Kẻ lừa đảo thu thập thông tin cá nhân của bạn bằng cách nào?
Kẻ lừa đảo có nhiều cách để lấy thông tin cá nhân. Đôi khi họ dụ dỗ người dùng tiết lộ thông tin qua tin nhắn phishing, trang web giả mạo, cuộc gọi lừa đảo, câu đố, khảo sát hoặc các hình thức tấn công xã hội khác. Thông tin cũng có thể bị đánh cắp trực tiếp từ thiết bị bằng phần mềm độc hại, bị lộ trong vi phạm dữ liệu, được thu thập từ nguồn công khai, hoặc lấy bằng phương pháp vật lý như skimming thẻ hoặc bưu phẩm bị đánh cắp.
Kẻ lừa đảo thường gom thông tin từ nhiều nguồn thay vì dựa vào một lần tấn công duy nhất. Khi kết nối các mảnh dữ liệu này, họ có thể biết nhiều chi tiết về một người và khiến chiêu thức lừa đảo thuyết phục hơn.
- Kẻ lừa đảo thường thu thập thông tin theo ba cách chính: trực tiếp từ nạn nhân, qua dữ liệu bị lộ/vi phạm, và từ nguồn công khai hoặc thương mại.
- Những mảnh thông tin khác nhau có thể được kết hợp để tạo hồ sơ chi tiết hơn, đó là lý do kẻ lừa đảo có thể đã biết các chi tiết cá nhân thật sự.
- Nghiên cứu của Kaspersky từ năm 2025 cho thấy 88,5% các cuộc tấn công phishing được phân tích nhằm mục tiêu đánh cắp thông tin đăng nhập tài khoản.
- Một cuộc gọi hoặc tin nhắn biết tên, địa chỉ, ngân hàng, nơi làm việc hoặc thông tin thật không chứng minh người liên hệ là đáng tin cậy.
- Phần mềm bảo mật, tải xuống từ nguồn tin cậy, cập nhật phần mềm, và chia sẻ ít thông tin cá nhân hơn trực tuyến có thể giảm lượng dữ liệu mà kẻ lừa đảo có thể thu thập được.
- Mật khẩu duy nhất và xác thực hai yếu tố có thể làm giảm đáng kể giá trị của thông tin đăng nhập bị rò rỉ.
Phishing và tấn công xã hội
Phishing và các hình thức tấn công xã hội khác dựa vào thao túng tâm lý hơn là khai thác kỹ thuật hacking. Kẻ lừa đảo có thể gửi email hoặc gọi điện giả mạo từ ngân hàng, công ty giao hàng, cơ quan nhà nước, nơi làm việc hoặc tổ chức đáng tin cậy khác.
Những chiêu trò này có nhiều dạng. Smishing là lừa đảo qua tin nhắn SMS. Vishing là lừa đảo qua cuộc gọi thoại. Trang web giả mạo, cửa hàng trực tuyến ảo, câu đố, khảo sát, cuộc thi và quà tặng có thể được thiết kế để thu thập thông tin cá nhân.
Mục tiêu thường là thuyết phục nạn nhân tiết lộ các chi tiết như tên đăng nhập, mật khẩu, thông tin thanh toán hoặc giấy tờ tùy thân. Chiêu lừa có thể khuyến khích người dùng bấm liên kết độc hại hoặc cho kẻ tấn công quyền truy cập từ xa vào thiết bị.
Infostealer và các loại phần mềm độc hại khác
Phần mềm độc hại có thể thu thập thông tin cá nhân trực tiếp từ thiết bị bị nhiễm. Infostealer là loại phần mềm độc hại chuyên tìm và đánh cắp dữ liệu như mật khẩu lưu, cookie trình duyệt, thông tin thanh toán, tập tin và các dữ liệu nhạy cảm khác.
Phần mềm độc hại có thể xâm nhập thiết bị qua tệp tải xuống độc hại, tập tin đính kèm phishing, trang web bị xâm phạm hoặc ứng dụng giả mạo trá hình thành phần mềm hợp pháp.
Cookie trình duyệt cũng có giá trị. Cookie phiên bị đánh cắp có thể cho phép kẻ tấn công chiếm đoạt phiên đăng nhập đang hoạt động mà không cần nhập lại mật khẩu. Đó là lý do vì sao phần mềm độc hại trên thiết bị tin cậy có thể lộ nhiều hơn là chỉ các tập tin lưu trữ cục bộ.
Vi phạm dữ liệu
Thông tin cá nhân cũng có thể bị lộ từ công ty hoặc dịch vụ trực tuyến ngay cả khi cá nhân không làm gì sai.
Một vi phạm dữ liệu có thể tiết lộ địa chỉ email, số điện thoại, tên, mật khẩu, thông tin thanh toán, ngày sinh hoặc dữ liệu tài khoản khác. Thông tin đăng nhập bị đánh cắp sau đó có thể được tái sử dụng trong các cuộc lừa đảo tiếp theo hoặc bán cho tội phạm khác trên dark web.
Dữ liệu bị vi phạm có thể hữu dụng trong thời gian dài. Ngay cả khi mật khẩu cũ không còn hiệu lực, các chi tiết khác như email, số điện thoại, địa chỉ nhà hoặc ngày sinh vẫn có thể được kết hợp với thông tin mới từ nguồn khác cho các hình thức đánh cắp danh tính.
Nguồn công khai và môi giới dữ liệu
Không phải mọi thông tin kẻ lừa đảo dùng đều bị đánh cắp. Một phần đã có sẵn công khai hoặc mua được trên thị trường thương mại.
Hồ sơ mạng xã hội có thể tiết lộ tên, nơi làm việc, người thân, vị trí, ngày sinh, sở thích, kế hoạch du lịch và các chi tiết cá nhân khác. Hồ sơ công khai, trang tra cứu thông tin cá nhân (people-search), danh bạ và môi giới dữ liệu có thể cung cấp thêm thông tin như liên hệ, địa chỉ và dữ liệu nhân khẩu học.
Phương pháp vật lý
Kẻ lừa đảo cũng có thể thu thập thông tin ngoại tuyến. Quan sát từ vai (shoulder surfing) có nghĩa là nhìn người khác nhập PIN hoặc thông tin nhạy cảm ở nơi công cộng.
Thiết bị skimming thẻ có thể ghi lại thông tin thẻ thanh toán, trong khi bưu phẩm bị đánh cắp có thể chứa sao kê ngân hàng, thông tin tài khoản hoặc giấy tờ tùy thân. Giấy tờ vứt bỏ không tiêu hủy đúng cách cũng có thể để lộ thông tin cá nhân hữu ích nếu không được hủy an toàn.
Kẻ lừa đảo có thể làm gì với thông tin cá nhân của bạn?
Việc kẻ lừa đảo làm gì phụ thuộc vào các chi tiết họ có được. Ngay cả địa chỉ email hay số điện thoại cũng có thể dùng để phishing hoặc các cuộc lừa đảo nhắm mục tiêu, trong khi thông tin bổ sung có thể cho phép giả mạo thuyết phục hơn, chiếm đoạt tài khoản hoặc đánh cắp danh tính.
Ví dụ, kẻ lừa đảo có thể kết hợp một địa chỉ email bị lộ trong vi phạm dữ liệu với tên công ty tìm được trên mạng xã hội. Họ có thể gửi tin nhắn phishing dường như đến từ phòng nhân sự của công ty, khiến yêu cầu trông đáng tin hơn.
Biết các chi tiết cá nhân thật không làm cho cuộc gọi hoặc tin nhắn trở nên đáng tin cậy.
Kẻ lừa đảo có thể dùng các loại thông tin cá nhân khác nhau cho mục đích khác nhau:
|
Thông tin bị lộ |
Kẻ lừa đảo có thể làm gì với nó |
|
Địa chỉ email và số điện thoại |
Gửi tin nhắn phishing nhắm mục tiêu, cuộc gọi lừa đảo hoặc thông báo tài khoản gian dối. |
|
Tên đăng nhập và mật khẩu |
Cố gắng truy cập tài khoản hoặc thử nghiệm các thông tin đăng nhập đã được tái sử dụng trên dịch vụ khác. |
|
Thông tin thẻ thanh toán hoặc ngân hàng |
Thực hiện giao dịch trái phép và gian lận tài chính, tùy theo mức độ thông tin thu được. |
|
Tên, địa chỉ và thông tin mạng xã hội |
Mạo danh người quen hoặc khiến chiêu lừa trông thuyết phục hơn. |
|
Giấy tờ tùy thân và dữ liệu nhạy cảm |
Cố gắng đánh cắp danh tính, nộp đơn gian lận hoặc mạo danh tài khoản. |
|
Cookie trình duyệt và phiên đăng nhập đang hoạt động |
Có thể chiếm đoạt tài khoản đang đăng nhập mà không cần nhập lại mật khẩu. |
Bạn nên làm gì nếu kẻ lừa đảo sở hữu thông tin cá nhân của bạn?
Bước đầu là xác định thông tin cá nhân nào có thể đã bị lộ. Phản ứng phù hợp tùy thuộc vào loại dữ liệu, việc tài khoản có bị truy cập hay không, và liệu thiết bị có bị xâm phạm hay không.
|
Thông tin bị lộ |
Rủi ro chính |
Cần làm gì |
|
Mật khẩu hoặc thông tin đăng nhập tài khoản |
Chiếm đoạt tài khoản và truy cập trái phép |
Thay đổi mật khẩu bị ảnh hưởng, kể cả trên các tài khoản khác nếu bạn đã dùng lại mật khẩu. Bật xác thực hai yếu tố (2FA), rà soát hoạt động tài khoản và đăng xuất các phiên lạ. |
|
Thông tin thẻ thanh toán hoặc ngân hàng |
Thanh toán trái phép và gian lận tài chính |
Liên hệ ngay với ngân hàng hoặc nhà cung cấp thẻ. Hỏi xem có cần khóa hoặc thay thẻ/tài khoản không, và kiểm tra các giao dịch gần đây. |
|
Giấy tờ tùy thân hoặc dữ liệu nhạy cảm |
Đánh cắp danh tính và mạo danh |
Liên hệ cơ quan phát hành hoặc dịch vụ liên quan để được hướng dẫn. Theo dõi các tài khoản hoặc hồ sơ lạ được mở bằng tên bạn và báo cáo nghi ngờ đánh cắp danh tính. |
|
Địa chỉ email hoặc số điện thoại |
Phishing, cuộc gọi lừa đảo và mạo danh nhắm mục tiêu |
Cẩn trọng với tin nhắn và cuộc gọi bất ngờ, đặc biệt khi chúng chứa chi tiết cá nhân thật. Tránh các liên kết đáng ngờ và xác minh yêu cầu bằng kênh chính thức. |
|
Cookie trình duyệt, phiên đang hoạt động hoặc dữ liệu liên quan tới phần mềm độc hại |
Chiếm đoạt phiên và tiếp tục đánh cắp thông tin đăng nhập |
Rà soát và dọn dẹp thiết bị bị ảnh hưởng bằng phần mềm bảo mật đáng tin cậy. Sau đó thay đổi mật khẩu quan trọng từ một thiết bị sạch, thu hồi các phiên đang hoạt động nếu có thể và kiểm tra hoạt động tài khoản. |
Tiếp tục theo dõi các tài khoản quan trọng để phát hiện đăng nhập bất thường, cố gắng đặt lại mật khẩu và giao dịch trái phép. Báo cáo mọi hành vi lạm dụng đã xác nhận cho nhà cung cấp hoặc tổ chức liên quan.
Làm thế nào bạn có thể bảo vệ thông tin cá nhân khỏi kẻ lừa đảo?
Bảo vệ thông tin cá nhân bắt đầu bằng việc làm cho kẻ lừa đảo khó thu thập dữ liệu hữu dụng hơn. Cẩn trọng với tin nhắn hoặc cuộc gọi bất ngờ, đặc biệt khi kẻ gửi tạo cảm giác cấp bách hoặc yêu cầu quyền truy cập tài khoản. Ngay cả khi yêu cầu có vẻ đến từ tổ chức tin cậy, hãy xác minh qua kênh chính thức trước khi chia sẻ thông tin hoặc cho phép truy cập.
Tài khoản cần được bảo vệ mạnh mẽ. Sử dụng một mật khẩu khác nhau cho mỗi tài khoản trực tuyến. Mật khẩu này có thể được lưu trong một trình quản lý mật khẩu uy tín. Ngoài ra, hãy bật xác thực hai yếu tố (2FA) ở mọi nơi có thể. Điều này nghĩa là chỉ mật khẩu có thể không đủ để truy cập tài khoản.
Thiết bị cũng cần bảo vệ khỏi phần mềm độc hại và infostealer. Tải ứng dụng và phần mềm từ nguồn tin cậy, cài cập nhật bảo mật kịp thời và sử dụng phần mềm bảo mật uy tín có thể phát hiện tệp, trang web và mối đe dọa độc hại khác.
Hạn chế thông tin cá nhân có sẵn trực tuyến bằng cách rà soát cài đặt quyền riêng tư mạng xã hội và tránh để lộ các chi tiết không cần thiết như ngày sinh, thông tin gia đình hoặc kế hoạch du lịch. Xóa tài khoản không dùng và gỡ bỏ thông tin cá nhân khỏi dịch vụ trực tuyến bạn không còn cần nữa.
Chú ý tới thông báo vi phạm dữ liệu và cảnh báo đăng nhập đáng ngờ. Dù các biện pháp này không ngăn được mọi sự cố rò rỉ dữ liệu, chúng có thể giảm mức độ phơi nhiễm và giúp bạn phản ứng trước khi thông tin bị lợi dụng.
Kaspersky Premium kết hợp bảo vệ chống virus với các công cụ thiết kế để chặn trang web độc hại và chiêu trò phishing, xác định rò rỉ dữ liệu và mật khẩu, và quản lý mật khẩu an toàn.
Được thử nghiệm độc lập và trao giải bởi các phòng thí nghiệm hàng đầu trong ngành.
Bài viết liên quan:
- Bạn biết gì về các trang web lừa đảo?
- Làm thế nào để tránh tấn công social engineering hiệu quả?
- Những mẹo phòng chống phishing tốt nhất để tự bảo vệ?
- Làm thế nào để tránh mất cắp dữ liệu
Sản phẩm đề xuất:
FAQs
Kẻ lừa đảo có thể lấy thông tin của bạn chỉ qua một tin nhắn hoặc cuộc gọi không?
Thông thường không chỉ qua tin nhắn hoặc cuộc gọi đơn lẻ. Nguy cơ lớn hơn là nếu người nhận bấm liên kết độc hại, trả lời bằng thông tin cá nhân, cài phần mềm, hoặc cho phép truy cập vào thiết bị. Việc trả lời còn có thể xác nhận số điện thoại đang hoạt động. Tốt nhất là chặn và xóa những tin nhắn đáng ngờ.
Ai đó có thể đánh cắp danh tính bạn chỉ với tên và địa chỉ không?
Thường thì chỉ với tên và địa chỉ là chưa đủ, mặc dù những chi tiết đó có thể khiến chiêu lừa nhắm mục tiêu và mạo danh thuyết phục hơn. Đánh cắp danh tính thường cần thêm thông tin như ngày sinh, thông tin ID, dữ liệu tài khoản hoặc dữ liệu cá nhân khác.
Kẻ lừa đảo cần thông tin gì để truy cập tài khoản ngân hàng của bạn?
Một tên và số tài khoản ngân hàng thường không đủ để truy cập ngân hàng trực tuyến. Kẻ lừa đảo thường cần thêm thông tin xác thực, như thông tin đăng nhập, mã bảo mật, hoặc quyền truy cập vào thiết bị tin cậy, phiên đang hoạt động hoặc màn hình thiết bị.
Làm sao bạn biết thẻ của mình bị skimming?
Khó phát hiện ngay tại máy. Khe thẻ lỏng hoặc chi tiết gắn thêm bất thường có thể là dấu hiệu cảnh báo. Giao dịch trái phép hoặc cảnh báo từ ngân hàng thường là chỉ báo rõ ràng nhất cho thấy thông tin thẻ có thể đã bị xâm phạm.
