Nếu bạn làm việc trong hoặc sở hữu một doanh nghiệp, thì bạn cần biết rằng luôn có nguy cơ cao về các cuộc tấn công mạng & lừa đảo diễn ra. Lừa đảo qua email^{(Email Scams)} là phổ biến nhất trong số đó. Lừa đảo có nhiều loại như Tabnabbing, Spear Phishing cũng như Vishing và Smishing. Một vài ngày trước, chúng ta đã xem xét các vụ lừa đảo trực tuyến của Pharming^{(Pharming online frauds)} - hôm nay chúng ta sẽ xem xét Whaling Scams , một mối đe dọa an ninh mạng đang nổi lên.

Cá voi lừa đảo là gì

Trong các trò lừa đảo Whaling , bạn thường được nhắm mục tiêu qua email - đó là một trò lừa đảo Phishing^{(Phishing scam)} chuyên biệt . Kẻ tấn công nghiên cứu hoạt động trực tuyến của bạn và lấy thông tin hữu ích về bạn từ các nguồn khác. Và thông tin đó được sử dụng để tạo ra một e-mail cá nhân hóa trông chuyên nghiệp. Việc xem một email chính thức có thể khiến bạn bỏ qua sự phòng thủ của mình và rất có thể bạn sẽ tin tưởng vào những email như vậy. Ý tưởng là để lấy thông tin từ bạn cho các hoạt động gian lận tiếp theo.

Bây giờ bạn phải nhận ra rằng có một ranh giới mong manh giữa Lừa đảo cá voi^(Whaling) và Lừa đảo bằng giáo ^{(Spear Phishing)}. Whaling thường nhắm mục tiêu vào các giám đốc điều hành cấp cao, trong khi trò lừa đảo thứ hai nhắm vào nhân viên của một công ty, khách hàng của một công ty nói chung. Nó được gọi là Whaling vì các mục tiêu thường lớn hoặc quan trọng. Và vì vậy Cá voi^(Whales) được chọn vì quyền hạn và quyền truy cập của họ trong một tổ chức.

Cá voi^(Whaling) hoạt động như thế nào và tại sao bạn lại được nhắm mục tiêu

Hầu hết các mục tiêu thường là doanh nhân, doanh nhân, CEO^(CEOs) và nhân viên công ty. Các mục tiêu thường dành riêng cho doanh nghiệp và các cuộc tấn công được lên kế hoạch với mục đích thu được bất kỳ thông tin nhạy cảm nào về các hoạt động của một tổ chức.

Những kiểu tấn công được thiết kế theo phương pháp xã hội này rất khó xác định và mọi người thường đưa dữ liệu cho những kẻ lừa đảo như vậy. Kẻ lừa đảo gửi một email được cá nhân hóa từ một địa chỉ mà bạn có thể quen thuộc. Kẻ lừa đảo có thể giả làm sếp của bạn hoặc một tổ chức thân thiện khác. Hoặc anh ấy / cô ấy có thể giả làm nhà tư vấn tài chính hoặc luật sư của bạn. Nội dung của email chủ yếu là tìm kiếm sự chú ý để bạn có thể trả lời kịp thời và ít có khả năng bị họ bắt gặp nhất.

Email có thể yêu cầu bạn chuyển một số tiền như một khoản thanh toán cho một hóa đơn đến hạn hoặc nó có thể yêu cầu bạn cung cấp một số dữ liệu công ty được yêu cầu tại trụ sở chính. Hoặc nó có thể hỏi chi tiết cá nhân về các nhân viên của tổ chức.

Kẻ lừa đảo hoặc kẻ tấn công đã nghiên cứu bạn để tạo một email được cá nhân hóa cho bạn. Và nghiên cứu có thể dựa trên các hoạt động trực tuyến của bạn hoặc dựa trên bất kỳ thông tin nào thu được từ các nguồn khác. Việc đánh cắp email^{(Whaling emails)} có vẻ bình thường và hoàn hảo và đó là lý do duy nhất khiến mọi người rơi vào bẫy. Tên, biểu trưng và các thông tin khác được sử dụng trong email có thể là thật hoặc không. Nhưng nó được trình bày theo cách mà thông thường mọi người không thể đánh dấu sự khác biệt giữa những email này.

Ngoài ra, địa chỉ email của người gửi hoặc trang web được đề cập tương tự với người mà bạn có thể biết. Các tệp đính kèm có thể độc hại hoặc không. Mục đích duy nhất của những trò gian lận này là để thuyết phục bạn rằng email đó là hoàn toàn bình thường và yêu cầu hành động khẩn cấp. Và khi bạn làm theo hướng dẫn trong email, bạn sẽ làm rò rỉ một số dữ liệu bí mật cho một người hoặc trang web trái phép.

Cách duy trì sự bảo vệ khỏi các cuộc tấn công của Cá voi

Bạn phải học cách xác định Các cuộc tấn công Lừa đảo^{(identify Phishing Attacks)} để biết thêm về cách bảo vệ khỏi lừa đảo nói chung để bạn có thể tránh được các trò gian lận Lừa đảo^{(avoid Phishing scams)} .

Chìa khóa để luôn được bảo vệ là luôn chú ý. Đọc tất cả các email liên quan đến công việc của bạn từ đầu đến cuối và để ý đến điều gì đó thú vị. Nếu bạn chỉ cảm thấy có điều gì đó không ổn với email, hãy liên hệ với tổ chức mà từ đó email được cho là.

1] Xác minh^(Verify) email của người gửi và sau đó chỉ trả lời email. Thông thường, các trang web hoặc địa chỉ email từ nơi bạn đang nhận email gần như giống hệt với các địa chỉ email bình thường mà bạn có thể biết. Một chữ 'o' có thể được thay thế bằng chữ '0' (không) hoặc có thể có hai chữ 's' thay vì một chữ 's'. Loại lỗi này có thể dễ dàng bị mắt người bỏ qua, và những lỗi này là cơ sở của các cuộc tấn công như vậy.

2] Nếu email yêu cầu một số hành động khẩn cấp, thì bạn phải xem xét cẩn thận và sau đó đưa ra quyết định. Nếu có bất kỳ liên kết trang web nào bên ngoài, hãy xác minh địa chỉ của họ trước khi cung cấp bất kỳ thông tin nào cho trang web đó. Ngoài ra, hãy kiểm tra dấu hiệu ổ khóa hoặc xác minh chứng chỉ của trang web.

3] Không cung cấp bất kỳ thông tin tài chính hoặc bất kỳ chi tiết liên hệ nào cho bất kỳ trang web hoặc email nào. Biết khi nào nên tin tưởng một trang web^{(Know when to trust a website)} , đề phòng trước khi nhấp vào bất kỳ liên kết web nào^{(precautions before clicking on any web links)} và tuân theo các tiêu chuẩn an toàn khi sử dụng internet cơ bản.

4] Có phần mềm tường lửa, chống vi-rút thích hợp bảo vệ máy tính của bạn và không tải xuống bất kỳ tệp đính kèm nào từ bất kỳ email nào trong số này. RAR/7z hoặc bất kỳ tệp thực thi nào khác bị nghi ngờ là chứa bất kỳ phần mềm độc hại hoặc Trojan^(Trojans) nào . Thường xuyên thay đổi mật khẩu và tạo bản sao lưu các tài liệu quan trọng tại một vị trí an toàn.

5 ] Tiêu^{(] Completely)} hủy hoàn toàn các tài liệu vật lý của bạn trước khi vứt bỏ chúng để chúng không thể cung cấp bất kỳ thông tin nào về bạn và tổ chức của bạn.

Các ví dụ về tấn công cá voi

Trong khi bạn có thể tìm thấy rất nhiều câu chuyện lừa đảo như vậy trên mạng. Ngay cả những công ty lớn như Snapchat và Seagate cũng đã rơi vào bẫy của những trò gian lận này. Năm ngoái, một nhân viên cấp cao của Snapchat là nạn nhân của một vụ lừa đảo như vậy khi một email mạo danh Giám đốc điều hành của công ty hỏi về bảng lương của nhân viên. Hãy xem một số ví dụ:

• Seagate : Một cuộc tấn công săn bắt cá voi thành công đã hạ cánh trộm tới 10.000 tài liệu thuế W-2 cho tất cả nhân viên hiện tại và quá khứ.
• Snapchat : Một nhân viên đã thất bại vì một email mạo danh yêu cầu từ Giám đốc điều hành Evan Spiegel^{(CEO Evan Spiegel)} và xâm phạm dữ liệu bảng lương của 700 nhân viên.
• FACC : Nhà cung cấp công nghiệp máy bay của Áo thiệt hại 50 triệu euro do một cuộc tấn công của cá voi.
• Ubiquiti Networks : Công ty công nghệ mạng này đã bị thiệt hại 39,1 triệu đô la do một cuộc tấn công của cá voi.
• Weight Watchers International : Một email săn cá voi cho phép kẻ trộm lấy dữ liệu thuế của gần 450 nhân viên hiện tại và trước đây.

Đã bị lừa đảo?

Bạn có nghĩ rằng bạn đã từng là nạn nhân của một vụ lừa đảo Whaling ? Thông báo ngay cho người đứng đầu tổ chức của bạn và tìm kiếm trợ giúp pháp lý. Nếu bạn đã cung cấp cho họ bất kỳ chi tiết ngân hàng nào hoặc bất kỳ loại mật khẩu nào, hãy thay đổi chúng ngay lập tức. Tham khảo ý kiến ​​của chuyên gia an ninh mạng để theo dõi lại đường đi và biết ai là kẻ tấn công. Tìm kiếm trợ giúp pháp lý và tham khảo ý kiến ​​luật sư.

Có nhiều dịch vụ trực tuyến khác nhau có sẵn để bạn có thể báo cáo những trò gian lận như vậy. Vui lòng báo cáo những trò gian lận như vậy để hoạt động của họ có thể bị gián đoạn và nhiều người hơn không bị ảnh hưởng.

Nếu bạn muốn biết thêm chi tiết, có cuốn sách điện tử xuất sắc này có tựa đề Cá voi, Giải phẫu một cuộc tấn công^{(Whaling, Anatomy of an attack)} , bạn có thể tải xuống miễn phí.

Bảo vệ bản thân, nhân viên và tổ chức của bạn khỏi những hành vi gian lận và lừa đảo trực tuyến như vậy. Hãy quảng bá và giúp đồng nghiệp, bạn bè và gia đình của bạn luôn được bảo vệ.^{(Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.)}

Đọc ở đây về các lừa đảo & lừa đảo Trực tuyến và Email phổ biến nhất^{(most common Online and Email scams & frauds)} .

What are Whaling scams & how to protect your Enterprise

If you work in or own an enterpriѕe, then you need tо know that there is always a high risk of cyber-attacks & scams taking plаce. Emaіl Scams are the most common among them. Phishing comes in many flavors like Tabnabbing, Spear Phishing as well as Vishing and Smishing. A few days back, we took a look at Pharming online frauds – today we will take a look at Whaling Scams which is the emerging cyber-security threat.

What are Whaling scams

In Whaling scams, you are targeted usually by email – it is a specialized Phishing scam. The attacker studies your online activity and obtains useful information about you from other sources. And that information is used to create a professional looking personalized e-mail. Seeing an official email can cause you to drop your defenses and you are very likely to trust such email. The idea is to obtain information from you for further fraudulent activities.

Now you have to realize that there is a thin line of difference between Whaling and Spear Phishing. Whaling typically targets high-level executives, whereas the latter scam targets employees of a company, customers of a company generally. It is called Whaling because the targets are usually large or important. And so Whales are chosen because of their authority and access within an organization.

How does Whaling work and why are you targeted

Most of the targets are usually businessmen, entrepreneurs, CEOs, and corporate employees. The targets are usually business specific and attacks are planned for the purpose of obtaining any sensitive information about the activities of an organization.

These kind of socially engineered attacks are very difficult to identify and people usually end up giving data to such scammers. The scammer sends a personalized email from an address you may be familiar with. The scammer may mimic to be your boss or another friendly organization. Or he/she may mimic as your financial consultant or your lawyer. The content of the email is mostly attention seeking so that you may reply promptly and there is the least chance of them getting caught.

The email might require you to transfer some money as a payment to a due bill or it may ask you for some company data that is required at a head office. Or it may ask personal details about the employees of the organization.

The scammer or the attacker has already researched you to create a personalized email for you. And the research may be based upon your online activities or upon any information obtained from other sources. Whaling emails just seem normal and perfect and that is the only reason people fall into the trap. The names, logos and other information used in the email may be real or not. But it is presented in such a way that normally people cannot mark a difference between these emails.

Also, the email address of the sender or the website mentioned is similar to someone you may know. The attachments may or may not be malicious. The sole purpose of these scams is to convince you that the email is completely normal and requires urgent action. And when you follow the instructions in the email, you end up leaking out some confidential data to an unauthorized person or website.

How to stay protected from Whaling attacks

You have to learn to identify Phishing Attacks to know more about protection from phishing in general so that you can avoid Phishing scams.

The key to staying protected is to stay attentive. Read all your work related emails end to end and keep an eye on something fishy. If you just felt that there is something wrong with the email, contact the organization from which the email is said to be.

1] Verify the sender’s email and then only respond to emails. Usually, the websites or email addresses from where you are receiving emails are almost identical to normal email addresses that you may know. An ‘o’ may be replaced with a ‘0’ (zero) or there may be two ‘ss’ instead of one ‘s’. This kind of errors are easily overlooked by a human eye, and these forms the basis of such attacks.

2] If the email requires some urgent action, then you must look carefully and then take the decision. If there are any outbound website links, verify their address before supplying any information to that website. Also, check for the padlock sign or verify the website’s certificate.

3] Do not provide any financial or any contact details to any website or an email. Know when to trust a website, take precautions before clicking on any web links and follow the basic internet usage safety norms.

4] Have proper antivirus, firewall software protecting your computer and do not download any attachments from any of these emails. RAR/7z or any other executable files are most suspected to contain any malware or Trojans. Regularly change passwords and create a backup of important documents at a secure location.

5] Completely destroy your physical documents before disposing of them so that they cannot provide any information about you and your organization.

Whaling attack examples

While you can find a ton of such scam stories online. Even the major companies like Snapchat and Seagate have fallen into the traps of these scams. Last year, a high-rank employee of Snapchat was a victim of such a scam where an email impersonating the CEO of the company inquired about the payroll of the employees. Take a look at some examples:

• Seagate: A successful whaling attack landed thieves up to 10,000 W-2 tax documents for all current and past employees.
• Snapchat: An employee fell for an email impersonating a request from CEO Evan Spiegel and compromised payroll data for 700 employees.
• FACC: The Austrian aircraft industry supplier lost 50 million euros due to a whaling attack.
• Ubiquiti Networks: This networking tech company suffered a $39.1 million loss as a result of a whaling attack.
• Weight Watchers International: A whaling email allowed thieves to obtain tax data for nearly 450 current and former employees.

Already Scammed?

Do you think that you’ve been a victim of a Whaling scam? Immediately inform the head of your organization and seek legal help. If you provided them with any bank details or any sort of passwords, change them immediately. Consult a cyber-security expert to track back the path and know who the attacker was. Seek out for legal help and consult a lawyer.

There are various online services available where you can report such scams. Please report such scams so that their activity can be disrupted and more people are not affected.

If you are interested in knowing more, there is this excellent eBook titled Whaling, Anatomy of an attack, which you can download free.

Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.

Read here about the most common Online and Email scams & frauds.

Related posts

• Làm thế nào để kiểm tra xem một liên kết có an toàn hay không sử dụng trình duyệt web của bạn

• Tìm hiểu xem online account bạn đã bị hack và email và mật khẩu bị rò rỉ thông tin chi tiết

• Online Safety Tips cho Kids, Students and Teens

• Internet Security article and tips cho Windows 10 người dùng

• Safeguard trẻ em của bạn từ adult content sử dụng Browsing sạch

• Dark Patterns: Website thủ đoạn, Examples, Types, Làm thế nào để Spot & Avoid

• Best Invoice Templates cho Word Online để tạo Business Invoices miễn phí

• Browser Fingerprinting. Làm thế nào để vô hiệu hóa dấu vân tay Browser

• Best miễn phí Online Survey and Form Builder apps

• Thế nào là Đỗ Domains and Sinkhole Domains?

• Dược sĩ là gì và làm thế nào bạn có thể ngăn chặn Online Fraud này?

• Best Free PDF Editor Online Tools dựa trên đám mây

• Online Identity Theft: Prevention and Protection tips

• MAN-IN-IN-IN-IN-IN-IN-TOOME (MITM): Định nghĩa, Prevention, Tools

• Digital Footprints, Traces or Shadow là gì?

• Photo Collage maker Online Tools and Software miễn phí

• Computer Security, Data Privacy, Online Safety Brochures từ Microsoft

• Best Free Online Training Courses đến Stay Fit Khi ở nhà

• Đầm lừa đảo là gì? Giải thích, Examples, Protection

• Tại sao Microsoft texting tôi? Họ chính hãng hay lừa đảo?