Các kiểu tấn công đánh cắp tài khoản

Tin tặc tấn công đánh cắp tài khoản để truy cập thông tin nhạy cảm của người dùng, vì mục đích lợi nhuận (như tài khoản ngân hàng) hay mục đích khác. Tổng quát, tấn công đánh cắp tài khoản có thể phân thành 2 loại: thụ động và tích cực.

Tấn công thụ động

Là loại tấn công mà thông tin tài khoản bị đánh cắp được lưu lại để sử dụng sau. Loại tấn công này lại có 2 dạng: trực tuyến (online) và ngoại tuyến (offline).Tấn công offline có mục tiêu cụ thể, thực hiện bởi thủ phạm truy cập trực tiếp đến tài sản của nạn nhân. Ví dụ, thủ phạm có quyền truy cập máy tính của người dùng dễ dàng cài đặt trình “key logger” hay trình gián điệp để thu thập dữ liệu của người dùng.

Tấn công offline có phạm vi hạn chế và hiệu suất thấp. Đây là dạng đánh cắp tài khoản đơn giản nhất, không yêu cầu “tay nghề” cao và cũng không tốn bất kỳ chi phí nào.

Người dùng có thể trở thành nạn nhân của kiểu tấn công này đơn giản chỉ vì họ để lộ password hay lưu ở dạng không mã hóa trong tập tin có tên dễ đoán trên đĩa cứng. Một nghiên cứu gần đây cho thấy 50% vụ đánh cắp tài khoản do người gần gũi với nạn nhân thực hiện.

Tấn công online không có mục tiêu cụ thể. Kẻ tấn công nhắm đến số đông người dùng trên Intrenet, hy vọng khai thác những hệ thống “lỏng lẻo” hay lợi dụng sự cả tin của người dùng để đánh cắp tài khoản.
Dạng tấn công này có hiệu suất khá cao, lên đến 3% (theo một báo cáo của ComputerWorld). Hình thức phổ biến nhất của tấn công online là phishing.

Chi phí cho tấn công online chủ yếu dùng để mua danh sách email, danh sách máy tính “yếu” có thể đặt website giả mạo hay đặt hàng viết chương trình phá hoại. Tấn công dạng này thường do tin tặc có “tay nghề” thực hiện.

Tấn công chủ động

Là dạng tấn công tinh vi đánh cắp và sử dụng tài khoản trong thời gian thực. Tấn công chủ động khá tốn kém và yêu cầu trình độ kỹ thuật cao. Kiểu tấn công "man-in-the middle" tạo website giả mạo đứng giữa người dùng và website thực là một ví dụ của tấn công chủ động. Kiểu tấn công chủ động không phải là vấn đề bảo mật hiện nay nhưng chúng sẽ là vấn đề trong tương lai gần.

Khi việc xác thực hai khóa trở nên phổ biến và kiểu tấn công thụ động không còn tác dụng, bọn tội phạm sẽ phải dùng đến kiểu tấn công chủ động tinh vi hơn. Các công ty, đặc biệt là các tổ chức tài chính, cần chuẩn bị cho người dùng đối phó với làn sóng tấn công thứ hai này.

Biện pháp phòng vệ tốt nhất chống lại kiểu tấn công chủ động là bảo mật máy tính phía người dùng: đảm bảo hệ điều hành và tất cả ứng dụng được cập nhật và vá đầy đủ, cập nhật cơ sở dữ liệu nhận dạng virus và malware, dùng firewall cho các kết nối Internet, dùng công cụ chống spyware và malware nhằm đảm bảo máy tính không cài đặt những chương trình không cần thiết... Bộ lọc chống phishing cũng giúp giảm khả năng người dùng "đi lạc" sang các website lừa đảo.