Hướng dẫn tổ chức diễn tập ứng phó Deepfake trước khi ‘sếp giả’ gọi điện cho nhân viên

Các cuộc gọi giả mạo giọng nói (voice cloning) và video call sử dụng công nghệ deepfake đang trở thành vũ khí nguy hiểm trong các vụ lừa đảo tài chính, chiếm đoạt quyền truy cập và tấn công vào bộ phận hỗ trợ kỹ thuật. Thay vì chờ đợi sự cố xảy ra, các đội ngũ an ninh mạng cần chủ động thực hiện các buổi diễn tập để phát hiện lỗ hổng trong quy trình xác thực của tổ chức.

Tại sao nhận diện bằng ‘tai’ không còn đủ?

Các chương trình đào tạo nhận thức an ninh truyền thống thường dạy nhân viên cách phát hiện các dấu hiệu bất thường như câu từ gượng ép hoặc địa chỉ email lạ. Tuy nhiên, công nghệ deepfake ngày càng tinh vi, khiến việc dựa vào cảm quan cá nhân trở nên rủi ro. Theo các nghiên cứu gần đây, ngay cả các chuyên gia IT cũng thiếu tự tin vào khả năng phát hiện deepfake của chính mình. Do đó, phòng thủ phải dựa vào quy trình thay vì cảm nhận.

Quy trình 6 bước diễn tập ứng phó Deepfake

Bước 1: Lập danh sách mục tiêu
Xác định những nhân sự cấp cao dễ bị giả mạo (CEO, CFO, CISO…) và những nhân viên thường xuyên nhận yêu cầu nhạy cảm (kế toán, bộ phận hỗ trợ IT, quản trị viên hệ thống). Hãy lưu ý rằng kẻ tấn công có thể thu thập dữ liệu giọng nói từ các buổi hội thảo hoặc video công khai để tạo bản sao hoàn hảo.

Bước 2: Thiết lập quy tắc xác thực
Trước khi diễn tập, cần ban hành các quy tắc rõ ràng:

• Callback ngoài băng tần (Out-of-band): Luôn gọi lại cho người yêu cầu qua số điện thoại chính thức trong danh bạ nội bộ, không dùng số điện thoại được cung cấp trong tin nhắn.
• Quy trình phê duyệt kép: Mọi thay đổi về tài khoản ngân hàng hoặc quyền truy cập đặc quyền phải có ít nhất hai người xác nhận.
• Văn hóa không đổ lỗi: Khuyến khích nhân viên báo cáo ngay nếu nghi ngờ mình đã mắc bẫy.

Bước 3: Thiết kế kịch bản đa kênh
Kẻ tấn công thường bắt đầu bằng email để tạo bối cảnh, sau đó mới gọi điện để gây áp lực. Hãy mô phỏng các tình huống như: yêu cầu chuyển khoản gấp từ CFO, thay đổi thông tin ngân hàng nhà cung cấp, hoặc yêu cầu reset MFA từ ‘lãnh đạo’ đang đi công tác.

Bước 4: Triển khai theo từng giai đoạn
Bắt đầu bằng các buổi thảo luận trên bàn giấy (tabletop exercise), sau đó mới tiến hành mô phỏng thực tế với một nhóm nhỏ có kiểm soát. Đảm bảo rằng mọi giao dịch trong diễn tập đều là giả lập và không gây ảnh hưởng đến hệ thống thật.

Bước 5: Đo lường hiệu quả
Đừng chỉ nhìn vào kết quả đạt/không đạt. Hãy phân tích thời gian phản ứng, kênh báo cáo, và các điểm gãy (break points) trong quy trình để tìm ra nơi cần cải thiện.

Bước 6: Rút kinh nghiệm và lặp lại
Thực hiện debrief ngay sau khi diễn tập để nhân viên hiểu rõ họ đã bị đánh lừa như thế nào. Cập nhật quy trình và thực hiện diễn tập định kỳ ít nhất 2 lần mỗi năm.

Vai trò của công nghệ

Dù quy trình là cốt lõi, các công cụ bảo mật hiện đại có thể hỗ trợ đắc lực. Hãy ưu tiên các giải pháp bảo mật email có khả năng phân tích hành vi để phát hiện các yêu cầu bất thường, hoặc các công cụ xác thực danh tính thời gian thực cho các nền tảng họp trực tuyến (như Microsoft Teams) để cảnh báo khi giọng nói hoặc hình ảnh không khớp với hồ sơ người dùng.

Nguồn tham khảo: The Hacker News