Tại sao bạn không bao giờ được cắm USB lạ nhặt được ngoài bãi xe

Một chiếc USB nằm ở bãi xe, sảnh thang máy hay bàn trong quán cà phê có thể là đồ ai đó đánh rơi, nhưng cũng có thể là mồi nhử được đặt ở đó có chủ đích. Bạn không thể biết nó thuộc loại nào chỉ bằng cách nhìn, và việc cắm thử vào máy là đúng thứ kẻ đặt mồi mong bạn làm. Cách xử lý đúng rất đơn giản: không cắm vào bất kỳ máy nào, giao cho bộ phận bảo vệ, IT hoặc quầy đồ thất lạc.

Mồi nhử USB khai thác điều gì ở con người

Kỹ thuật thả USB (thường gọi là USB drop) không dựa vào lỗ hổng phần mềm phức tạp. Nó dựa vào những phản xạ rất người:

• Tò mò: nhãn ghi "Lương thưởng quý 4", "Ảnh riêng tư", "Danh sách sa thải" khiến người nhặt muốn biết bên trong có gì.
• Lòng tốt: nhiều người cắm thử để tìm thông tin chủ nhân, mong trả lại đồ.
• Tham chút lợi nhỏ: một ổ USB dung lượng lớn nhặt được trông như món hời.
• Cảm giác an toàn nơi quen thuộc: USB rơi trong bãi xe công ty thì "chắc của đồng nghiệp".

Các bài kiểm thử nhận thức bảo mật ở nhiều tổ chức trên thế giới đã nhiều lần cho thấy không ít người cắm USB nhặt được vào máy làm việc. Một nghiên cứu học thuật nổi tiếng của Đại học Illinois công bố năm 2016 đã thả hàng trăm USB trong khuôn viên trường và ghi nhận gần như tất cả đều được nhặt lên, và gần một nửa có tệp bên trong được mở. Điều đáng chú ý là nhiều người tham gia cho biết họ làm vậy với ý định tốt.

Một chiếc USB lạ có thể làm gì với máy của bạn

Chứa tệp độc hại chờ được mở

Đây là dạng phổ biến nhất. Ổ USB chứa tệp trông như tài liệu, ảnh hoặc thư mục, nhưng thực chất là chương trình hoặc shortcut chạy mã độc. Một số tệp dùng đuôi kép để đánh lừa, như "baocao.pdf.exe"; cách nhận diện được trình bày trong bài về tệp đuôi kép giả dạng tài liệu.

Giả làm bàn phím

Thiết bị trông như USB nhưng thực chất tự gõ lệnh ngay khi cắm vào, không cần bạn mở tệp nào. Phần mềm diệt virus gần như không chặn được kiểu này.

Gây hỏng phần cứng

Có loại thiết bị được thiết kế để tích điện rồi phóng ngược vào cổng USB, có thể làm hỏng bo mạch. Loại này không đánh cắp dữ liệu nhưng gây thiệt hại vật chất.

Thu thập thông tin để tấn công tiếp

Ngay cả khi không chạy mã độc nặng, một tệp tài liệu có thể chứa liên kết hoặc thành phần tải từ internet, báo về cho kẻ đặt mồi rằng ai đó đã mở nó, từ mạng nào. Đây là bước trinh sát cho các cuộc tấn công lừa đảo có chủ đích sau đó.

Vì sao "chỉ cắm vào máy cá nhân" cũng không ổn

Nhiều người nghĩ: không cắm vào máy công ty, cắm vào máy ở nhà thì không sao. Thực tế máy cá nhân thường chứa tài khoản ngân hàng, email, mật khẩu đã lưu trên trình duyệt, và nhiều khi được dùng để làm việc từ xa. Mã độc trên máy nhà có thể đánh cắp mật khẩu VPN công ty hoặc phiên đăng nhập email công việc. Máy ở nhà cũng thường ít được bảo vệ hơn máy công ty.

Cắm vào máy cũ "bỏ đi" cũng không phải ý hay nếu máy đó vẫn kết nối mạng gia đình. Thiết bị phóng điện có thể làm hỏng máy, và mã độc có thể quét mạng nội bộ tìm thiết bị khác.

Xử lý đúng khi bạn nhặt được USB

Đừng tìm cách tự kiểm tra bằng máy ảo hay phần mềm trên máy cá nhân, vì thiết bị giả bàn phím và thiết bị phóng điện không bị chặn bởi máy ảo.

Bộ phận IT nên xử lý USB thu được như thế nào

Với tổ chức, USB nhặt được là một tín hiệu an ninh. IT nên ghi nhận sự việc, đặc biệt nếu có nhiều USB xuất hiện cùng lúc, vì có thể là chiến dịch nhắm vào công ty. Việc kiểm tra, nếu cần, chỉ thực hiện trên máy chuyên dụng cách ly hoàn toàn khỏi mạng, có bộ cách ly USB chống phóng điện, do người có chuyên môn làm. Phần lớn trường hợp, cách hợp lý nhất là tiêu hủy thiết bị.

Ngoài ra, nên dùng sự việc làm tình huống tuyên truyền nội bộ: thông báo cho nhân viên rằng đã phát hiện USB lạ trong khuôn viên và nhắc lại nguyên tắc không cắm. Kết hợp với biện pháp kỹ thuật như khóa cổng USB không dùng trên máy văn phòng và tắt AutoPlay, rủi ro từ USB lạ được giảm từ cả hai phía.

Nếu bạn đã lỡ cắm

1. Rút USB ra ngay, không mở thêm tệp nào.
2. Ngắt Wi-Fi hoặc rút cáp mạng.
3. Nếu là máy công ty, báo IT ngay lập tức, kể cả khi thấy "không có gì xảy ra".
4. Nếu là máy cá nhân, quét toàn bộ bằng phần mềm diệt virus đã cập nhật, kiểm tra chương trình khởi động cùng Windows.
5. Đổi mật khẩu email, ngân hàng và tài khoản quan trọng từ một thiết bị khác, bật xác thực hai lớp.
6. Theo dõi tài khoản trong vài tuần để phát hiện đăng nhập lạ.

Nếu có dấu hiệu nhiễm rõ ràng, hãy làm theo hướng dẫn cô lập máy tính nhiễm độc khỏi mạng nội bộ để tránh lây sang máy khác.

Một nguyên tắc dễ nhớ

Hãy đối xử với USB lạ như với đồ ăn không rõ nguồn gốc: có thể không sao, nhưng cái giá nếu có chuyện lớn hơn nhiều so với lợi ích. Người thực sự đánh rơi USB sẽ tìm tới quầy đồ thất lạc; bạn không cần cắm vào để giúp họ.