Giả mạo IT Support trên Teams: Doanh nghiệp Việt cần kiểm soát gì?

2 ngày trước

8 phút đọc

Giả mạo IT Support trên Teams có thể biến một yêu cầu hỗ trợ tưởng như bình thường thành điểm khởi đầu của sự cố an ninh mạng. Bài viết của The Hacker News cho thấy kẻ tấn công lợi dụng kênh giao tiếp công việc để tiếp cận nhân viên, xin quyền truy cập từ xa rồi triển khai hoạt động độc hại.

Với doanh nghiệp tại Việt Nam đang sử dụng Teams, điều cần rà soát là cách nhân viên xác minh người hỗ trợ trước khi cho phép điều khiển máy tính. Một tên hiển thị quen thuộc hoặc lời đề nghị “xử lý lỗi ngay” chưa đủ để chứng minh người liên hệ thuộc bộ phận IT.

1. Giả mạo IT Support trên Teams diễn ra như thế nào?

Arctic Wolf cho biết đã phân tích hơn 400 sự cố lạm dụng tính năng chat bên ngoài trên Teams để mạo danh hoặc chuyển tệp độc hại. Đối tượng thường sử dụng tên như “IT Support”, “Help Desk” hoặc thêm chữ “Internal” để tạo cảm giác là nhân sự nội bộ.

gia-mao-it-support-tren-teams — *Giả mạo IT Support trên Teams*

Trong nhiều trường hợp, hộp thư nạn nhân bị dồn dập email đăng ký dịch vụ trước khi tài khoản hỗ trợ giả xuất hiện. Cách phối hợp này tạo áp lực phải xử lý sự cố ngay và khiến lời đề nghị hỗ trợ có vẻ đúng lúc.

Một kịch bản có thể diễn ra theo trình tự:

Nhân viên nhận nhiều email bất thường hoặc được thông báo máy tính đang gặp vấn đề.
Tài khoản tự xưng IT liên hệ qua Teams, đề nghị hỗ trợ khẩn cấp.
Nhân viên được yêu cầu mở Quick Assist, cài công cụ hỗ trợ khác hoặc làm theo hướng dẫn trên máy.
Đối tượng tận dụng quyền truy cập để chạy mã độc, dò tìm hệ thống và mở rộng hoạt động.

Microsoft xác nhận đã quan sát chuỗi mạo danh Helpdesk qua Teams, sử dụng Quick Assist hoặc công cụ tương tự để lấy quyền truy cập ban đầu. Sau đó, kẻ tấn công có thể dùng ứng dụng hợp pháp và giao thức quản trị để di chuyển sang hệ thống khác, chuẩn bị dữ liệu đưa ra ngoài.

Điểm cần hiểu đúng là cuộc trò chuyện bên ngoài không tự động trao quyền điều khiển thiết bị. Rủi ro tăng lên khi người dùng chấp thuận các hành động tiếp theo. Microsoft cũng nêu rõ chuỗi hoạt động được phân tích không xuất phát từ điểm yếu của Teams hay các cơ chế bảo vệ tích hợp.

2. Vì sao một phiên hỗ trợ giả có thể dẫn đến ransomware?

Công cụ hỗ trợ từ xa giúp người được cấp quyền thao tác trực tiếp trên máy tính. Khi danh tính người hỗ trợ chưa được xác minh, chính quyền truy cập đó có thể bị lợi dụng để tải phần mềm, thu thập thông tin và duy trì kết nối trái phép.

Sophos ghi nhận chiến dịch STAC4749 sử dụng Teams để giả mạo hỗ trợ IT và chiếm quyền truy cập từ xa. Ít nhất ba vụ xâm nhập trong phân tích của hãng dẫn đến triển khai Chaos ransomware; một trường hợp mất chưa đầy 17 giờ từ truy cập ban đầu đến triển khai mã độc tống tiền. Đây là diễn biến của các sự cố cụ thể, không phải thời gian cố định cho mọi cuộc tấn công.

Doanh nghiệp có thể xem thêm diễn biến tấn công ransomware Chaos qua Microsoft Teams để hiểu mối liên hệ giữa mạo danh hỗ trợ và giai đoạn tống tiền.

3. Ngữ cảnh nào thực sự liên quan đến doanh nghiệp Việt Nam?

3.1. Tên miền .com.vn không đủ để xác nhận người hỗ trợ

Arctic Wolf ghi nhận tên miền .com.vn trong hoạt động lạm dụng hạ tầng của các vụ việc được phân tích. Tuy nhiên, báo cáo không cung cấp căn cứ để kết luận các nạn nhân đó nằm tại Việt Nam.

Bài học thực tế là nhân viên cần đối chiếu chính xác tên miền và danh tính người hỗ trợ với thông tin doanh nghiệp đã công bố. Đuôi tên miền quen thuộc không thay thế được bước xác minh này.

3.2. Khi có nhà cung cấp IT bên ngoài, cần công bố rõ cách xác minh

Với doanh nghiệp tại Việt Nam có cả IT nội bộ và đơn vị hỗ trợ thuê ngoài, tài khoản bên ngoài có thể xuất hiện trong công việc hợp lệ. Vì vậy, quy trình cần giúp nhân viên phân biệt người được ủy quyền với người chỉ tự xưng là kỹ thuật viên.

Doanh nghiệp nên công bố đầu mối hỗ trợ, tên miền được sử dụng, cách tiếp nhận yêu cầu và công cụ điều khiển từ xa được phép dùng. Nếu nhà cung cấp thay nhân sự, danh sách người được hỗ trợ cần được cập nhật trước khi người mới liên hệ với nhân viên.

Đây là đề xuất vận hành cho doanh nghiệp có mô hình hỗ trợ như trên, không phải kết luận rằng doanh nghiệp Việt đã bị tấn công trong chiến dịch được báo cáo.

3.3. Xác nhận yêu cầu hỗ trợ bằng kênh đã biết trước

Một mã ticket có ích khi nhân viên tự kiểm tra được trên hệ thống hỗ trợ chính thức. Chỉ đọc mã do người đang gọi cung cấp chưa đủ, vì đối tượng có thể tự tạo một mã trông hợp lệ.

Doanh nghiệp nên đưa bước xác minh này vào quy trình vận hành IT Helpdesk: trước khi mở phiên remote, nhân viên kiểm tra yêu cầu trên cổng hỗ trợ hoặc gọi lại đầu mối có trong danh bạ nội bộ.

Quy trình IT Helpdesk: Từ nhận ticket đến đóng yêu cầu

4. Doanh nghiệp cần kiểm soát những gì để giảm rủi ro?

4.1. Rà soát quyền liên lạc bên ngoài trên Teams

Microsoft cho phép quản trị viên cấu hình External access theo tên miền và chính sách người dùng. Với chế độ chỉ cho phép các tên miền cụ thể, những tên miền khác sẽ bị chặn trong phạm vi cấu hình tương ứng.

Trước khi áp dụng, IT cần thống kê đối tác, khách hàng và nhà cung cấp đang giao tiếp qua Teams. Có thể triển khai thử trên một nhóm người dùng, kiểm tra ảnh hưởng rồi mở rộng. Quyền khách và truy cập cuộc họp ẩn danh là các cấu hình riêng, cần được rà soát cùng để tránh bỏ sót đường giao tiếp khác. [5]

Phạm vi công việc nên được phân định rõ trong dịch vụ IT Helpdesk cho Microsoft 365, gồm người phê duyệt thay đổi và đầu mối xử lý khi phát hiện tài khoản đáng ngờ.

4.2. Quản lý công cụ hỗ trợ từ xa theo nhu cầu thực tế

Doanh nghiệp nên lập danh mục công cụ remote được phép dùng, người được sử dụng và thiết bị được hỗ trợ. Với mỗi phiên truy cập, cần xác định được ai thực hiện, nhằm xử lý việc gì và quyền truy cập kết thúc khi nào.

Ở những máy không có nhu cầu hỗ trợ bằng công cụ nhất định, IT có thể đánh giá việc gỡ bỏ hoặc hạn chế thực thi. Với công cụ đang phục vụ vận hành, cần kiểm tra cấu hình truy cập không giám sát, tài khoản quản trị và nhật ký phiên hỗ trợ. Thay đổi nên được thử nghiệm để bảo đảm đội IT vẫn có thể xử lý sự cố hợp lệ.

4.3. Xác minh ngoài cuộc trò chuyện đang bị nghi ngờ

Khi một tài khoản chủ động xin quyền điều khiển máy, nhân viên nên tạm dừng và xác nhận qua đầu mối đã biết trước. Không sử dụng số điện thoại, đường dẫn hay danh bạ do chính tài khoản đáng ngờ vừa gửi làm căn cứ duy nhất.

Đặc biệt, yêu cầu chạy lệnh, cài phần mềm ngoài danh mục hoặc tắt biện pháp bảo vệ cần được chuyển cho người có thẩm quyền kiểm tra. Áp lực “phải làm ngay” không nên thay thế quy trình phê duyệt.

4.4. Đào tạo bằng tình huống hỗ trợ IT cụ thể

Chương trình đào tạo nhận thức an ninh mạng cho nhân viên nên có bài tập về người tự xưng IT trên Teams. Nhân viên cần thực hành cách kiểm tra người gửi, nhận diện tài khoản bên ngoài và báo cáo yêu cầu hỗ trợ bất thường.

Một tình huống diễn tập phù hợp là: hộp thư xuất hiện nhiều email lạ, ngay sau đó có người gọi qua Teams xin mở công cụ remote. Tiêu chí đánh giá nên là nhân viên có dừng để xác minh đúng đầu mối hay không.

4.5. Kết hợp giám sát Teams và thiết bị đầu cuối

Arctic Wolf lưu ý trong một số trường hợp, đối tượng tự truy cập nơi chứa mã độc trong phiên remote thay vì gửi URL trực tiếp qua Teams. Bởi vậy, chỉ kiểm tra đường dẫn trong tin nhắn có thể bỏ sót hoạt động tiếp theo.

Đội IT nên ưu tiên điều tra khi một liên hệ hỗ trợ bất thường đi kèm công cụ remote mới xuất hiện, lệnh quản trị không có trong yêu cầu hỗ trợ hoặc hoạt động tài khoản khác thường. Cần có người tiếp nhận và xử lý cảnh báo, thay vì chỉ lưu nhật ký.

5. Nhân viên cần làm gì nếu đã cấp quyền điều khiển máy?

Nếu nghi ngờ vừa cho người giả mạo IT truy cập, hãy dừng tương tác và báo ngay cho đầu mối IT hoặc an toàn thông tin chính thức bằng kênh đã biết trước. Cung cấp thời điểm xảy ra, tài khoản liên hệ, phần mềm đã mở và thao tác đã thực hiện.

Đội xử lý cần đánh giá việc cô lập thiết bị, bảo toàn nhật ký và kiểm tra phần mềm vừa được cài hoặc chạy. Nhân viên không nên tự xóa tệp, cài lại máy hay tiếp tục làm theo yêu cầu của đối tượng. Nếu có khả năng lộ thông tin đăng nhập, IT cần đánh giá cả việc đổi mật khẩu, thu hồi phiên đăng nhập và phạm vi tài khoản bị ảnh hưởng.

-----------------

Câu hỏi thường gặp

Chỉ nhận tin nhắn Teams có khiến máy tính bị chiếm quyền không?

Trong chuỗi mạo danh được Microsoft phân tích, việc cấp quyền truy cập xảy ra sau khi người dùng chấp thuận hành động tiếp theo, như mở phiên hỗ trợ từ xa. Không nên đồng nhất việc nhận tin nhắn với việc thiết bị đã bị kiểm soát.

Có nên chặn toàn bộ tài khoản bên ngoài trên Teams?

Cần quyết định theo nhu cầu cộng tác. Doanh nghiệp có thể giới hạn tên miền và nhóm người dùng được liên lạc bên ngoài, sau khi kiểm tra các kết nối phục vụ công việc. Microsoft cung cấp các lựa chọn cấu hình này trong External access.

Bật MFA có đủ để ngăn giả mạo IT Helpdesk không?

Không. MFA giúp bảo vệ quá trình đăng nhập nhưng không xác minh thay người đang yêu cầu điều khiển máy tính. Doanh nghiệp vẫn cần kiểm tra danh tính người hỗ trợ, mục đích truy cập và quyền được cấp.

Có bằng chứng chiến dịch này đã nhắm vào doanh nghiệp Việt Nam không?

Trong các nguồn được đối chiếu cho bài viết, chưa có xác nhận cụ thể về nạn nhân doanh nghiệp tại Việt Nam. Chi tiết tên miền .com.vn không đủ để xác định vị trí nạn nhân.

Một yêu cầu hỗ trợ đáng tin cậy cần có danh tính xác minh được, lý do truy cập rõ ràng và quyền hạn phù hợp. Với doanh nghiệp đang sử dụng Teams, chuẩn hóa ba yếu tố này là việc có thể bắt đầu ngay khi rà soát quy trình Helpdesk.

Nếu cần xây dựng lại đầu mối tiếp nhận, phân quyền và quy trình hỗ trợ từ xa, doanh nghiệp có thể tham khảo dịch vụ IT Helpdesk và IT Support của IPSIP Vietnam.