Cách Graham Ivan Clark Sử dụng Chiến thuật Tâm lý để Phơi bày Điểm yếu lớn nhất của An ninh Doanh nghiệp

Câu chuyện của Graham Ivan Clark tiết lộ một sự thật khó chịu: trong thời đại kỹ thuật số của chúng ta, những lỗ hổng nguy hiểm nhất không nằm ở mã nguồn - chúng được lập trình vào hành vi của con người. Khi một thiếu niên từ Tampa quản lý để xâm nhập vào một số tài khoản quyền lực nhất thế giới, đó không phải là nhờ vào phần mềm độc hại tinh vi hay các lỗ hổng zero-day. Mà là nhờ vào sự thao túng, lòng tin và tâm lý học. Vào ngày 15 tháng 7 năm 2020, thế giới đã chứng kiến điều gì xảy ra khi ai đó hiểu bản chất con người tốt hơn các phòng IT hiểu về an ninh mạng.

Kiến trúc của một cuộc tấn công tâm lý

Graham Ivan Clark không xây dựng đế chế tội phạm của mình chỉ sau một đêm. Sự nổi lên của anh bắt đầu từ những lừa đảo đơn giản trên các nền tảng trò chơi, nơi anh giả làm một người bán hàng đáng tin cậy trước khi biến mất cùng với khoản thanh toán. Nhưng đây không chỉ là những trò đùa - chúng là những thí nghiệm trong việc thuyết phục. Đến tuổi 15, anh đã tham gia OGUsers, một cộng đồng trực tuyến nổi tiếng nơi các hacker trao đổi thông tin xác thực bị đánh cắp và các kỹ thuật kỹ thuật xã hội. Điều phân biệt Clark với các hacker thuần túy về mặt kỹ thuật là sự nhận thức của anh rằng kỹ thuật xã hội - thao túng con người hơn là hệ thống - hiệu quả hơn rất nhiều.

Bước ngoặt đến khi anh 16 tuổi khi Graham Ivan Clark thành thạo việc chuyển SIM: thuyết phục các nhà mạng chuyển số điện thoại sang các thiết bị mà anh kiểm soát. Kỹ thuật đơn lẻ này đã mở khóa toàn bộ cuộc sống kỹ thuật số. Với quyền truy cập vào số điện thoại của nạn nhân, anh có thể đặt lại mật khẩu cho các tài khoản email, ví tiền điện tử và nền tảng ngân hàng. Những nhà đầu tư tiền điện tử nổi tiếng đã từng khoe khoang trực tuyến về tài sản của họ trở thành mục tiêu hàng đầu. Một nhà đầu tư mạo hiểm, Greg Bennett, tỉnh dậy và phát hiện hơn 1 triệu đô la Bitcoin đã biến mất. Thông điệp tiếp theo mang theo một mối đe dọa lạnh lùng: đầu hàng thanh toán hoặc đối mặt với hậu quả cá nhân.

Đêm hai thiếu niên phá hủy phòng thủ của một nền tảng

Đến giữa năm 2020, trong thời gian phong tỏa do đại dịch khi các nhân viên Twitter làm việc từ xa, Graham Ivan Clark và một đồng phạm đã thực hiện kế hoạch táo bạo nhất của họ. Họ gọi cho các nhân viên Twitter giả làm bộ phận hỗ trợ kỹ thuật nội bộ, gửi các liên kết lừa đảo nhằm thu thập thông tin đăng nhập. Hàng chục nhân viên đã mắc bẫy. Hai thiếu niên đã leo lên hệ thống nội bộ của Twitter một cách có hệ thống cho đến khi họ có quyền truy cập vào một bảng điều khiển quản trị có thể đặt lại bất kỳ mật khẩu tài khoản nào trên nền tảng - hiệu quả cấp cho họ quyền kiểm soát 130 tài khoản quyền lực nhất hiện có.

Cuộc tấn công chỉ kéo dài vài giờ. Vào lúc 8:00 PM ngày 15 tháng 7 năm 2020, các tài khoản đã xác minh thuộc về Elon Musk, Barack Obama, Jeff Bezos, Apple và Joe Biden đã đăng các tin nhắn giống hệt nhau: “Gửi $1,000 bằng Bitcoin và nhận lại $2,000.” Hơn $110,000 tiền điện tử đã chảy vào các ví mà kẻ tấn công kiểm soát. Nhưng lợi ích tài chính không phải là điều quan trọng. Thông điệp rõ ràng: hai thiếu niên đã chinh phục chiếc loa khổng lồ dễ thấy nhất trên internet.

Tại sao các hệ thống thất bại nơi con người sa ngã

Hạ tầng của Twitter đã sụp đổ không phải vì sự tinh vi kỹ thuật mà vì nhân viên đã tin tưởng vào những giọng nói nghe có vẻ có thẩm quyền. Graham Ivan Clark hiểu điều mà các chuyên gia an ninh mạng thường bỏ qua: con người là hệ thống dễ bị khai thác nhất. Nỗi sợ, sự khẩn cấp và những lời kêu gọi từ thẩm quyền vượt qua sự hoài nghi. Một cuộc gọi hỗ trợ IT có vẻ như bình thường đã bỏ qua hàng triệu đô la trong hạ tầng an ninh.

FBI đã xác định được Graham Ivan Clark trong vòng hai tuần thông qua nhật ký IP, tin nhắn Discord và dữ liệu di động. Anh phải đối mặt với 30 tội danh hình sự liên quan đến đánh cắp danh tính, lừa đảo qua mạng và truy cập máy tính trái phép - có thể bị phạt 210 năm tù giam. Tuổi tác của anh đã trở thành lợi thế của anh. Bị truy tố với tư cách là một thanh thiếu niên, anh đã trải qua ba năm trong trại giam dành cho thanh thiếu niên, tiếp theo là ba năm quản chế, và được tự do khi 20 tuổi.

Bài học bền vững từ phương pháp của Graham Ivan Clark

Nhiều năm sau, những lỗ hổng mà Graham Ivan Clark khai thác vẫn còn tồn tại. Các nền tảng truyền thông xã hội, mạng lưới doanh nghiệp và các tổ chức tài chính vẫn tiếp tục là nạn nhân của kỹ thuật xã hội. Đây là những điều mà những người bảo vệ và người dùng bình thường phải hiểu:

Tâm lý học của kỹ thuật xã hội hoạt động dựa trên các kích hoạt có thể dự đoán:

• Sự khẩn cấp được tạo ra tạo ra sự hoảng loạn vượt qua phán đoán
• Các tín hiệu thẩm quyền - ngôn ngữ chính thức, các chức danh nghe có vẻ chính thức - vượt qua sự hoài nghi
• Các lời kêu gọi đến nỗi sợ hãi hoặc lòng tham khai thác quyết định dựa trên cảm xúc
• Sự hồi đáp - khi ai đó giúp bạn, bạn cảm thấy có nghĩa vụ phải giúp lại họ

Biện pháp phòng ngừa thực tế:

• Không bao giờ phản hồi ngay lập tức các yêu cầu khẩn cấp, ngay cả từ các nguồn đã xác minh
• Xác minh các yêu cầu bất thường qua các kênh độc lập (gọi số chính thức, không phải số được cung cấp trong tin nhắn)
• Giả định rằng bất kỳ tài khoản nào, dù được xác minh đến đâu, cũng có thể bị xâm phạm
• Triển khai xác thực đa yếu tố bắt buộc mà không thể bị bỏ qua chỉ bằng cách đặt lại mật khẩu
• Đào tạo nhân viên rằng kỹ thuật xã hội nguy hiểm như bất kỳ mối đe dọa kỹ thuật nào

Câu hỏi chưa được giải quyết

Graham Ivan Clark đã chứng minh rằng trong thế giới liên kết của chúng ta, tâm lý học quan trọng hơn mã hóa. Ngày nay, những chiến thuật thao túng tương tự đã xâm phạm Twitter tiếp tục nhắm vào cá nhân và tập đoàn hàng ngày. Không gian tiền điện tử mà anh đã giúp khai thác vẫn là nơi trú ẩn cho những trò lừa đảo tương tự đã giúp anh trở nên giàu có.

Nhận thức thật sự không phải là Graham Ivan Clark quá thông minh - mà là hạ tầng an ninh của chúng ta vẫn bi thảm dễ bị tổn thương trước tâm lý học con người cơ bản. Cho đến khi các tổ chức coi con người là lớp bảo mật chính thay vì là một suy nghĩ sau cùng, kỹ thuật xã hội sẽ vẫn là vũ khí ưu tiên của kẻ tấn công. Graham Ivan Clark không hack một hệ thống. Anh đã chứng minh rằng bạn không cần phải phá vỡ hệ thống khi bạn chỉ cần thuyết phục những người điều hành nó rằng bạn thuộc về nó.