Email bị chiếm quyền: dấu hiệu nhận biết và cách phòng

Một nhân viên kế toán nhận thư "sếp" yêu cầu chuyển gấp một khoản tiền cho đối tác mới, địa chỉ gửi vẫn là email công ty quen thuộc, chữ ký vẫn đúng mẫu. Không ai đặt câu hỏi cho tới khi tiền đã đi. Đây là kịch bản phổ biến khi email công ty bị chiếm quyền: kẻ tấn công không cần hack cả hệ thống, chỉ cần nắm một hộp thư thật để giả danh người thật.

Bài này chỉ ra dấu hiệu nhận biết email bị chiếm quyền, xếp theo mức nghiêm trọng, và cách phòng bằng việc doanh nghiệp có thể tự làm ngay trong hộp thư đang dùng.

Email bị chiếm quyền là gì, khác gì với email bị giả mạo

Email bị chiếm quyền nghĩa là kẻ xấu đã đăng nhập được vào chính hộp thư thật, đọc được thư cũ, gửi thư mới dưới danh nghĩa chủ hộp thư. Khác với giả mạo địa chỉ (spoofing), nơi kẻ tấn công chỉ làm giả tên hiển thị mà không có quyền truy cập, chiếm quyền hộp thư nguy hiểm hơn vì thư gửi đi đúng là từ tài khoản thật, vượt qua được bộ lọc kiểm tra người gửi.

Nguyên nhân phổ biến nhất là mật khẩu bị lộ qua dịch vụ khác dùng chung mật khẩu, hoặc nhân viên nhập thông tin vào một trang giả qua link phishing. Bài này chỉ bàn phần phòng thủ, không hướng dẫn cách tấn công vận hành.

Dấu hiệu email bị chiếm quyền cần chú ý

Bốn nhóm dấu hiệu hay gặp nhất: thư gửi đi ngoài ý muốn, quy tắc chuyển tiếp lạ, đăng nhập từ vị trí bất thường, và khách báo nhận thư mình không viết. Nhận ra càng sớm, thiệt hại càng nhỏ.

Quy tắc chuyển tiếp là dấu hiệu dễ bỏ sót nhất vì nó âm thầm. Kẻ tấn công đặt một rule tự động chuyển tiếp thư có từ khoá "chuyển khoản", "hoá đơn" rồi xoá dấu vết khỏi hộp thư gốc. Nạn nhân vẫn dùng email bình thường trong nhiều tuần mà không biết thư quan trọng đã có bản sao gửi ra ngoài.

Vì sao lừa đảo chuyển tiền qua email doanh nghiệp gây thiệt hại nặng nhất

Lừa đảo chuyển tiền qua email doanh nghiệp (Business Email Compromise) là hậu quả nặng nhất của việc email bị chiếm quyền: kẻ tấn công không cần phá mã hay chiếm cả hệ thống, chỉ cần đọc lịch sử thư từ để giả đúng văn phong, đúng thời điểm, đúng người liên hệ.

Theo báo cáo Internet Crime Report của FBI (IC3), nhóm tội phạm Business Email Compromise nhiều năm liền nằm trong số gây thiệt hại tài chính lớn nhất trong các loại tội phạm mạng được báo cáo tại Mỹ, vượt xa mã độc tống tiền tính theo tổng giá trị thiệt hại. Điểm chung: kẻ tấn công đã đọc được thư thật trước khi giả mạo, không phải gửi thư giả ngẫu nhiên, nên thời điểm gửi thường trùng lúc có giao dịch đang chờ và số tài khoản nhận tiền chỉ đổi vài ký tự cuối so với số quen thuộc.

Cách phòng email bị chiếm quyền bằng xác thực hai lớp và mật khẩu riêng

Xác thực hai lớp (2FA) yêu cầu thêm một mã xác nhận từ điện thoại ngoài mật khẩu, nên dù mật khẩu bị lộ, kẻ tấn công vẫn không đăng nhập được nếu thiếu thiết bị thứ hai. Đây là lớp phòng thủ đơn giản và hiệu quả nhất, nên bật cho toàn bộ nhân viên, không chỉ ban lãnh đạo.

Đi cùng 2FA là nguyên tắc mỗi dịch vụ một mật khẩu riêng, không dùng lại mật khẩu email cho tài khoản khác. Đây là lỗ hổng phổ biến nhất: một dịch vụ bên thứ ba bị lộ dữ liệu, kẻ tấn công thử đúng cặp email và mật khẩu đó trên hộp thư công ty, trùng mật khẩu là đăng nhập được ngay. Mật khẩu quản trị hệ thống email nên đủ dài, đổi định kỳ.

Vì khó phát hiện, quy tắc chuyển tiếp cần một lịch kiểm tra riêng: rà soát mục quy tắc chuyển tiếp và bộ lọc thư của mọi hộp thư quan trọng tối thiểu mỗi quý một lần, không chỉ kiểm khi có sự cố. Cùng lúc nên xem luôn danh sách ứng dụng bên thứ ba đã được cấp quyền truy cập hộp thư, vì ứng dụng không còn dùng nữa vẫn giữ quyền truy cập là một cửa mở không cần thiết.

Quy định xác nhận qua điện thoại trước khi chuyển tiền theo email

Đây là biện pháp phòng lừa đảo chuyển tiền qua email doanh nghiệp hiệu quả nhất vì không phụ thuộc công nghệ: mọi yêu cầu chuyển tiền hoặc đổi số tài khoản nhận qua email, dù từ đối tác quen hay cấp trên, phải xác nhận lại qua điện thoại theo số đã lưu từ trước, không gọi số ghi trong email vừa nhận.

Quy định nên viết thành văn bản nội bộ, áp dụng không ngoại lệ kể cả khi email có vẻ gấp gáp. Phần lớn kịch bản lừa đảo chuyển tiền qua email doanh nghiệp dựa vào cảm giác khẩn cấp để nạn nhân bỏ qua bước xác minh.

Việc cần làm ngay khi nghi email công ty bị chiếm quyền

Nghi ngờ hộp thư bị chiếm quyền thì xử lý theo thứ tự sau, càng nhanh càng đỡ thiệt hại:

1. Đổi mật khẩu ngay lập tức, dùng thiết bị khác nếu nghi thiết bị đang dùng cũng bị lộ.
2. Đăng xuất toàn bộ phiên đang mở trên mọi thiết bị, không chỉ thiết bị đang cầm.
3. Kiểm tra và xoá quy tắc chuyển tiếp lạ, xem lại danh sách ứng dụng được cấp quyền.
4. Bật xác thực hai lớp nếu trước đó chưa bật.
5. Rà lại mục Đã gửi và thùng rác để biết kẻ tấn công đã gửi thư gì, cho ai.
6. Báo cho đối tác và khách hàng liên quan đã trao đổi qua email trong thời gian nghi bị chiếm, nhất là nếu có giao dịch tiền đang chờ.
7. Liên hệ đội kỹ thuật vận hành email để kiểm tra nhật ký đăng nhập ở tầng máy chủ, việc mà người dùng thường không tự xem được.

Bước cuối là lý do nên dùng dịch vụ email doanh nghiệp theo tên miền riêng thay vì email miễn phí: có đội kỹ thuật xem được nhật ký ở tầng hạ tầng, không chỉ dựa vào giao diện webmail. Doanh nghiệp lượng thư lớn có thể cân nhắc thêm email server riêng, tách IP gửi khỏi hạ tầng dùng chung.

Gói mailBus của BizMaC có bốn mức, từ Pro 219.000đ/tháng (25 hộp thư, 50 GB) đến Edge 599.000đ/tháng (120 hộp thư, 240 GB), bật sẵn SPF, DKIM, DMARC và chống spam ở tầng máy chủ.

Câu hỏi thường gặp về email công ty bị chiếm quyền

Điều cần nhớ

Email công ty bị chiếm quyền hiếm khi có dấu hiệu ồn ào. Thường là một quy tắc chuyển tiếp âm thầm, một lần đăng nhập từ vị trí lạ không ai để ý, cho tới khi khách hàng gọi điện hỏi vì sao số tài khoản nhận tiền lại đổi. Bật xác thực hai lớp, tách mật khẩu từng dịch vụ, kiểm tra quy tắc chuyển tiếp định kỳ và giữ quy định xác nhận qua điện thoại trước khi chuyển tiền là bốn việc chặn được phần lớn rủi ro.

Doanh nghiệp muốn chuyển từ email miễn phí sang hộp thư theo tên miền riêng, có đội kỹ thuật hỗ trợ cấu hình SPF, DKIM, DMARC ngay từ đầu, có thể tham khảo các gói email doanh nghiệp mailBus của BizMaC.