Tìm hiểu về tấn công Social Engineering và cách phòng tránh

Ban biên tập AlphaBay SecOps · 19/05/2026 · Cập nhật 13/10/2026

Tấn công Social Engineering (tấn công phi kỹ thuật, thao túng tâm lý) là cách kẻ gian lừa con người tự tay mở cửa: tiết lộ mật khẩu, đọc mã OTP, chuyển tiền, cài phần mềm độc hại hay cho người lạ vào văn phòng. Thay vì phá vỡ hệ thống, chúng khai thác lòng tin, nỗi sợ, sự vội vàng và mong muốn giúp đỡ. Cách phòng tránh hiệu quả nhất là nhận ra các "đòn bẩy tâm lý" quen thuộc và xây dựng thói quen xác minh qua kênh độc lập, áp dụng cho cả cá nhân lẫn tổ chức.

Vì sao con người là mục tiêu dễ nhất

Hệ thống kỹ thuật ngày càng khó phá: mã hóa mạnh, phần mềm được vá thường xuyên, xác thực đa yếu tố phổ biến. Trong khi đó, một cuộc gọi khéo léo có thể khiến nhân viên đặt lại mật khẩu, hoặc một email đúng thời điểm khiến kế toán chuyển tiền. Kẻ tấn công chọn con đường ít trở ngại nhất. Đó là lý do social engineering xuất hiện ở bước đầu của phần lớn cuộc tấn công nghiêm trọng, từ lừa đảo cá nhân tới các chiến dịch APT nhắm vào hạ tầng quan trọng.

Sáu đòn bẩy tâm lý kẻ gian hay dùng

Đòn bẩy	Cách thể hiện	Câu nói điển hình
Uy quyền	Giả danh sếp, công an, ngân hàng, bộ phận IT	"Tôi gọi từ phòng an ninh, anh cần làm ngay"
Khẩn cấp	Tạo áp lực thời gian để nạn nhân không kịp suy nghĩ	"Trong 15 phút tài khoản sẽ bị khóa"
Sợ hãi	Đe dọa hậu quả pháp lý, mất tiền, mất việc	"Anh liên quan đến đường dây rửa tiền"
Lòng tham, khan hiếm	Quà tặng, trúng thưởng, cơ hội đầu tư giới hạn	"Chỉ còn 3 suất nhận ưu đãi"
Thiện cảm, tin tưởng	Làm quen lâu dài, giả bạn bè, đồng nghiệp, người thân	"Em đây, em đổi số mới"
Có qua có lại, muốn giúp đỡ	Giúp nạn nhân một việc nhỏ rồi xin lại việc lớn	"Tôi vừa sửa lỗi cho chị, chị đọc giúp tôi mã xác nhận"

Nhận ra cảm xúc mạnh như sợ, vội, mừng khi đang tương tác với người lạ là tín hiệu nên dừng lại.

Các hình thức tấn công phổ biến

Phishing và spear phishing

Email hoặc tin nhắn giả mạo dẫn tới trang đăng nhập giả hoặc tệp độc hại. Spear phishing nhắm vào người cụ thể, dùng thông tin cá nhân để tăng độ tin cậy. Các thủ đoạn mạo danh ngân hàng được phân tích trong bài phishing mạo danh ngân hàng ngày càng tinh vi.

Vishing và smishing

Lừa đảo qua cuộc gọi (voice phishing) và tin nhắn SMS. Với AI tạo giọng nói, vishing ngày càng thuyết phục; xem thêm bài AI bị vũ khí hóa.

Pretexting (dựng kịch bản)

Kẻ gian dựng một vai và câu chuyện hợp lý: nhân viên nhà cung cấp cần thông tin hợp đồng, kiểm toán viên cần danh sách nhân sự, IT cần mật khẩu để sửa lỗi. Kịch bản thường được chuẩn bị kỹ bằng thông tin thu thập trước.

Lừa đảo email doanh nghiệp (BEC)

Giả mạo hoặc chiếm email của lãnh đạo, nhà cung cấp để yêu cầu chuyển tiền, đổi số tài khoản nhận thanh toán. Đây là một trong những hình thức gây thiệt hại tài chính lớn nhất cho doanh nghiệp.

Baiting (mồi nhử)

USB ghi nhãn "Lương thưởng" để quên ở bãi xe, phần mềm miễn phí, phim lậu chứa mã độc. Sự tò mò làm phần còn lại.

Tấn công vật lý: bám đuôi và giả danh

Đi theo nhân viên qua cửa có thẻ từ, giả nhân viên giao hàng, sửa chữa để vào khu vực hạn chế, nhìn trộm màn hình.

MFA fatigue

Khi đã có mật khẩu, kẻ gian gửi liên tục yêu cầu xác thực đẩy (push) tới điện thoại nạn nhân, có khi kèm cuộc gọi giả IT "bấm chấp nhận để hết thông báo".

Cá nhân phòng tránh thế nào

Xác minh qua kênh độc lập: nhận yêu cầu bất thường, hãy tự gọi lại số đã biết, không dùng số hay link người kia đưa.
Không chia sẻ mã xác thực: OTP, mã đăng nhập, mã khôi phục là của riêng bạn, không có ngoại lệ.
Giảm thông tin công khai: ít thông tin cá nhân trên mạng, kẻ gian càng khó dựng kịch bản.
Dùng mật khẩu riêng và trình quản lý mật khẩu: trình quản lý không tự điền trên tên miền giả, là lớp cảnh báo hữu ích. Kiểm tra định kỳ mật khẩu có bị lộ hay không.
Dùng passkey hoặc khóa bảo mật: chúng gắn với tên miền thật, nên không thể bị dùng trên trang giả.
Cho phép mình chậm lại: không có yêu cầu hợp pháp nào cần bạn chuyển tiền hay đọc mã trong vài phút mà không được kiểm tra.

Tổ chức phòng tránh thế nào

Quy trình thay vì dựa vào trí nhớ: mọi thay đổi thông tin thanh toán phải xác minh qua kênh độc lập và có hai người phê duyệt.
Quy trình hỗ trợ IT chặt chẽ: xác minh danh tính người gọi trước khi đặt lại mật khẩu hoặc MFA.
MFA chống lừa đảo: ưu tiên passkey, khóa bảo mật; với xác thực đẩy, bật đối chiếu số.
Đào tạo định kỳ và diễn tập: mô phỏng phishing, vishing; khen thưởng người báo cáo thay vì phạt người mắc bẫy.
Kênh báo cáo dễ dùng: nút báo cáo email đáng ngờ, đường dây nóng an ninh.
Kiểm soát ra vào vật lý: văn hóa hỏi người lạ, không giữ cửa cho người không quẹt thẻ.
Chính sách rõ ràng: quy định những gì nhân viên không bao giờ được yêu cầu làm qua điện thoại hay email; tham khảo cách xây dựng chính sách bảo mật thông tin nội bộ.

Nếu đã mắc bẫy

Hãy báo ngay cho bộ phận IT hoặc ngân hàng, đổi mật khẩu, thu hồi phiên đăng nhập, và đừng xấu hổ. Kẻ gian chuyên nghiệp có thể lừa bất kỳ ai vào đúng thời điểm. Báo cáo sớm thường là yếu tố quyết định giữa một sự cố nhỏ và một thảm họa.

Câu hỏi thường gặp

Social engineering khác hacking thông thường thế nào?

Hacking kỹ thuật tìm lỗi trong phần mềm và hệ thống. Social engineering tìm cách khiến con người tự cung cấp quyền truy cập hoặc thông tin, thường không cần kỹ năng kỹ thuật cao.

Người hiểu biết công nghệ có bị lừa không?

Có. Kẻ gian nhắm vào cảm xúc và thời điểm, ví dụ lúc bận rộn hay căng thẳng. Quy trình xác minh cố định giúp bảo vệ cả người có kinh nghiệm.

Làm sao phân biệt cuộc gọi thật của bộ phận IT?

Bộ phận IT hợp lệ không hỏi mật khẩu hay mã MFA. Nếu nghi ngờ, cúp máy và gọi lại qua số nội bộ chính thức hoặc tạo phiếu hỗ trợ.

Đào tạo nhận thức có thực sự hiệu quả không?

Đào tạo một lần ít tác dụng. Hiệu quả đến từ đào tạo ngắn, thường xuyên, sát tình huống thực tế, kết hợp quy trình kỹ thuật như MFA chống lừa đảo để giảm phụ thuộc vào trí nhớ con người.

Bài liên quan

APT Group tấn công cơ sở hạ tầng quan trọng tại Đông Nam Á

Tin Tức Bảo Mật