Thủ thuật 1: Thuyết 10 bước phân cách

Mục tiêu chính của kẻ tấn công sử dụng điện thoại cho kỹ nghệ xã hội là thuyết phục nạn nhân rằng chúng là nhân viên cùng công ty hoặc đại diện của cơ quan thẩm quyền (ví dụ, cán bộ thực thi pháp luật hoặc kiểm toán). Nếu mục tiêu của kẻ tấn công là thu thập dữ liệu về hoặc từ một nhân viên cụ thể, ban đầu hắn có thể sẽ liên hệ với những người khác, cố gắng lấy được các dữ liệu muốn có. Các chuyên gia an ninh cho rằng, giữa tội phạm mạng và nạn nhân có thể có “10 bước phân cách". Họ cho rằng, ngày nay người dùng luôn phải cảnh giác. Kẻ tấn công thường nhằm vào lễ tân, bảo vệ, thư ký cách 10 bước so với mục tiêu thực sự để thu thập thông tin về những người ở vị trí cao hơn trong hệ thống. Chậm nhưng chắc, kẻ tấn công sẽ chọn được chìa khóa tiếp cận nạn nhân và không lâu sau đó nạn nhân sẽ chia sẻ thông tin mà trước đó không bao giờ chia sẻ chúng.

Thủ thuật 2: Nghiên cứu ngôn ngữ của công ty

Mỗi ngành đều có cách diễn đạt đặc thù. Bài toán mà kẻ tấn công đặt ra là nghiên cứu các đặc điểm của ngôn ngữ này để sử dụng kỹ nghệ xã hội khéo léo hơn. Khi mà kẻ tấn công có thể giao tiếp bằng ngôn ngữ quen thuộc, dễ hiểu thì sẽ dễ dàng lấy được sự tin cậy và có thể nhanh chóng nhận được thông tin cần thiết.

Thủ thuật 3: Mượn bản nhạc chờ của công ty

Để thực hiện một cuộc tấn công kỹ nghệ xã hội thành công cần ba thứ: thời gian, kiên trì và khả năng chịu đựng. Thông thường, hành vi tấn công kỹ nghệ xã hội được thực hiện từ từ và có phương pháp: tiến hành thu thập dữ liệu không chỉ về nạn nhân mà còn về cách giao tiếp trong môi trường xã hội của nạn nhân. Điều này có mục đích là để có được lòng tin và khả năng phán đoán mục tiêu. Ví dụ, một trong những tính năng của cách tiếp cận này là ghi lại bản nhạc chờ mà công ty sử dụng. Kẻ tội phạm trước hết chờ bản nhạc, sau đó ghi lại và sử dụng cho mục tiêu của mình sau này. Vì vậy, khi có một cuộc đối thoại trực tiếp với nạn nhân, tội phạm tại một số thời điểm có thể nói “Hãy chờ một chút, đang có cuộc gọi khác gọi đến”. Sau đó, nạn nhân nghe được bản nhạc quen thuộc và không nghi ngờ rằng người gọi là đại diện của một công ty nào đấy. Đây là cú lừa đảo tâm lý hết sức thành thạo.

Thủ thuật 4: Giả mạo số điện thoại

Tội phạm thường sử dụng thủ thuật giả mạo số điện thoại để thay thế số của người gọi. Ví dụ, một kẻ tấn công có thể ngồi tại căn hộ của mình và gọi đến đối tượng quan tâm, nhưng trên màn hình điện thoại của nạn nhân lại hiển thị số điện thoại công ty, khiến nạn nhân tin rằng kẻ lừa đảo sử dụng số điện thoại của công ty. Tất nhiên, trong hầu hết các trường hợp, nạn nhân không chút nghi ngờ và sẵn sàng cung cấp thông tin nhạy cảm cho người gọi, bao gồm cả mật khẩu, nếu định danh thuê bao thuộc công ty của họ. Cách tiếp cận này cũng giúp tội phạm không bị theo dõi, bởi nếu gọi lại vào số này, người gọi sẽ được chuyển vào đường truyền nội bộ của công ty.

Thủ thuật 5: Sử dụng tin tức chống lại người dùng

Những tin tức nóng nhất sẽ được những kẻ tấn công sử dụng thông tin cho thư rác, lừa đảo và các hoạt động gian lận khác. Các chuyên gia lưu ý đến sự gia tăng về số lượng thư rác thư với chủ đề liên quan đến cuộc khủng hoảng kinh tế và chiến dịch tranh cử tổng thống. Một ví dụ lừa đảo trực tuyến ngân hàng có thể có nội dung như sau: “Ngân hàng A đã tiếp nhận ngân hàng của quý vị. Hãy nhấp vào liên kết này để đảm bảo thông tin ngân hàng của quý vị đã được cập nhật cho đến khi giao dịch được đóng lại”. Đây là phương thức mà kẻ lừa đảo thực hiện để có được thông tin đăng nhập vào tài khoản của người dùng, ăn cắp tiền của người dùng, hoặc bán thông tin của người dùng cho bên thứ ba.

Thủ thuật 6: Lợi dụng sự tin cậy đối với mạng xã hội

Facebook, Myspace và LinkedIn là các mạng xã hội rất phổ biến. Theo nghiên cứu của các chuyên gia, mọi người có xu hướng tin tưởng các nền tảng này. Một sự cố gần đây về lừa đảo trực tuyến nhắm vào người dùng của LinkedIn đã xác nhận giả thuyết này. Nhiều người dùng sẽ tin tưởng vào thư điện tử nếu chúng đến từ Facebook. Một cách lừa đảo thường dùng là thông báo mạng xã hội đang thực hiện bảo trì, người dùng cần phải đi đến một đường dẫn để cập nhật thông tin. Đó là lý do tại sao các chuyên gia khuyên người dùng nên gõ địa chỉ trang web một cách thủ công để tránh các liên kết lừa đảo. Cũng cần lưu ý rằng, các trang web rất hiếm khi gửi cho người dùng yêu cầu thay đổi mật khẩu hoặc cập nhật tài khoản.

Thủ thuật 7: Làm giả trang web dựa trên lỗi chính tả

Kỹ thuật độc hại này rất đáng đáng chú ý, bởi tội phạm sử dụng các yếu tố liên quan tới lỗi con người, cụ thể là sử dụng sai sót khi nhập địa chỉ URL vào thanh địa chỉ. Vì vậy, khi sai một chữ cái, người dùng có thể rơi vào trang web giả mạo được tội phạm tạo ra dành cho các mục đích này. Tội phạm chuẩn bị rất tỉ mỉ cho trang web giả để trang web giả mạo và trang web hợp pháp là hoàn toàn giống nhau.

Vì vậy, phạm một lỗi trong việc viết địa chỉ web là người dùng sẽ rơi vào bản sao giả mạo của trang web hợp pháp mà mục tiêu là bán một cái gì đó, trộm cắp dữ liệu hay lây lan chương trình độc hại.

Thủ thuật 8: Sử dụng đòn tâm lý FUD để tác động lên thị trường chứng khoán

Chiến thuật thao túng tâm lý (sợ hãi, không chắc chắn, nghi ngờ - FUD) được sử dụng trong tiếp thị và tuyên truyền nói chung, thể hiện trong việc cung cấp thông tin về một cái gì đó (ví dụ, về sản phẩm hoặc về tổ chức) sao cho gây được nghi ngờ của cộng đồng về chất lượng của nó và bằng cách này gây ra sự lo sợ về cái đó. Theo nghiên cứu mới đây của công ty Avert, tính an toàn và dễ bị tổn thương của sản phẩm, thậm chí của công ty có thể ảnh hưởng đến cổ phần chứng khoán của công ty đó. Ví dụ, nghiên cứu đã chỉ ra tác động của những sự kiện như Patch Tuesday của Microsoft lên cổ phiếu của công ty bằng cách tìm ra dao động đáng kể của giá cổ phiếu hàng tháng sau khi đã công bố thông tin về các lỗ hổng.

Một ví dụ điển hình, vào năm 2018, những kẻ tấn công đã lan truyền thông tin sai lệch về sức khỏe của Steve Jobs, dẫn đến giá cổ phiếu của Apple sụt giảm nghiêm trọng. Đây là ví dụ đặc trưng nhất của việc sử dụng FUD để ảnh hưởng đến cổ phiếu. Ngoài ra, cần lưu ý việc sử dụng thư điện tử để thực hiện kỹ thuật “pump-và-dump” (thao túng tỷ giá hối đoái trên thị trường chứng khoán hoặc thị trường tiền mã hóa với sự sụp đổ sau đó). Trong trường hợp này, những kẻ tấn công có thể phát tán thư điện tử rác phóng đại tiềm năng tuyệt vời của cổ phiếu mà họ đã mua trước. Vì vậy, nhiều người sẽ cố gắng mua các cổ phiếu này càng sớm càng tốt, và giá của chúng sẽ tăng. Sau đó, kẻ tấn công sẽ bán hết số cổ phiếu này nhân lúc giá đang tăng một cách “ảo giác”.