing hay không. Hiểu được điều này, những kẻ tấn công đã cải tiến các
chiến dịch tấn công Phishing lên một tầm cao mới. Chúng thường sử dụng ảnh hoặc
video để truyền tải thơng điệp lừa đảo thay vì dùng text như trước đây. Người dùng
cần tuyệt đối cảnh giác với những nội dung này.

Ví dụ về việc bị tấn công fishing của Công ty GitHub:
Đầu năm 2020, kho lưu trữ phần mềm nguồn mở lớn nhất thế giới GitHub đã
trở thành mục tiêu của một chiến dịch tấn công lừa đảo (phishing attack) được thiết kế
đặc biệt để thu thập và đánh cắp thông tin đăng nhập của các thành viên thông qua
những website giả mạo bắt chước trang đăng nhập của GitHub.
Cách thức: Thông qua email lừa đảo, hacker sử dụng nhiều loại “mồi nhử”
khác nhau nhằm lừa mục tiêu nhấp vào liên kết độc hại đính kèm. Trong trường hợp
người dùng GitHub bị lừa và nhấp vào liên kết để kiểm tra hoạt động tài khoản của
mình, họ sẽ được chuyển hướng đến trang đăng nhập GitHub giả mạo, được thiết kế
giống thật tới 99%. Nếu nạn nhân không nhận ra và nhập thông tin đăng nhập như
bình thường, tồn bộ thơng tin đăng nhập tài khoản của họ sẽ bị lưu lại và gửi đến các
máy chủ do kẻ tấn cơng kiểm sốt.
7


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Bên cạnh đó, trang đích lừa đảo cũng sẽ lọc mã 2FA của nạn nhân trong thời gian thực
nếu họ đang sử dụng ứng dụng di động với thuật toán mật khẩu một lần dựa trên thời
gian (TOTP). Cơ chế nguy hiểm này cho phép kẻ tấn công dễ dàng xâm nhập vào tài
khoản được bảo vệ bằng phương thức xác thực hai yếu tố dựa trên TOTP.

Đặc biệt, email lừa đảo được gửi từ các tên miền hợp pháp, sử dụng các máy chủ email
bị xâm nhập trước đó hoặc với sự trợ giúp của thông tin API bị đánh cắp của các nhà
cung cấp dịch vụ email hàng loạt hợp pháp.
Ngoài ra, những kẻ tấn công đứng sau chiến dịch này cũng sử dụng các dịch vụ rút
ngắn URL được thiết kế để ẩn URL của trang đích, đồng thời kết hợp xâu chuỗi nhiều
dịch vụ rút ngắn URL nhằm tăng cường khả năng che giấu. Bên cạnh đó, để khiến liên
kết độc hại đính kèm trong email khó bị nhận diện hơn, chúng cũng sử dụng các
chuyển hướng dựa trên PHP trên những website bị xâm nhập.
Biện pháp:
“ Nếu những kẻ tấn công đánh cắp thành công thông tin đăng nhập tài khoản của
người dùng Github, chúng có thể nhanh chóng tạo mã thông báo truy cập cá nhân
Gitbub hoặc ủy quyền cho các ứng dụng Oauth trên tài khoản để duy trí quyền truy
cập trong trường hợp nạn nhân thay đổi mật khẩu” – đại diện đội ngũ ứng phó sự cố an
ninh của github (Sirt) cho biết trong một cảnh báo. Ông cho biết thêm: Tuy nhiên , các
tài khoản được bảo vệ bởi khóa bảo mật phần cứng sẽ gần như không bị ảnh hưởng
bởi phương thức tấn cơng này.
Tước tình hình đó, GitHub đã kịp thời phát hiện ngăn chặn và đưa ra 1 số khuyến cáo
với người dùng:
Khuyến nghị được đội ngũ SIRT đưa ra cho người dùng Github như sau:
 Đặt lại mật khẩu tài khoản ngay lập tức.
 Đặt lại mã phục hồi hai yếu tố của tài khoản ngay lập tức.
 Xem lại mã thông báo truy cập cá nhân.
8


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

 Thực hiện các bước bổ sung để kiểm soát và bảo mật tài khoản tốt hơn.

 Xem xét sử dụng khóa bảo mật phần cứng và sử dụng trình quản lý mật khẩu
tích hợp với trình duyệt.
 Cảnh giác với mọi email gửi đến.
 Vì kịp thời phát hiện sớm và đưa ra những cảnh báo nên Github không bị
những ảnh hưởng hay thiệt hại nặng nề.
2.1.2

Virus và các loại mã độc.

Virus: có khả năng tự sao chép và là vật chủ ký sinh. Trong khoa học



máy tính: virus được hiểu là các chương trình hay bản mã được thiết kế để nhân bản và
lây nhiễm chính bản thân chúng vào các đối tượng khác. Các đối tượng khác có thể là
các file, các chương trình, các ổ đĩa 3 loại virus từ yếu đến mạnh
Các phương thức tấn công Virus
Macro virus: virus văn bản, chuyên tấn công vào các tệp ứng dụng soạn



thảo của word, excel, powerpoint,...
Cơ chế lây nhiễm: khi một tệp tin văn bản bị nhiễm virus được mở ra, virus
sẽ thực hiện tự sao chép chính bản thân nó và lây nhiễm vào tệp chứa đựng khuôn mẫu
chung của ứng dụng để từ đó tất cả các tài liệu được tạo mới ra đều mặc định bị nhiễm
macro virus.


Virus tệp: file infecting virus chuyên lây nhiễm vào các tệp mệnh lệnh

tự thi hành. Tệp mệnh lệnh tự thi hành là một tệp tin tự bản thân nó có khả năng thực
thi khơng cần mở nó qua bất kỳ ứng dụng trung gian nào. Là các tệp tin có phần đuôi
mở rộng như sau .exe, .com, .bat, cmd, .reg, .dll
Cơ chế lây nhiễm: khi người dùng chạy một tệp mệnh lệnh thi hành bị nhiễm
virus, virus sẽ tự thực hiện tự sao chép chính bản thân nó và lây nhiễm vào toàn bộ các
tệp mệnh lệnh được thi hành khác trên hệ thống đang được thực thi tại thời điểm trên
hệ thống. Đây là những tệp file gốc của hệ thống. VD: virus chernobyl


Virus Script: Được tạo ra bởi 2 ngơn ngữ lập trình là visual basic script

và javascript. Chun lây nhiễm vào các chương trình có phần đi mở rộng .vbs, .js

9


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Cơ chế lây nhiễm: Khi một chương trình có phần đi mở rộng .vbs hoặc js
bị nhiễm virus được kích hoạt. Virus sẽ thực hiện tự sao chép chính bản thân nó và lây
nhiễm vào tồn bộ các chương trình có phần đi mở rộng .vbs và .js trên hệ thống
=> .vbs và .js là chương trình gốc của hệ thống. VD: virus i love you


Sâu máy tính (worm): Là một chương trình phần mềm có sức lây lan

nhanh chóng và rộng khắp và phổ biến nhất hiện nay trên thế giới.
Điểm giống nhau giữa sâu máy tính và virus:



Cả virus và sâu máy tính đều là những chương trình hay đoạn mã được

tạo ra bởi các ngơn ngữ lập trình.


Cả 2 đều được tạo ra nhằm mục đích phá hoại hoặc trục lợi cá nhân.



Cả virus và sâu máy tính đều có khả năng tự nhân bản.
Điểm khác nhau
Sâu máy tính
1 sâu máy tính khơng cần phải có

Virus
1 virus ln cần phải có 1 tệp tin

bất kỳ tệp tin mồi nào để đính kèm. mồi để đính kèm. Virus máy tính khơng
Chúng có khả năng tồn tại độc lập.

thể nào tồn tại độc lập.

Chúng có khả năng tự nhân bản mà

Chỉ khi nào người dùng mở tệp tin

khơng cần kích hoạt, tự lây nhiễm, tự phát mồi mà virus đính kèm thì khi đó virus
tán qua mơi trường internet, qua các mạng mới được kích hoạt để tiến hành tự sao

ngang hàng hoặc các DV chia sẻ ví dụ chép và lây nhiễm
như chia sẻ phần mềm, chia sẻ ảnh,...
những chia sẻ miễn phí rất dễ bị nguy cơ
virus hoặc chỉ cần truy cập vào 1 web chia
sẻ nếu như web đó có sâu máy tính thì
ngay lập tức sẽ bị nhiễm.
Ví dụ về sâu máy tính: w32


Con ngựa thành Tơroa (Trojan horse): Là một chương trình phần

mềm được tạo ra theo đúng các mô tả của con ngựa gỗ trong câu chuyện thành Tơroa
trong Phim cuộc chiến thành Troy.

10


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

-

Con ngựa thành Toroa là 1 chương chương trình mềm được ngụy trang

bởi vẻ bề ngồi hào tồn vơ hại nhưng ẩn chứa bên trong lại là các đoạn mã nguy hiểm
có khả năng đánh cắp các thông tin cá nhân (các thông tin về tài khoản, thơng tin về
phương tiện thanh tốn, số pin, password) hoặc mở các cổng để hacker xâm nhập biến
máy tính hoặc 1 hệ thống bị khống chế trở thành công cụ để phát tán thư rác hoặc trở
thành công cụ để tấn công một website nào đấy.

-

Con ngựa thành Tơroa khơng có khả năng tự nhân bản.
Ví dụ: Trojan Antimalware doctor - trình duyệt chống virus - đội lốt
Phần mềm gián điệp (Spyware): Là một chương trình phần mềm được



thiết kế để theo dõi mọi hoạt động của người dùng trên hệ thống. Các Spyware có khả
năng thâm nhập trực tiếp vào hệ điều hành, không để lại dấu vết gì. Chúng âm thầm đi
thu thập dữ liệu của người dùng bao gồm cả các thông tin cá nhân, các thông tin về
lịch sử giao dịch, các thông tin về phương tiện thanh tốn. Sau đó gửi về cho tác giả
tạo ra Spyware, trên cơ sở những thông tin thu thập được, tác giả tạo ra Spyware có thể
sử dụng cho mục đích phá hoại hoặc trục lợi cá nhân.
VD: Win32.Greenscreen Lý giải vì sao con ngựa nguy hiểm nhất đối với các
giao dịch.
Phần mềm quảng cáo ngụy trang (Adware): là một chương trình phần



mềm được cài đặt một cách lén lút lên trên một HT máy tính hoặc do người dùng
không biết nên tự nguyện cài đặt thơng qua các DV chia sẻ hoặc tải miễn phí phần
mềm và các sản phẩm số hóa khác. Tuy nhiên, không dừng lại ở mức độ quảng cáo
đơn thuần. Phần mềm quảng cáo ngụy trang sẽ nhanh chóng chiếm hết dung lượng bộ
nhớ trong ram, bộ nhớ tạm thời hoặc kết hợp với các virus và sâu máy tính khác để
tăng hiệu quả tấn công hoặc phá hoại hệ thống người dùng hoặc hệ thống của DN.
2.1.3

Tin tặc (hacker) và một số hình thức tấn cơng phổ biến của hacker: Tính
chủ động và linh hoạt lớn Tấn cơng cao và mức độ phá hủy lớn



Khái niệm hacker: Là những người có khả năng xâm nhập bất hợp pháp

vào 1 hệ thống công nghệ thông tin. Người hacker này đã xác định rõ lỗi của HT đấy
và khai thác triệt để lỗ hổng đấy.


Phân loại hacker: 4 loại

11


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

+ Hacker mũ trắng: làm đúng các cơng việc mang tính chất lương thiện. Đây là
những chuyên gia phần mềm chuyên tìm lỗi để sửa chữa để giúp HT hoạt động tốt
hơn.
+ Hacker mũ đen: chuyên tìm khai thác lỗi của phần mềm HT với mục đích phá
hoại hoặc trục lợi.
+ Hacker mũ xanh/ samurai là loại hacker tài năng nhất hiếm nhất: được các
hãng lớn như google, fb,... thuê về để làm việc chuyên tìm và sửa lỗi cho phần mềm
+ Hacker mũ xám hay mũ nâu: làm cả việc của mũ trắng và mũ đen tấn cơng
thay đổi giao diện.
Một số hình thức tấn công phổ biến của hacker



-

Tấn công deface (tấn cơng thay đổi giao diện): là hình thức tấn cơng

chiếm quyền kiểm soát ở mức cao nhất. Và cũng là hình thức tấn cơng mà mọi hacker
đều mong muốn thực hiện vì nó chứng tỏ được bản lĩnh và trình độ của hacker. Là
hình thức tấn cơng ghi danh, kẻ tấn cơng muốn người khác biết tới mình và ghi nhận
khả năng của mình.
Tại sao tấn cơng này lại là tấn cơng chiếm quyền kiểm sốt ở mức cao nhất? Vì
lúc cuộc tấn cơng xảy ra, kẻ tấn cơng là người chiếm tồn kiềm kiểm sốt hệ thống
chứ khơng phải là admin nữa.
Cách thức tiến hành của tấn công deface: Bằng việc khai sách triệt để lỗ hổng
của phần mềm hoặc của HT mà hacker xâm nhập được vào sâu bên trong máy chủ của
một website và nắm quyền kiểm sốt máy chủ này. Sau đó sử dụng quyền kiểm soát để
tạo ra những thay đổi về mặt nội dung cũng như giao diện của website đó. Vào thời
điểm website bị tấn cơng deface, KH truy cập chỉ có thể nhìn thấy những nội dung,
những hình ảnh mà hacker đăng tải. Toàn bộ giao diện trước đây của website bị biến
đổi hồn tồn.
Hai điều kiện để có thể tấn cơng deface: kẻ tấn cơng phải là người có kinh
nghiệm, giỏi thực sự, HT mà hacker tấn cơng phải có lỗ hổng và hacker khai thác triệt
để lỗ hổng này.
-

Tấn công từ chối dịch vụ Dos (Denial of Service)

Mục đích: nhắm vào khả năng xử lý của máy chủ để làm quá tải máy chủ. Từ
đó gây ra hiện tượng tắc nghẽn mạng truyền thông.
12

TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

Cách thức tiến hành: Bằng cách khai thác sự không hiểu biết của người dùng
trên thiết bị máy tính cá nhân mà hacker nắm quyền điều khiển thiết bị máy tính cá
nhân này từ xa khi người dùng kết nối được với internet. Sau đó hacker sử dụng quyền
điều khiển để điều khiển thiết bị máy tính bị khống chế gửi một số lượng khổng lồ các
truy vấn thông tin tới máy chủ của một website làm cho máy chủ đó bị quá tải dẫn tới
mạng truyền thông bị tắc nghẽn. Lúc này máy chủ không thể nào đáp ứng được nhu
cầu truy cập DV từ các máy khách hàng khác hay còn gọi tấn cơng khơng ăn được thì
đạp đổ.
-

Tấn cơng từ chối dịch vụ phân tán Ddos: là hình thức biến tướng của

tấn công từ chối dịch vụ Dos
Cách thức tiến hành: bằng việc khai thác sự không hiểu biết của người dùng
trên thiết bị máy tính cá nhân mà hacker nắm được quyền điều khiển của một số lượng
khổng lồ của các thiết bị máy tính cá nhân từ xa khi người dùng kết nối với internet.
Sau đó hacker sử dụng quyền điều khiển để ra lệnh đồng loạt tấn công. Mỗi thiết bị
máy tính bị khống chế chỉ gửi đi duy nhất một truy vấn thông tin tới máy chủ của 1
website trong một đơn vị thời gian, làm cho máy chủ đó bị q tải, dẫn tới mạng
truyền thơng bị tắc nghẽn. khi đó máy chủ khơng thể nào đáp ứng được nhu cầu truy
cập dịch vụ từ các máy của khách hàng khác dos thì chống đối được cịn ddos khơng
chống đối được. Dos: 1 máy gửi nhiều truy vấn thơng tin cịn Ddos: nhiều máy gửi 1
truy vấn thông tin.
II.2. Các nguy cơ đe dọa từ bên trong DN hoặc trong hệ thống TTĐT (nguy
cơ chủ quan)
Đa phần các nguy cơ đe dọa từ bên trong DN đều có xuất phát hoặc có liên

quan trực tiếp tới nhân viên của DN đó, về cơ bản chia thành 2 loại nguy cơ:


Nguy cơ chủ động là loại nguy cơ mà các nhân viên bên trong DN là kẻ

xấu. Đây là những người có quyền truy cập vào tài nguyên hệ thống hoặc đánh cắp
quyền truy cập này từ các đồng nghiệp hay cộng tác viên. Sau đó sử dụng quyền truy
cập này nhằm mục đích phá hoại hoặc trục lợi cá nhân.


Nguy cơ bị động là loại nguy cơ mà các nhân viên bên trong DN bị lợi

dụng, kẻ xấu có thể lợi dụng quan hệ tình cảm hoặc sử dụng áp lực xã hội để ép buộc
13


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

nhân viên bên trong DN thực hiện các hành vi gây tổn hại tới tài nguyên hệ thống =>
tổ chức các khóa đào tạo về an toàn và an ninh hệ thống.
Ngoài ra, các lỗ hổng bảo mật, công nghệ kém cũng là một trong những nguy
cơ có thể kể đến ở đây:


Sự cố hoạt động do yếu kém trong hệ thống thông tin và công nghệ,

trang thiết bị: sự cố ngẫu nhiên như chức năng nào đó ngừng hoạt động (chức năng kế
tốn, chức năng bảo mật, hoặc lỗi trong quá trình truyền tải, xử lý thông tin). Kết quả

khảo sát thực trạng an tồn thơng tin tồn cầu do PwC thực hiện cho thấy, có tới 44%
DN khơng có chiến lược tổng thể về an tồn thơng tin; 48% khơng có chương trình
đào tạo nâng cao nhận thức về an tồn thơng tin cho nhân viên; 54% khơng có cơ chế
đối phó với tấn công mạng… Trước thực trạng này, nhiều chuyên gia cho rằng khơng
chỉ có các DN trên thế giới, mà tại Việt Nam, nhiều DN dù nhận thức được mối nguy
hại đến từ lỗ hổng an ninh mạng đang tăng cao nhưng vẫn chưa có sự chuẩn bị để đối
phó với rủi ro này.


Nhiều đơn vị trung gian thanh tốn lưu lại thơng tin của khách hàng để

tiện cho các giao dịch lần sau, nếu những đơn vị này khơng bảo mật tốt, bị mất dữ liệu
thì mất an tồn thơng tin khách hàng có thể xảy ra. Ví dụ, khi thực hiện dịch vụ nạp
tiền gọi xe thông minh, khách hàng phải điền thông tin, tài khoản lần đầu, hệ thống sẽ
lưu giữ lại. Những lần sau, khách hàng muốn nạp tiền thì hệ thống đã có thơng tin sẽ
tự động trừ số tiền muốn nạp vào ví điện tử mà khơng cần phải xác thực từ phía ngân
hàng hay qua tin nhắn. Như vậy, nếu tin tặc chiếm đoạt được cơ sở dữ liệu thì những
thơng tin của khách hàng sẽ khơng được bảo đảm an tồn.


Các ngân hàng và tổ chức cung cấp dịch vụ TTĐT chưa quan tâm sát

sao đến việc thường xuyên thông tin cập nhật các hình thức lừa đảo đến khách hàng,
cũng như đưa ra các cảnh báo đề phòng, hướng dẫn khách hàng để phòng tránh các
vấn đề rủi ro lừa đảo, khuyến cáo khách hàng tăng tính bảo mật thơng tin

Ví dụ về cuộc tấn cơng bên trong DN: ATM BIDV bị skimming tấn công.
Chị M.N.Q, (Cầu Giấy, Hà Nội), cho biết sáng ngày 16/1/2019, khi thức dậy
kiểm tra điện thoại chị thấy có một loạt tin nhắn từ ngân hàng BIDV thông báo chị rút
tiền. Tổng số 9 lần rút tiền (7 lần 5 triệu đồng/ lần, 2 lần 2 triệu đồng/ lần) với số tiền

14


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

lên đến 39 triệu đồng. Số dư tài khoản còn lại hơn 500 ngàn đồng kẻ gian đã để lại.
Thời điểm rút tiền từ 5h38 cho đến 5h46 phút sáng ngày 16/1/2019.
Theo lời kể của chị Q., chị gọi điện cho BIDV chi nhánh Mỹ Đình, thì được nữ giao
dịch viên tên Nhung sau khi kiểm tra cho biết các giao dịch rút tiền từ thẻ ATM của chị
được thực hiện ở một cây ATM ở huyện Từ Sơn, Bắc Ninh. Đến trực tiếp chi nhánh
BIDV trên đường Dương Đình Nghệ (n Hồ, Cầu Giấy) – nơi chị thường rút tiền tại
cây ATM ở đây, nhân viên giao dịch cho biết vừa nhận được hai khiếu nại tương tự,
cũng bị rút tiền ở cây ATM Từ Sơn, Bắc Ninh. Nhân viên ngân hàng cho biết ngân
hàng sẽ điều tra và trả lời khách hàng sau, nhưng chỉ hứa hẹn trong vòng 30 ngày.
Theo quy trình, trong những trường hợp này ngân hàng sẽ điều tra. Nếu lỗi thuộc về
ngân hàng (như không đảm bảo bảo mật thông tin khi khách hàng rút tiền tại ATM) thì
ngân hàng phải hồn tiền cho khách hàng. Cịn không, chủ thẻ phải chịu thiệt hại.
Trường hợp chủ thẻ khơng chấp nhận kết quả có thể kiện ra tồ.
Trường hợp chị Q. là nạn nhân của tấn công skimming rõ ràng hơn khi một loạt đồng
nghiệp của chị (đều nhận lương qua tài khoản BIDV) bị ngân hàng khoá thẻ. Có người
cho biết nhận được cuộc gọi của nhân viên BIDV thơng báo để bảo đảm an tồn cho
thẻ, đề nghị chủ thẻ đổi mật khẩu hoặc làm lại thẻ. Có người đến hơm sau nhận được
tin nhắn báo thẻ đã bị khố để bảo đảm an tồn. Qua tìm hiểu, thì những chủ thẻ ATM
bị ảnh hưởng là những người rút tiền từ ngày 1/1/2019 đến ngày 10/1/2019 tại hai cây
ATM của ngân hàng BIDV đặt tại tòa nhà HH2 (Yên Hoà, Cầu Giấy) và Tổng cục Hải
quan (đường Dương Đình Nghệ).
Skimming là thủ đoạn kẻ gian lấy cắp thông tin thẻ ATM bằng cách lắp đặt thiết bị trên
máy ATM, POS. Thông thường, chúng dùng bảng nhựa chứa thiết bị lấy cắp thơng tin

thẻ gắn phía ngồi khe quẹt thẻ. Khi người dùng đưa thẻ vào khe cắm, thẻ sẽ đi qua
thiết bị skimming trước rồi mới vào bên trong nên tội phạm sẽ lấy toàn bộ thơng tin
lưu trữ trên dải băng từ. Bên cạnh đó, chúng gài camera nhỏ, thường được ngụy trang
tinh vi và ốp ngay phía trên bàn phím của máy ATM để ghi lại toàn bộ hoạt động nhập
mã PIN của khách hàng khi rút tiền. Sau khi lấy thông tin thẻ và mã PIN, chúng sẽ sử
15


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

dụng thiết bị làm giả thẻ thông qua phần mềm chuyên dụng và thiết bị đọc, in dữ liệu
thẻ từ, rồi rút tiền tại các máy ATM.
Ngân hàng phải hoàn tiền cho chủ thẻ:
Theo quy định của Thông tư 36 của Ngân hàng Nhà nước Việt Nam quy định về trang
bị, quản lý, vận hành và đảm bảo an toàn hoạt động của máy giao dịch tự động, trách
nhiệm của tổ chức cung ứng dịch vụ ATM phải có biện pháp để bảo mật, tránh để lộ
hoặc sao chép mã PIN khi khách hàng nhập mã PIN tại ATM. Các cây ATM phải được
trang bị camera giám sát và thiết bị chống sao chép, trộm cắp thông tin thẻ. Trong
trường hợp tổ chức cung ứng dịch vụ thanh toán để xảy ra lỗi, sai sót hoặc sự cố gây
thiệt hại cho khách hàng phải có trách nhiệm đền bù thiệt hại kịp thời cho khách hàng.
Thời hạn xử lý khiếu nại của khách hàng tối đa là 05 ngày (với giao dịch ATM nội
mạng) và 07 ngày (với giao dịch ATM ngoại mạng) kể từ khi nhận được khiếu nại.
II.3. Nguy cơ có khả năng bùng phát mạnh nhất trong thời gian tới
Hiện nay có rất nhiều nguy cơ tư bên ngồi cũng như bên trong doanh nghiệp đe dọa
đến sự an toàn của các giao dịch trong thanh toán điện tử. Nhưng nếu hỏi đâu là nguy
cơ có khả năng bùng phát mạnh nhất trong thời gian tới thì nhóm mình cho rằng đó là
tấn cơng phishing. Để trả lời cho câu hỏi tại sao lại là tấn cơng phishing thì nhóm mình
xin đưa ra một số nguyên nhân chính:

Đầu tiên là sự bùng phát của đại dịch Covid19. Việt Nam đang dần ổn định sau
đại dịch nhưng trên toàn thế giới vẫn đang gồng mình chống lại những biến thể của
covid19. Trong những thời gian này, chính phủ cũng như các ngân hàng đã đưa ra
hàng loại các ưu đãi nhằm khuyến khích người dân sử dụng các hình thức thanh tốn
khơng sử dụng tiền mặt, kết quả là giao dịch thanh toán điện tử tăng mạnh. Lợi dụng
điều này, các đối tượng tội phạm cũng đẩy mạnh các hoạt động lừa đảo để chiếm đoạt
tài sản. Phương thức lừa đảo chủ yếu là phát tán mã độc thông qua thông tin cập nhật
về dịch bệnh và cách phòng tránh gửi tới khách hàng trên email, SMS, các ứng dụng
mạng xã hội, hoặc lập số điện thoại gần giống số đường dây nóng của ngân hàng. Sau

16


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

đó, các đối tượng đã lừa người dùng cung cấp thông tin để chiếm đoạt tài khoản ngân
hàng.
Các doanh nghiệp cũng trở thành nạn nhân của những vụ lừa đảo khi tin tặc giả mạo là
các tổ chức kinh tế gửi các email đến các doanh nghiệp với cam kết sẽ hồi vốn khi đầu
tư vào các dự án liên quan đến các thiết bị y tế, khẩu trang,… giữa một bên là khủng
hoảng kinh tế vì phải đóng cửa thực hiện dãn cách xã hội và một bên là hứa hẹn hồi
vốn cùng lợi nhuận cao, dù là được trang bị kiến thức đầy đủ song không phải doanh
nghiệp nào cũng tránh được những cạm bẫy hồn hảo của tội phạm cơng nghệ cao.
Theo kết quả phân tích của hãng an ninh mạng Kaspersky, đã phát hiện khoảng 1300
tệp có tên tương tự những ứng dụng hội họp phổ biến như Zoom, Webex và Slack. Các
nhà nghiên cứu của Kaspersky đã phát hiện những phần mềm độc hại liên quan đến
Covid-19, với hoạt động ẩn mã độc trong những tài liệu về dịch bệnh.
Nhóm phân tích mối đe dọa của Google cũng cho biết: vào giữa tháng 4 mỗi ngày họ

đã chặn 18 triệu phần mềm độc hại và email lừa đảo theo chủ đề Covid-19
Lại nói đến Việt Nam trong những tháng gần đây, đồng bào cả nước đang chung
tay hướng về miền Trung thân yêu với tinh thần lá lành đùm lá rách. Những tấm lòng
hảo tâm gửi đến đồng bào gặp khó khăn,… Nhưng cũng chính thời điểm này, lợi dụng
sự cảm thơng và lịng tốt của nạn nhân, các đối tượng xấu đã gửi các tin nhắn, email
với nội dung yêu cầu nạn nhân click vào đường link chứa mã độc và yêu cầu nạn nhân
nhập thông tin tài khoản để ủng hộ tiền cho đồng bào miền Trung và đương nhiên sau
khi nạn nhân rơi vào bẫy thì chúng sẽ cuỗm sạch số tiền trong tài khoản ngân hàng của
họ.
Ngày 21-10-2020, chị Lê Thị Thu Thảo, vợ của anh Trần Văn Lộc, một trong những
nạn nhân bị chết tại sự cố Thủy điện Rào Trăng 3 đã có đơn trình báo Cơng an huyện
Krơng Nơ, tỉnh Đắk Nơng về việc chị bị một đối tượng lừa đảo chiếm đoạt số tiền 100
triệu đồng do các nhà hảo tâm ủng hộ. Trong đơn, chị Thảo cho biết, khi biết thơng tin
về hồn cảnh khó khăn của gia đình, nhiều nhà hảo tâm đã điện thoại thăm hỏi, chia sẻ
nỗi đau mất mát và giúp đỡ gia đình chị. Trưa 20-10-2020, có một người gọi điện thoại
17


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

cho chị tự giới thiệu tên N, ở Đà Nẵng muốn ủng hộ gia đình chị sáu triệu đồng, đề
nghị chị xác nhận đúng số điện thoại và số tài khoản ngân hàng. Sau đó, người này gửi
đường link qua tin nhắn điện thoại và đề nghị chị Thảo nhập thông tin cá nhân (gồm cả
mật khẩu tài khoản). Sau khi chị Thảo nhập đủ thông tin theo yêu cầu, tài khoản của
chị đã bị rút mất 100 triệu đồng
Tạm khơng nói đến việc các tin tặc lợi dụng tình hình căng thẳng của dịch bệnh, lợi
dụng lòng tốt của nạn nhân để tiến hành các cuộc tấn cơng lừa đảo mà hãy nói đến một
số yếu tố khiến nạn nhân dù đã biết đến các hình thức tấn cơng này những vẫn rơi vào

bẫy của tin tặc:
Đầu tiên với nghệ thuật đánh lừa ảo giác: Là việc làm cho nạn nhân khơng cịn
phân biệt được đâu là thật, đâu là giả. Kỹ thuật đánh lừa ảo giác sẽ tạo ra một trang
web, hoặc một bức thư điện tử, … những thứ mà ngày nào người dùng cũng truy cập,
nó giống đến mức gần như ta không thể phát hiện ra sự giả mạo. Ví dụ như thay vì
truy cập theo địa chỉ

thì lại truy cập vào website

Đơn giản mà nói, hầu hết người dùng khi truy cập vào các địa chỉ
website gần như không để ý quá nhiều đến tên miền mà chỉ thống qua mà thơi. Chúng
ta gần như khơng hề ý thức quá nhiều về việc có thể địa chỉ mình đang truy cập là địa
chỉ giả.
Thứ 2 là, khơng chú ý đến những tiêu chí an tồn: Người dùng thường bỏ qua
hoặc “phớt lờ” những cảnh báo độc hại do các trình duyệt web thơng báo, chính điều
này đã tạo điều kiện cho hacker tấn công thành công hơn. Ví dụ khi người dùng truy
cập một website thanh toán trực tuyến, người dùng phải hiểu những quy định an tồn
của website kiểu này, như thơng tin về giấy chứng nhận (Cerificate), nhà cung cấp, nội
dung, và nhiều quy định khác. Hệ điều hành Windows thường nhận biết những quy
định an tồn này và nếu khơng đủ nó sẽ lập tức cảnh báo cho người sử dụng. Tuy
nhiên, có một số người dùng cảm thấy phiền phức với những cảnh báo này và đã tắt
chức năng này đi, vì thế mà họ dễ dàng trở thành nạn nhân.
Đây cũng chính là một trong số nguyên nhân khiến việc tấn công phishing đã được
cảnh báo rất nhiều song tỷ lệ của các cuộc tấn công này vẫn tang không ngừng qua các
18


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG

năm. Trên thực tế, theo ghi nhận của Cục An tồn thơng tin – Bộ TT&TT, thời gian
vừa qua, số vụ tấn công lừa đảo luôn chiếm tỷ trọng lớn hơn cả trong tổng số các cuộc
tấn công mạng vào các hệ thống thông tin tại Việt Nam dẫn đến sự cố. Cụ thể, trong
tổng số 571 cuộc tấn công mạng vào các hệ thống thông tin tại Việt Nam trong 2 tháng
đầu năm nay, số cuộc tấn công lừa đảo lên tới 383 cuộc, chiếm gần 67%. Còn trong hai
năm 2018 và 2019, tỷ lệ các cuộc tấn công lừa đảo lần lượt chiếm 58% và 61% tổng số
cuộc tấn công vào các hệ thống thông tin tại Việt Nam.
Dù hiện nay, Việt Nam đã kiểm sốt được tình hình dịch bệnh covid19 nhưng
trên thế giới vẫn còn chuyển biến phức tạp và chưa thể khẳng định được điều gì trong
thời gian gần, Những cơn bão lũ vẫn đang đổ lên miền Trung, người dân dù có được
cảnh báo về các hình thức tấn công của tin tặc nhưng vẫn không quá để tâm thậm chí
cịn thờ ơ và ơm tâm lý may mắn,…Vì thế nhóm 6 cho rằn tấn cơng phishing đang
bùng phát và có nguy cơ bùng phát mạnh mẽ hơn trong thời gian tới.
Một số giải pháp chống fishing:
 Đối với cá nhân:
Để tránh bị hacker sử dụng tấn công Phishing để lừa đảo trên Internet, thu thập dữ liệu
cá nhân, thông tin nhạy cảm của bạn. Hãy lưu ý những điểm sau:


Hãy cẩn thận và không nên trả lời bất kỳ thư rác nào yêu cầu bạn xác nhận hoặc
cập nhật bất kỳ thông tin nào về tài khoản của bạn. Thậm chí có vẻ như được cung cấp
bởi một tổ chức uy tín hoặc đó là u cầu hồn lại tiền cho bạn.



Khơng nhấp bất kỳ liên kết đi kèm với thư rác, nếu bạn không chắc chắn về nó.



Khơng bao giờ gửi thơng tin bí mật của bạn về tài khoản của bạn trong email



Không trả lời những thư lừa đảo đó, những kẻ gian lận thường gửi cho bạn số
điện thoại để bạn gọi cho họ vì mục đích kinh doanh. Họ sử dụng cơng nghệ Voice
over Internet Protocol. Với công nghệ này, các cuộc gọi của họ khơng bao giờ có thể
được truy tìm.



Để giảm thiểu rủi ro bởi những vụ lừa đảo phishing này bạn nên sử dụng tường
lửa, phần mềm chống gián điệp và phần mềm chống virus. Và phải đảm bảo cập nhật
phần mềm này thường xuyên để bảo mật máy tính của bạn.

19


TRƯỜNG ĐẠI HỌC THƯƠNG MẠI
HỌC PHẦN: THANH TOÁN ĐIỆN TỬ
GIẢNG VIÊN HƯỚNG DẪN: TS. NGUYỄN TRẦN HƯNG



Hãy chuyển các thư rác đến Bạn cũng có thể gửi email tới
Tổ chức này giúp chống lại các phishing khác.
 Đối với các tổ chức, doanh nghiệp



Triển khai một bộ lọc SPAM để phát hiện vi rút, người gửi trống cho tồn bộ hệ
thống mail của cơng ty.



Giữ tất cả các hệ thống hiện tại với các bản vá lỗi bảo mật và cập nhật mới nhất.
Cài đặt một giải pháp chống virus, lên lịch cập nhật chữ ký, và theo dõi trạng thái
chống virus trên tất cả các thiết bị.



Cùng với đó cơng ty phải mã hóa tất cả thơng tin nhạy cảm, quan trọng.
 Một vài công cụ hữu ích có thể giúp bạn chống lại Phishing



SpoofGuard: là một plug trình duyệt tương thích với Microsoft Internet
Explore. SpoofGuard đặt một “cảnh báo” trên thanh cơng cụ của trình duyệt. Nó sẽ
chuyển từ màu xanh sang màu đỏ nếu bạn vơ tình vào trang web giả mạo Phishing.
Nếu bạn cố nhập các thông tin nhạy cảm vào một mẫu từ trang giả mạo, SpoofGuard
sẽ lưu dữ liệu của bạn và cảnh báo bạn. Mức độ cảnh báo có thể được thiết lập qua các
thông số.



Anti-phishing Domain Advisor: giúp bạn phát hiện, cảnh báo và ngăn chặn từ
các trang web lừa đảo, chèn mã độc thông qua dữ liệu nhận dạng của hệ thống Panda
Security. Nó là một cơng cụ tốt để bảo vệ bạn khi lướt web.



Netcraft Tool: Netcraft cung cấp các dịch vụ bảo mật internet bao gồm các dịch
vụ chống gian lận và chống Phishing, thử nghiệm ứng dụng và qt PCI. Nó cũng giúp
cũng phân tích nhiều khía cạnh của Internet, bao gồm thị phần của máy chủ web, hệ
điều hành, nhà cung cấp dịch vụ lưu trữ và cơ quan cấp giấy chứng nhận SSL.
Để đối phó với Phishing khơng phải là vấn đề đơn giản. Hiện nay, hầu hết các
trình duyệt web đều tích hợp tính năng chống Phishing. Mặc dù vậy chúng ta khơng
thể diệt nó triệt để, chỉ có cách là sống chung với nó, nhưng hãy thật cảnh giác.

20