Phát hiện tấn công kỹ thuật xã hội: Khi công nghệ thay thế con người trong cuộc trò chuyện trực tiếp

Các doanh nghiệp đang đổ hàng núi thời gian và tiền bạc vào đào tạo nhận thức bảo mật, nhưng gần như không có bằng chứng thực nghiệm nào cho thấy nó thực sự hiệu quả trước các cuộc tấn công kỹ thuật xã hội (social engineering).

Deepfake giọng nói

Tấn công kỹ thuật xã hội vẫn là một vector xâm nhập chính và đạt tỷ lệ thành công cao. Lỗ hổng hệ thống có thể được vá, nhưng kỹ thuật xã hội thì không. Cách "vá" phổ biến nhất là đào tạo nhận thức người dùng, song nó đã thất bại trong việc chặn đứng vector này. Không nên và không thể kỳ vọng vào người dùng — những người phòng thủ bằng yếu tố con người — có thể phát hiện ra những thủ đoạn được thiết kế để thao túng tâm lý họ. Và với sự trợ giúp của deepfake AI, các thủ đoạn này ngày càng được che giấu tốt hơn và tinh vi hơn.

Những vụ tấn công điển hình

Một số ví dụ thành công của tấn công kỹ thuật xã hội có thể kể đến:

• Các vụ xâm nhập sòng bạc Las Vegas năm 2023 qua hình thức vishing (lừa đảo qua giọng nói). Nhóm tấn công Scattered Spider giả danh nhân viên, lừa bộ phận hỗ trợ kỹ thuật của sòng bạc đặt lại mật khẩu và vượt qua MFA. MGM Resorts buộc phải đóng cửa hoạt động số trong mười ngày, thiệt hại ước tính 100 triệu USD doanh thu và chi phí khắc phục. Caesars Entertainment được cho là đã trả 15 triệu USD tiền chuộc sau khi nhóm tấn công đòi 30 triệu USD.
• Vụ rò rỉ dữ liệu Brinks Home được tiết lộ vào tháng 8/2026, cũng liên quan đến lừa đảo qua giọng nói và bộ phận hỗ trợ kỹ thuật doanh nghiệp. Lần này kẻ tấn công là ShinyHunters, dù nhóm này có quan hệ được biết đến với Scattered Spider. Kẻ tấn công chỉ đơn giản là hướng dẫn một nhân viên hỗ trợ hoàn tất bước xác thực Microsoft Entra, qua đó giành quyền truy cập ngay lập tức. Gần 5 triệu bản ghi khách hàng và 41 gigabyte dữ liệu doanh nghiệp sau đó đã bị công bố trên một diễn đàn tin tặc công khai.

Khi con người không thể, công nghệ phải vào cuộc

Nếu không thể đảm bảo khả năng phát hiện kỹ thuật xã hội bằng con người, thì phải sử dụng các phương tiện phát hiện khác — và công nghệ là lựa chọn hàng đầu. Việc dùng công nghệ để phát hiện cả các cuộc tấn công kỹ thuật xã hội truyền thống lẫn những vụ deepfake AI mới hơn đang gia tăng và cải thiện không ngừng.

Một ví dụ đến từ Netarx. Giải pháp của công ty này áp dụng một lớp điều phối độc quyền mà họ mô tả là "AI defense meta harness". Lớp này tương quan các tín hiệu riêng lẻ được phát hiện bởi hơn 40 mô hình AI liên tục quét mọi liên lạc ngay trong khi chúng đang diễn ra, phân tích hơn 1.000 tín hiệu kỹ thuật số và siêu dữ liệu cho mỗi tương tác.

Chẳng hạn, để đảm bảo thiết bị vật lý truyền tín hiệu thuộc về người dùng được ủy quyền, Netarx phân tích dấu vân tay thiết bị, dữ liệu EXIF, chữ ký nén và sự sai lệch vị trí. Với các liên lạc thoại do AI tạo ra từ mạng GAN hay công cụ nhân bản giọng nói, hệ thống kiểm tra những vi-dấu vết mà tai người không thể phát hiện, như khoảng lặng nền bất thường và các dị thường nén điện tử.

Nếu có cả video, hệ thống đối chiếu trực tiếp chuyển động môi vật lý với tín hiệu giọng nói đến. Với hình ảnh khuôn mặt, hệ thống soi từng khung hình video để tìm dị thường trong vi-biểu cảm, tần suất chớp mắt bất thường, sự không nhất quán về ánh sáng, hay biến dạng quanh chân tóc.

Không có tín hiệu đơn lẻ nào mang tính quyết định trong việc chỉ ra gian lận. Tuy nhiên, việc thu thập và nhận diện nhiều tín hiệu đáng ngờ có thể đảo ngược kết luận giữa thật và giả theo thời gian thực.

Vấn đề không chỉ là phát hiện, mà còn là truyền đạt

Phát hiện gian lận đang diễn ra chỉ là một nửa vấn đề — kết quả phát hiện còn phải được truyền đạt tới người dùng theo cách dễ hiểu, cũng trong thời gian thực. Cách tiếp cận truyền thống là tự động chặn các tình huống nguy hiểm, nhưng cách này cực đoan và có thể gây ra nhiều vấn đề hơn là giải quyết.

Để tránh điều đó, Netarx đã phát triển một chỉ báo phân tích lưu lượng theo thời gian thực, hiển thị trên màn hình bằng hệ thống màu trong suốt quá trình liên lạc:

• Xanh lá cho biết danh tính người dùng và thiết bị liên quan đã được xác minh.
• Vàng tuyên bố nguồn không xác định, hoặc đã phát hiện các dị thường siêu dữ liệu đáng ngờ.
• Đỏ cho biết đã nhận diện được phương tiện tổng hợp (synthetic media) hoặc deepfake đang hoạt động.

Nếu màu vàng chuyển sang đỏ trong cuộc trò chuyện, có lẽ đã đến lúc nên ngắt kết nối; nhưng đây là người dùng chủ động chặn người gửi, chứ không phải hệ thống tùy tiện chặn quy trình.

NIK (Netarx Identity Key) chạy trên Windows, macOS, Chrome, iOS và Android; công ty cũng công bố một cơ sở dữ liệu (Impact Database) ghi lại các sự cố bảo mật thực tế nơi hành vi lừa đảo con người đóng vai trò quyết định trong cuộc tấn công.

Góc nhìn cho doanh nghiệp Việt Nam

Giải pháp phát hiện kỹ thuật xã hội của Netarx là một ví dụ sớm về việc công nghệ thay thế con người trong phát hiện tấn công. Nó sẽ không phải là ví dụ cuối cùng, bởi kỹ thuật xã hội là một vector đang phát triển và là mối đe dọa nghiêm trọng đối với an ninh doanh nghiệp.

Đối với các tổ chức tại Việt Nam — nơi các cuộc tấn công giả danh lãnh đạo, nhân viên ngân hàng hay cơ quan chức năng qua Zalo, Telegram ngày càng phổ biến — bài học cốt lõi vẫn là: toàn bộ ngăn xếp bảo mật bị vô hiệu hóa nếu chỉ một nhân viên có đặc quyền mời kẻ tấn công kỹ thuật xã hội bước qua ngưỡng MFA. Đào tạo nhận thức là cần thiết nhưng không đủ; các doanh nghiệp cần bổ sung lớp phòng thủ bằng công nghệ có khả năng phát hiện và cảnh báo theo thời gian thực, đặc biệt khi deepfake ngày càng khó phân biệt bằng mắt thường và tai người.

Đọc thêm các bài liên quan về chủ đề này trên Lehuy.net để cập nhật những xu hướng mới nhất trong lĩnh vực an ninh mạng và trí tuệ nhân tạo.