MinhSec
Writer
Một thủ thuật tưởng chừng đã lỗi thời đang quay trở lại và trở thành công cụ đắc lực trong các chiến dịch lừa đảo qua email. Theo các nhà nghiên cứu của Barracuda Networks, từ tháng 4 đến nay đã ghi nhận hơn 1 triệu email lừa đảo sử dụng kỹ thuật "text salting" (chèn văn bản ẩn) nhằm qua mặt các hệ thống bảo mật email truyền thống lẫn các công cụ phát hiện dựa trên trí tuệ nhân tạo (AI).
Đáng chú ý, sự phát triển của các mô hình ngôn ngữ lớn (LLM) đang giúp tin tặc tự động hóa việc tạo nội dung và chỉnh sửa mã HTML, khiến thủ thuật này trở nên nhanh hơn, tinh vi hơn và khó bị phát hiện hơn trước.
Điều đáng ngạc nhiên là nhiều email được thiết kế khá sơ sài, không quá đầu tư vào giao diện hay nhận diện thương hiệu nhưng vẫn dễ dàng vượt qua các cổng bảo mật email (Secure Email Gateway - SEG).
Thông thường, các hệ thống SEG sẽ kiểm tra nhiều yếu tố như tên miền người gửi, các giao thức xác thực email như DKIM (DomainKeys Identified Mail) và nội dung của thư để phát hiện dấu hiệu lừa đảo. Tuy nhiên, thay vì chỉ tập trung vào việc giả mạo hình thức, tin tặc lại khai thác điểm yếu trong cách các hệ thống này phân tích nội dung.
Kỹ thuật "text salting" hoạt động bằng cách chèn vào email những đoạn văn bản vô hại hoặc hoàn toàn không liên quan nhằm làm "loãng" nội dung lừa đảo. Chẳng hạn, giữa các cụm từ như "phần thưởng", "khẩn cấp" hay "nhận quà", hacker sẽ thêm những từ ngẫu nhiên như "chó con", "sách", hoặc cả những đoạn văn dài không mang ý nghĩa gì.
Đối với người dùng, những đoạn văn này hoàn toàn không xuất hiện vì đã được ẩn bằng các thủ thuật HTML và CSS như đặt kích thước chữ bằng 0, hiển thị trong vùng có kích thước bằng 0 hoặc đẩy nội dung ra ngoài màn hình. Tuy nhiên, các công cụ bảo mật vẫn đọc được toàn bộ mã nguồn của email, khiến việc đánh giá mức độ nguy hiểm của nội dung trở nên thiếu chính xác.
Để tăng khả năng qua mặt hệ thống, nhiều chiến dịch còn kết hợp cùng lúc nhiều kỹ thuật ẩn văn bản khác nhau. Nếu một phương pháp bị phát hiện, những phương pháp còn lại vẫn có thể giúp email vượt qua lớp bảo vệ.
Điều này khiến các hệ thống bảo mật dựa trên AI gặp nhiều khó khăn hơn trong việc nhận diện mẫu tấn công. Những phương pháp chỉ dựa vào từ khóa hoặc các dấu hiệu quen thuộc ngày càng trở nên kém hiệu quả khi tin tặc liên tục thay đổi nội dung và cách trình bày.
Ông Peterson Gutierrez, Phó Chủ tịch phụ trách an ninh thông tin của Barracuda Networks, nhận định rằng kỹ thuật "text salting" tuy đơn giản nhưng vẫn phát huy hiệu quả đáng kể. Theo ông, để phát hiện các cuộc tấn công hiện nay, hệ thống bảo mật cần đánh giá toàn bộ ngữ cảnh của email thay vì chỉ phân tích các từ khóa đáng ngờ.
Điều đó bao gồm việc đối chiếu giữa nội dung người dùng nhìn thấy với phần văn bản bị ẩn, kiểm tra các liên kết, phân tích hành vi của người gửi cũng như mục đích mà email đang cố gắng hướng người nhận thực hiện.
Các chuyên gia cũng khuyến cáo người dùng không nên chỉ dựa vào việc email xuất hiện trong hộp thư đến để mặc định rằng nội dung đó an toàn. Trước những email thông báo trúng thưởng, nhận quà, hoàn tiền hoặc yêu cầu xác minh tài khoản, người dùng cần kiểm tra kỹ địa chỉ người gửi, không vội nhấp vào liên kết hoặc tải xuống tệp đính kèm khi chưa xác minh nguồn gốc.
Trong bối cảnh AI đang được cả các chuyên gia bảo mật lẫn tội phạm mạng tận dụng, cuộc đua giữa hai bên được dự báo sẽ còn tiếp tục trở nên gay gắt hơn trong thời gian tới.
Đáng chú ý, sự phát triển của các mô hình ngôn ngữ lớn (LLM) đang giúp tin tặc tự động hóa việc tạo nội dung và chỉnh sửa mã HTML, khiến thủ thuật này trở nên nhanh hơn, tinh vi hơn và khó bị phát hiện hơn trước.
Kỹ thuật "text salting" đánh lừa cả AI lẫn bộ lọc bảo mật
Theo Barracuda Networks, phần lớn các email trong chiến dịch giả mạo những thương hiệu bán lẻ quen thuộc, đưa ra lời mời nhận quà tặng, điểm thưởng hoặc ưu đãi hấp dẫn để dụ người dùng nhấp vào các liên kết độc hại.Điều đáng ngạc nhiên là nhiều email được thiết kế khá sơ sài, không quá đầu tư vào giao diện hay nhận diện thương hiệu nhưng vẫn dễ dàng vượt qua các cổng bảo mật email (Secure Email Gateway - SEG).
Thông thường, các hệ thống SEG sẽ kiểm tra nhiều yếu tố như tên miền người gửi, các giao thức xác thực email như DKIM (DomainKeys Identified Mail) và nội dung của thư để phát hiện dấu hiệu lừa đảo. Tuy nhiên, thay vì chỉ tập trung vào việc giả mạo hình thức, tin tặc lại khai thác điểm yếu trong cách các hệ thống này phân tích nội dung.
Kỹ thuật "text salting" hoạt động bằng cách chèn vào email những đoạn văn bản vô hại hoặc hoàn toàn không liên quan nhằm làm "loãng" nội dung lừa đảo. Chẳng hạn, giữa các cụm từ như "phần thưởng", "khẩn cấp" hay "nhận quà", hacker sẽ thêm những từ ngẫu nhiên như "chó con", "sách", hoặc cả những đoạn văn dài không mang ý nghĩa gì.
Đối với người dùng, những đoạn văn này hoàn toàn không xuất hiện vì đã được ẩn bằng các thủ thuật HTML và CSS như đặt kích thước chữ bằng 0, hiển thị trong vùng có kích thước bằng 0 hoặc đẩy nội dung ra ngoài màn hình. Tuy nhiên, các công cụ bảo mật vẫn đọc được toàn bộ mã nguồn của email, khiến việc đánh giá mức độ nguy hiểm của nội dung trở nên thiếu chính xác.
Để tăng khả năng qua mặt hệ thống, nhiều chiến dịch còn kết hợp cùng lúc nhiều kỹ thuật ẩn văn bản khác nhau. Nếu một phương pháp bị phát hiện, những phương pháp còn lại vẫn có thể giúp email vượt qua lớp bảo vệ.
AI vô tình trở thành "trợ thủ" của tin tặc
Các chuyên gia cho biết sự phổ biến của AI đang tạo ra một lợi thế đáng kể cho tội phạm mạng. Thay vì phải tự viết từng đoạn mã hoặc chỉnh sửa thủ công, hacker có thể sử dụng các mô hình ngôn ngữ lớn để nhanh chóng tạo ra hàng nghìn biến thể email lừa đảo với cấu trúc và nội dung khác nhau.Điều này khiến các hệ thống bảo mật dựa trên AI gặp nhiều khó khăn hơn trong việc nhận diện mẫu tấn công. Những phương pháp chỉ dựa vào từ khóa hoặc các dấu hiệu quen thuộc ngày càng trở nên kém hiệu quả khi tin tặc liên tục thay đổi nội dung và cách trình bày.
Ông Peterson Gutierrez, Phó Chủ tịch phụ trách an ninh thông tin của Barracuda Networks, nhận định rằng kỹ thuật "text salting" tuy đơn giản nhưng vẫn phát huy hiệu quả đáng kể. Theo ông, để phát hiện các cuộc tấn công hiện nay, hệ thống bảo mật cần đánh giá toàn bộ ngữ cảnh của email thay vì chỉ phân tích các từ khóa đáng ngờ.
Điều đó bao gồm việc đối chiếu giữa nội dung người dùng nhìn thấy với phần văn bản bị ẩn, kiểm tra các liên kết, phân tích hành vi của người gửi cũng như mục đích mà email đang cố gắng hướng người nhận thực hiện.
Các chuyên gia cũng khuyến cáo người dùng không nên chỉ dựa vào việc email xuất hiện trong hộp thư đến để mặc định rằng nội dung đó an toàn. Trước những email thông báo trúng thưởng, nhận quà, hoàn tiền hoặc yêu cầu xác minh tài khoản, người dùng cần kiểm tra kỹ địa chỉ người gửi, không vội nhấp vào liên kết hoặc tải xuống tệp đính kèm khi chưa xác minh nguồn gốc.
Trong bối cảnh AI đang được cả các chuyên gia bảo mật lẫn tội phạm mạng tận dụng, cuộc đua giữa hai bên được dự báo sẽ còn tiếp tục trở nên gay gắt hơn trong thời gian tới.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
