Lừa đảo yêu cầu ủy quyền của phòng nhân sự

Việc luôn thận trọng khi xem xét các tin nhắn liên quan đến công việc là điều cần thiết, đặc biệt là khi tội phạm mạng ngày càng mạo danh các phòng ban nội bộ để truy cập thông tin nhạy cảm. Một trong những ví dụ mới nhất của chiến thuật này là Lừa đảo Yêu cầu Ủy quyền của Phòng Nhân sự, một hoạt động lừa đảo được thiết kế để đánh cắp thông tin đăng nhập tài khoản và xâm phạm hệ thống doanh nghiệp.

Một thông điệp lừa đảo trá hình dưới dạng HR

Các email lừa đảo được các nhà nghiên cứu bảo mật kiểm tra giả mạo thông báo nội bộ từ bộ phận Nhân sự của một công ty. Chúng được đóng khung dưới dạng cập nhật liên quan đến giai đoạn phát triển nhân sự sắp tới và tuyên bố rằng cơ cấu lương thưởng mới, điều chỉnh chính sách nghỉ phép và điều chỉnh lương phải được người nhận xem xét. Dòng tiêu đề thường giống với "Yêu cầu Ủy quyền Nhân sự: Cập nhật Chính sách cho năm 2025", mặc dù cách diễn đạt chính xác có thể khác nhau.

Mặc dù có giọng điệu thuyết phục, mọi tuyên bố trong những email này đều là bịa đặt. Các email này không liên quan đến công ty, phòng nhân sự, hay bất kỳ công ty, tổ chức hay nhà cung cấp dịch vụ hợp pháp nào của người nhận. Thay vào đó, chúng chỉ đóng vai trò như những mồi nhử được thiết kế để dẫn người nhận đến các trang lừa đảo giả mạo cổng đăng nhập email. Các trang web giả mạo này được tạo ra để đánh cắp mật khẩu và cấp cho kẻ lừa đảo toàn quyền truy cập vào tài khoản công việc.

Tại sao tội phạm mạng nhắm mục tiêu vào tài khoản công việc

Việc xâm nhập vào tài khoản của nhân viên là vô cùng có giá trị đối với kẻ tấn công. Thông tin liên lạc kinh doanh thường chứa dữ liệu mật, chi tiết hoạt động, hồ sơ tài chính và liên kết truy cập đến các dịch vụ nội bộ. Một khi có được những thông tin này, tội phạm có thể khai thác chúng cho mục đích xấu trực tiếp hoặc bán cho các tác nhân đe dọa khác.

Rủi ro do tài khoản bị xâm phạm tạo ra

• Việc tiết lộ thông tin kinh doanh nhạy cảm và tăng nguy cơ bùng phát phần mềm độc hại, bao gồm cả phần mềm tống tiền hoặc Trojan
• Truy cập trái phép vào các nền tảng được kết nối như lưu trữ đám mây, công cụ chia sẻ tệp, hệ thống quản lý dự án hoặc tài khoản mạng xã hội của công ty

Với quyền truy cập phù hợp, kẻ lừa đảo có thể mạo danh nạn nhân để yêu cầu tiền, chia sẻ tệp độc hại hoặc phát tán nội dung gian lận cho đồng nghiệp, đối tác và khách hàng.

Hậu quả có thể xảy ra của một cuộc tấn công thành công

• Trộm cắp tài chính, giao dịch gian lận hoặc sử dụng sai mục đích ví kỹ thuật số
• Gian lận danh tính và mạo danh
• Tác động lâu dài đến quyền riêng tư và nguy cơ vi phạm dữ liệu doanh nghiệp

Chiến thuật đằng sau những email lừa đảo này

Mặc dù nhiều người cho rằng thư rác chứa đầy lỗi hiển nhiên, nhưng những trò lừa đảo này thường được trau chuốt và viết rất chuyên nghiệp. Chúng cố tình bắt chước giọng điệu và thương hiệu của công ty để trông có vẻ chân thực. Kẻ tấn công phân phối những email như vậy để quảng bá các hình thức lừa đảo khác nhau và phát tán phần mềm độc hại thông qua các tệp đính kèm độc hại hoặc liên kết nhúng.

Các tệp độc hại được sử dụng trong các chiến dịch này có thể bao gồm các chương trình thực thi, tệp lưu trữ, tài liệu, tệp JavaScript hoặc các định dạng khác. Một số tệp tự động kích hoạt khi mở, trong khi một số tệp khác yêu cầu tương tác, chẳng hạn như bật macro trong tệp Office hoặc nhấp vào các mục nhúng trong tài liệu OneNote.

Điều gì xảy ra với nạn nhân

Những người mắc bẫy lừa đảo Yêu cầu Ủy quyền của Phòng Nhân sự có thể phải đối mặt với hàng loạt hậu quả. Thông tin đăng nhập bị đánh cắp tạo cơ hội cho tội phạm xâm nhập vào các mạng lưới rộng hơn, đánh cắp thêm dữ liệu và bắt đầu triển khai phần mềm độc hại. Thiệt hại do đó thường bao gồm vi phạm quyền riêng tư, xâm phạm hệ thống, tổn thất tài chính và đánh cắp danh tính.

Nếu ai đó đã cung cấp thông tin tài khoản, cần phải hành động ngay lập tức. Việc cập nhật mật khẩu cho tất cả các tài khoản có khả năng bị ảnh hưởng và liên hệ với nhóm hỗ trợ chính thức của các dịch vụ đó là điều được khuyến nghị mạnh mẽ.

Luôn cảnh giác, ngay cả với những email có vẻ quen thuộc hoặc có nguồn gốc nội bộ, là một trong những biện pháp phòng thủ hiệu quả nhất chống lại các mối đe dọa lừa đảo hiện đại.