Đừng nhấp vào liên kết đó!

Giờ đây, mọi người dùng Internet đều được nhắc đi nhắc lại rằng nhấp vào liên kết trong email là một ý tưởng tồi, những kẻ lừa đảo và kẻ gian đã từ bỏ việc gửi những tin nhắn đó, vì chúng không còn hoạt động nữa. Đúng? Ồ không. Tin nhắn lừa đảo liên kết đến các trang web độc hại vẫn đầy rẫy như mọi khi, và đó là lỗi của bạn. Tại sao bạn nhấp vào các liên kết đó? Tiến sĩ Zinaida Benenson, từ Đại học Erlangen-Nürnberg đã quyết định tìm hiểu và tiết lộ những phát hiện của cô tại hội nghị Mũ Đen ở Las Vegas. Kết quả không đáng khích lệ.

"Khi chúng tôi bắt đầu suy nghĩ về nghiên cứu trong lĩnh vực này, chúng tôi đã hỏi, chúng ta chưa biết gì?", Benenson nói. "Có sự khác biệt nào không nếu bạn gửi tin nhắn đáng ngờ qua email hoặc Facebook? Chúng tôi muốn hỏi mọi người tại sao họ nhấp vào một liên kết hoặc không, để biết họ lý do như thế nào về các quyết định bảo mật."

Tại hội nghị Black Hat năm ngoái, nhà nghiên cứu Laura Bell đã đề xuất rằng thay vì quét PC để bảo mật, chúng tôi sẽ quét người dùng. Benenson có giọng điệu thận trọng hơn. Cô đề cập đến vấn đề kiểm tra mọi người mà không có sự đồng ý của họ. "Đôi khi điều này được thực hiện trong các tổ chức", cô nói, "và nó có thể rất sai. Nhưng chúng tôi không thể nói, này, chúng tôi sẽ gửi cho bạn một số tin nhắn lừa đảo, vì vậy hãy chắc chắn phản ứng theo cách bạn thường làm . "

Benenson có các tình nguyện viên sinh viên cho một nghiên cứu về "hoạt động trực tuyến", hứa hẹn rằng một số người tham gia sẽ giành được thẻ quà tặng. Cô đã sử dụng email và Facebook để gửi 1.600 sinh viên đại học một tin nhắn có chứa một liên kết đến "hình ảnh từ bữa tiệc tuần trước". Những người nhấp vào liên kết đã không được xem bất kỳ hình ảnh không phù hợp nào; họ chỉ đơn giản nhận được một tin nhắn "truy cập bị từ chối". Đương nhiên, thí nghiệm của Berenson đã ghi lại được người đã yêu thích gambit.

Hóa ra việc sử dụng tên của bạn là một cách tuyệt vời để thuyết phục người nhận tin nhắn là hợp pháp. Hơn một nửa (56 phần trăm) người nhận email và 38 phần trăm những người nhận được tin nhắn facebook đã nhấp vào liên kết khi thư gửi đến họ theo tên. Không có tên đầu tiên, chỉ có 20 phần trăm người nhận được tin nhắn qua email và 42, 5 phần trăm người dùng Facebook đã dùng mồi nhử.

Dễ bị lừa

Các số liệu thống kê thực sự thú vị xuất hiện khi Benenson hỏi các clicker về chính sự thúc đẩy khiến họ thực hiện bước nguy hiểm khi nhấp vào liên kết. Lý do lớn nhất, được cung cấp bởi 34 phần trăm số người được hỏi, là sự tò mò về nội dung của các bức ảnh. 27 phần trăm khác tin tưởng tin nhắn vì nó phù hợp với kinh nghiệm của họ, trong đó họ đã tham dự một bữa tiệc gần đây. Mặc dù tin nhắn đến từ một tên trang điểm, 16 phần trăm nghĩ rằng đó là người mà họ biết. Ngược lại, 51 phần trăm những người không chịu nhấp chuột đã làm như vậy vì họ không nhận ra người gửi và 36 phần trăm vì họ không đến bên nào gần đây.

Dựa trên những kết quả này, Benenson đã kết luận rằng bất kỳ ai cũng có thể bị buộc phải nhấp vào một liên kết nguy hiểm bằng một trong một số kỹ thuật. Gọi tên nạn nhân bằng tên, tạo ra thông điệp để gây tò mò, giả mạo người gửi đã biết, kết hợp nội dung tin nhắn với kinh nghiệm gần đây của nạn nhân. Đây là những kỹ thuật đã được thử và đúng.

Trái phiếu, trái phiếu James

Doanh nghiệp muốn gì từ đào tạo nâng cao nhận thức? "Nếu chúng tôi muốn họ tự bảo vệ mình", Berenson nói, "họ phải nghi ngờ ngay cả khi họ biết người gửi, ngay cả khi tin nhắn phù hợp với mong đợi hiện tại của bạn. Họ phải nghi ngờ mọi thứ! Các nhà tâm lý học gọi đây là chế độ lừa dối. thấy một tin nhắn, mong rằng nó có thể là giả. " Cô ấy đã đề cập chính xác một nhân viên có thể thích hoạt động trong chế độ lừa dối mọi lúc; James Bond.

"Nếu chúng tôi muốn nhân viên luôn ở trong chế độ James Bond, " cô tiếp tục, "điều đó là có thể. Nhưng bạn phải đưa nó vào bản mô tả công việc, và bạn phải trả cho họ một cách thích hợp." Cô ấy đã báo cáo về nỗ lực của riêng mình để giữ chế độ lừa dối trong hành động của mình mọi lúc, với một số ví dụ thú vị.

Benenson tiếp tục chỉ ra rằng đào tạo nâng cao nhận thức lừa đảo trong kinh doanh có thể gây tác dụng ngược. Gửi nhân viên các email lừa đảo có chủ đích từ một đồng nghiệp có thể làm giảm hiệu quả công việc bằng cách khiến nhân viên mất lòng tin ngay cả thư hợp lệ. Cô kết luận với một yêu cầu cho các doanh nghiệp sẽ sẵn sàng tham gia vào nghiên cứu tiếp theo của cô.

Còn người dùng gia đình thì sao? Bạn (hoặc con của bạn) chắc chắn sẽ nhấp vào liên kết sai sớm hay muộn. Trong trường hợp đó, bạn nên đảm bảo rằng giải pháp bộ phần mềm chống vi-rút hoặc bảo mật của bạn bao gồm bảo vệ hiệu quả chống lại các URL lưu trữ phần mềm độc hại. Trong thử nghiệm thực hành của riêng tôi, Avira Antivirus Pro 2016, McAfee AntiVirus Plus (2016) và Symantec Norton Security Premium tỏ ra đặc biệt hiệu quả.