Social engineering là gì?

Mục lục

1. Social engineering là gì và vì sao gọi là “phi kỹ thuật”?
2. Con số nói gì về mức độ phổ biến?
3. Một cuộc tấn công social engineering diễn ra thế nào?
4. Các hình thức social engineering phổ biến
5. Ví dụ minh hoạ: vụ đổi số tài khoản nhà cung cấp
6. Dấu hiệu nhận biết một yêu cầu đáng ngờ
7. Doanh nghiệp Việt Nam thường gặp những kịch bản nào?
8. Social engineering khác gì phishing, hacking và malware?
9. Cách phòng chống: kiểm soát nào chặn được bước nào?
10. Nếu đã lỡ làm theo kẻ lừa đảo thì xử lý thế nào?
11. Khi nào mối nguy này đặc biệt lớn với doanh nghiệp bạn?
12. Câu hỏi thường gặp

Social engineering là gì và vì sao gọi là “phi kỹ thuật”?

Social engineering là việc kẻ tấn công lợi dụng niềm tin, nỗi sợ, sự tò mò hoặc thói quen làm việc của con người để khiến họ tự thực hiện một hành động có hại. Hành động đó có thể là chuyển tiền, đọc mã xác thực, mở tệp đính kèm, cấp lại mật khẩu hoặc mở cửa cho người lạ.

Ở Việt Nam, thuật ngữ này thường được dịch là “tấn công phi kỹ thuật”. Chữ “phi kỹ thuật” nghĩa là kẻ tấn công không cần phá mã hay dò lỗ hổng. Ông ta chỉ cần một người bên trong làm theo lời mình. Cách gọi này dễ gây hiểu nhầm, vì phía sau cuộc gọi hay email vẫn có thể có hạ tầng kỹ thuật như tên miền giả, phần mềm giả giọng nói hoặc mã độc. Phần “phi kỹ thuật” chỉ nằm ở khâu đột nhập: điểm yếu bị khai thác là phán đoán của con người.

Đây là mảng con của an toàn thông tin. Bộ ba bảo mật CIA (bảo mật, toàn vẹn, sẵn sàng) có thể bị phá mà không cần đụng đến máy chủ, chỉ cần thuyết phục một nhân viên có quyền.

Con số nói gì về mức độ phổ biến?

Báo cáo Verizon Data Breach Investigations Report (DBIR) 2026 cho thấy yếu tố con người có mặt trong 62% số vụ xâm nhập, tăng nhẹ so với 60% năm trước. Cũng trong báo cáo này, social engineering là mẫu tấn công phổ biến thứ ba, chiếm 16% số vụ. Hai con số này đo những thứ khác nhau. 62% gồm cả lỗi vô ý như gửi nhầm tệp. 16% chỉ tính các vụ mà thao túng xã hội là mô thức chính.

Pretexting, tức dựng một kịch bản giả để dụ nạn nhân hành động có hại, đang trở thành đường vào thường gặp hơn của các chiến dịch ransomware và tống tiền. Nghĩa là cuộc gọi hoặc tin nhắn “nhờ hỗ trợ” hôm nay có thể là bước đầu của một vụ mã hoá dữ liệu vài ngày sau.

Một cuộc tấn công social engineering diễn ra thế nào?

Hầu hết các vụ đi theo cùng một trình tự. Hiểu trình tự giúp bạn biết cần chặn ở bước nào, vì bước đầu thường diễn ra hoàn toàn ngoài tầm nhìn của doanh nghiệp.

Bước 1: Thu thập thông tin (reconnaissance)

Kẻ tấn công đọc trang tuyển dụng, hồ sơ mạng xã hội, thông báo trúng thầu, chữ ký email công khai. Từ đó họ biết ai là kế toán trưởng, ai duyệt chi, công ty đang làm việc với nhà cung cấp nào. Thông tin này chưa nhạy cảm riêng lẻ, nhưng ghép lại đủ để kịch bản nghe có vẻ thật.

Bước 2 và 3: Tạo lòng tin rồi ép hành động

Kịch bản thường dùng vài đòn tâm lý cố định: uy quyền (tự xưng lãnh đạo, cơ quan chức năng), khẩn cấp (hạn chót trong ít phút), sợ hãi (tài khoản bị khoá, bị điều tra), tương hỗ (giúp bạn trước để bạn giúp lại) và tính bí mật (“đừng nói với ai”). Câu cuối quan trọng nhất: yêu cầu giữ bí mật nhằm chặn đúng cơ chế kiểm tra chéo của tổ chức.

Bước 4: Rút lui

Sau khi có tiền, mã hoặc quyền truy cập, kẻ tấn công chuyển tiền qua nhiều tài khoản, xoá tin nhắn hoặc dùng tài khoản đã chiếm để đi tiếp. Vì vậy thời gian phát hiện quyết định thiệt hại: một lệnh chuyển khoản báo ngân hàng trong vài giờ có cơ hội thu hồi cao hơn nhiều so với báo sau vài ngày.

Các hình thức social engineering phổ biến

Có thể phân loại theo kênh tiếp cận. Cách chia này hữu ích khi bạn thiết kế quy tắc phòng thủ, vì mỗi kênh cần một kiểu kiểm tra khác nhau.

Hình thức	Cơ chế	Tình huống điển hình
Phishing	Email hoặc trang giả hàng loạt, dụ bấm liên kết hoặc nhập thông tin	Email “xác nhận tài khoản email công ty sắp hết hạn”
Spear phishing	Phishing nhắm đúng một người, dùng thông tin riêng	Email gửi kế toán, nhắc đúng tên hợp đồng đang thực hiện
Vishing	Gọi điện thoại, có thể dùng giọng giả	Cuộc gọi tự xưng cơ quan chức năng yêu cầu “xác minh tài khoản”
Smishing	Tin nhắn SMS hoặc ứng dụng chat kèm đường dẫn	Tin báo “bưu kiện bị giữ, nộp phí tại link”
Pretexting	Dựng kịch bản và danh tính giả, thường kéo dài nhiều lượt trao đổi	Người xưng là kiểm toán viên xin danh sách tài khoản
Baiting	Đặt mồi nhử vật lý hoặc số	USB ghi nhãn “Lương Q4” để rơi ở bãi xe
Quid pro quo	Đề nghị giúp đỡ để đổi lấy thông tin	“Kỹ thuật viên” gọi đến, đề nghị xử lý máy chậm nếu được đọc mật khẩu
Tailgating	Đi theo người có thẻ để vào khu vực hạn chế	Người ôm thùng hàng nhờ giữ cửa phòng máy chủ
BEC	Mạo danh lãnh đạo hoặc đối tác để đổi tài khoản nhận tiền	Email “nhà cung cấp đổi số tài khoản, thanh toán gấp hôm nay”

Về phishing, bạn xem chi tiết dấu hiệu nhận biết ở bài phishing là gì. Điều cần nhớ ở đây là phishing chỉ là kênh email và web trong bức tranh lớn. Một công ty chặn email rất tốt vẫn có thể thua vì một cuộc gọi.

Hai biến thể đáng chú ý hiện nay

MFA fatigue (prompt bombing). Kẻ tấn công đã có mật khẩu, liên tục gửi yêu cầu phê duyệt đăng nhập lên điện thoại nạn nhân cho đến khi người đó bấm “Đồng ý” cho yên hoặc nhầm. Đây không phải lỗi của thuật toán xác thực, mà là lỗi thiết kế trải nghiệm phê duyệt.

Giả giọng và hình ảnh bằng AI (deepfake). Kẻ tấn công có thể tạo giọng nói hoặc video giống người thật từ vài đoạn tư liệu công khai. Bài kiểm tra “nghe giống sếp” vì thế không còn đáng tin. Một báo cáo phân tích DBIR 2026 của đơn vị bảo mật Breacher.ai nhận định kỹ năng nhận ra email lừa đảo không tự động giúp nhận ra giọng nói bị nhân bản. Cần coi đây là nhận định của một nhà cung cấp dịch vụ đào tạo, không phải kết luận của Verizon.

Ví dụ minh hoạ: vụ đổi số tài khoản nhà cung cấp

Ví dụ minh hoạ, không phải vụ việc có thật. Công ty A sản xuất bao bì, mua nguyên liệu từ công ty B hằng tháng. Kẻ tấn công đọc được thông tin hai công ty hợp tác từ bài đăng tuyển dụng và một thông cáo báo chí. Ông ta lập tên miền giống tên miền công ty B, chỉ khác một ký tự, rồi gửi email cho kế toán công ty A, đúng ngày đến hạn thanh toán.

Nội dung email: “Từ kỳ này chúng tôi đổi tài khoản nhận tiền, đính kèm thông báo của ngân hàng. Mong thanh toán trước 16h hôm nay để kịp đóng sổ.” Email có đủ ba yếu tố: giả danh người quen, thời hạn gấp, và một lý do nghe hợp lý. Không có mã độc, không có lỗ hổng, và bộ lọc thư rác có thể không có gì để chặn.

Điểm chặn nằm ở quy trình, không nằm ở sự tinh mắt của kế toán: mọi thay đổi thông tin thanh toán của nhà cung cấp phải được xác nhận bằng cuộc gọi tới số điện thoại đã lưu trong hợp đồng, không dùng số trong email, và do một người khác ngoài người nhận yêu cầu duyệt.

Dấu hiệu nhận biết một yêu cầu đáng ngờ

Thay vì học thuộc danh sách mánh khoé, hãy học cách nhận ra “hình dạng” của yêu cầu. Dưới đây là các dấu hiệu lặp lại ở hầu hết các vụ:

• Yêu cầu đi lệch quy trình thông thường: đổi tài khoản nhận tiền qua email, xin mã xác thực qua điện thoại, cấp quyền không qua phiếu yêu cầu.
• Có thời hạn rất ngắn kèm hậu quả: “trong 30 phút”, “nếu không sẽ bị khoá”.
• Cấm hoặc né kiểm tra chéo: “việc mật, đừng báo ai”, “tôi đang họp, không gọi lại được”.
• Kênh liên lạc lạ: số điện thoại mới, tài khoản chat cá nhân thay cho email công ty, tên miền sai một ký tự.
• Xin thứ mà bên thật không bao giờ xin: mã OTP, mật khẩu, ảnh chụp màn hình mã khôi phục.

Về mã xác thực, quy tắc đơn giản nhất là không bao giờ đọc hoặc gửi mã cho người khác dù họ xưng là ai. Chi tiết về cách các loại mã hoạt động có ở bài mã OTP là gì.

Doanh nghiệp Việt Nam thường gặp những kịch bản nào?

• Giả danh cơ quan chức năng hoặc ngân hàng gọi cho nhân viên tài chính, kế toán, yêu cầu cung cấp thông tin tài khoản hoặc cài ứng dụng “để xác minh”.
• Giả lãnh đạo trên Zalo hoặc email nhắn nhân viên mới, nhờ chuyển tiền hoặc mua thẻ quà tặng gấp. Nhân viên mới dễ bị nhắm vì chưa biết mặt, chưa biết quy trình.
• Giả bộ phận IT hoặc nhà cung cấp phần mềm xin đăng nhập từ xa vào máy để “cập nhật” hoặc “gỡ lỗi”.
• Chiếm tài khoản rồi tiếp tục lừa: tài khoản mạng xã hội hoặc email của người quen bị chiếm, kẻ tấn công nhắn cho danh sách liên hệ nhờ vay tiền hoặc bấm liên kết.
• Lừa ở khâu xác minh danh tính từ xa: dùng ảnh, video giả để vượt bước xác thực khách hàng. Phần này gắn với quy trình eKYC của các tổ chức tài chính.

Về pháp lý, hành vi dùng thủ đoạn gian dối để chiếm đoạt tài sản có thể bị xử lý theo Điều 174 Bộ luật Hình sự (tội lừa đảo chiếm đoạt tài sản). Với doanh nghiệp là nạn nhân, bước thực tế quan trọng nhất là báo ngân hàng và cơ quan công an càng sớm càng tốt, kèm lưu giữ email, tin nhắn và nhật ký cuộc gọi làm bằng chứng.

Social engineering khác gì phishing, hacking và malware?

Ba khái niệm hay bị dùng lẫn lộn. Bảng sau phân biệt theo điểm mà kẻ tấn công khai thác.

Khái niệm	Khai thác điều gì	Quan hệ với social engineering
Social engineering	Tâm lý, niềm tin, quy trình lỏng	Khái niệm bao trùm
Phishing	Sự tin tưởng vào email, tin nhắn, trang web	Một nhánh qua kênh số
Hacking kỹ thuật (ví dụ SQL injection)	Lỗi trong mã nguồn hoặc cấu hình	Không cần thao túng người, nhưng thường được kết hợp để lấy quyền truy cập ban đầu
Malware	Máy bị cài phần mềm độc hại	Social engineering thường là cách đưa malware vào máy

Mối quan hệ này rõ nhất ở ransomware: một cuộc gọi hoặc email lừa nhân viên cấp quyền hay chạy tệp là khâu mở đường, rồi mã độc mới làm phần việc kỹ thuật. Bạn có thể đọc thêm cách phòng thủ ở phía mã độc trong bài ransomware là gì.

Cách phòng chống: kiểm soát nào chặn được bước nào?

Đào tạo nhân viên là cần thiết nhưng không đủ, vì người có kinh nghiệm vẫn có lúc mệt, vội hoặc bị đánh lừa bởi kịch bản được chuẩn bị kỹ. Phòng thủ tốt đặt thêm rào chắn không phụ thuộc vào việc người đó có nhận ra mánh khoé hay không.

Rào chắn quy trình

• Gọi lại bằng kênh đã biết trước cho mọi yêu cầu đổi tài khoản nhận tiền, đổi người liên hệ thanh toán, cấp lại mật khẩu hay quyền truy cập.
• Tách người đề nghị và người duyệt với các lệnh chi vượt một ngưỡng do doanh nghiệp tự đặt.
• Quy trình cấp lại mật khẩu của bộ phận hỗ trợ IT cần câu hỏi xác minh không tra được trên mạng xã hội, hoặc duyệt qua quản lý trực tiếp. Bộ phận hỗ trợ là mục tiêu thường gặp của kẻ giả danh nhân viên.
• Chính sách “không đọc mã”: không bộ phận nào của công ty hay ngân hàng được quyền hỏi mã xác thực.

Rào chắn kỹ thuật

• Xác thực đa yếu tố làm mật khẩu bị lộ chưa đủ để chiếm tài khoản. Hãy ưu tiên loại chống lừa đảo như khoá bảo mật FIDO2 hoặc passkey, vì mã gửi qua tin nhắn vẫn có thể bị lừa đọc ra.
• Với phê duyệt đẩy (push), bật yêu cầu nhập số khớp và giới hạn số lần thử, để chống prompt bombing.
• Bật SPF, DKIM, DMARC cho tên miền của chính công ty để giảm khả năng bị giả mạo, và cảnh báo email từ bên ngoài có tên hiển thị trùng tên lãnh đạo.
• Giới hạn quyền theo nguyên tắc tối thiểu. Nếu một tài khoản kế toán bị lừa, thiệt hại dừng ở phạm vi quyền của tài khoản đó. Hướng tư duy này được phát triển đầy đủ trong kiến trúc zero trust.

Rào chắn con người

Điều khiến chương trình đào tạo thất bại thường là nhân viên sợ bị phạt nên giấu việc đã bấm nhầm. Hãy có một kênh báo cáo nhanh, một địa chỉ email hoặc số máy nội bộ cho “nghi ngờ thì báo”, và coi người báo sớm là người cứu công ty. Mô phỏng phishing, vishing định kỳ chỉ nên dùng để biết kịch bản nào nhân viên dễ trúng, không dùng để xếp hạng cá nhân.

Nếu đã lỡ làm theo kẻ lừa đảo thì xử lý thế nào?

Thời gian là yếu tố quan trọng nhất. Các bước sau nên có sẵn trong một tờ quy trình ngắn mà ai cũng biết chỗ tìm:

1. Báo ngay cho người phụ trách bảo mật và kế toán trưởng. Không tự xử lý một mình vì xấu hổ.
2. Nếu đã chuyển tiền: gọi ngân hàng yêu cầu phong toả hoặc thu hồi giao dịch, rồi báo cơ quan công an và cung cấp mã giao dịch.
3. Nếu đã nhập mật khẩu hoặc đọc mã: đổi mật khẩu từ thiết bị sạch, thu hồi mọi phiên đăng nhập đang mở, đặt lại phương thức xác thực.
4. Nếu đã cài phần mềm hoặc cho điều khiển từ xa: ngắt máy khỏi mạng, giữ nguyên trạng để điều tra, không tắt nguồn hoặc cài lại ngay nếu chưa được phép.
5. Lưu bằng chứng: email gốc có tiêu đề kỹ thuật, ảnh chụp tin nhắn, số điện thoại gọi đến, thời điểm cuộc gọi.
6. Rà soát chuỗi đằng sau: kiểm tra xem tài khoản bị chiếm đã tạo quy tắc chuyển tiếp email hay đã đăng nhập vào hệ thống khác chưa.

Doanh nghiệp có đội giám sát sẽ chuyển các cảnh báo như đăng nhập bất thường, quy tắc chuyển tiếp email mới cho trung tâm giám sát an ninh. Nếu chưa có, bạn vẫn có thể bắt đầu bằng việc kiểm tra thủ công các dấu hiệu đó sau mỗi sự cố nghi ngờ.

Khi nào mối nguy này đặc biệt lớn với doanh nghiệp bạn?

• Bộ phận kế toán hoặc tài chính có quyền chuyển tiền chỉ cần một người duyệt, và việc thay đổi thông tin nhà cung cấp chưa có bước xác minh riêng.
• Công ty mới tuyển nhiều nhân sự, nhân sự làm từ xa, hoặc có nhiều đối tác bên ngoài hỗ trợ vận hành, vì danh tính và vai trò khó kiểm chứng bằng mắt thường.
• Thông tin về cơ cấu tổ chức, người duyệt chi, đối tác được đăng công khai nhiều trên website và mạng xã hội.
• Bộ phận hỗ trợ IT được quyền đặt lại mật khẩu qua điện thoại mà không cần xác minh độc lập.

Với từng điểm trên, câu hỏi cần trả lời là: nếu một người ở đó bị lừa hoàn hảo, quy trình có còn chặn được thiệt hại không? Nếu câu trả lời là không, đó là lỗ hổng cần vá trước cả khi mua thêm công cụ.

Câu hỏi thường gặp

Social engineering và tấn công phi kỹ thuật có phải một không?

Có. “Tấn công phi kỹ thuật” là cách gọi tiếng Việt thông dụng của social engineering attack. Một số tài liệu dùng cách gọi “kỹ thuật xã hội”. Cả ba đều chỉ việc thao túng con người để đạt mục đích thay vì khai thác lỗ hổng phần mềm.

Phishing có phải là social engineering không?

Phishing là một dạng social engineering, thực hiện qua email, tin nhắn hoặc trang web giả. Social engineering rộng hơn: nó còn gồm cuộc gọi, tiếp xúc trực tiếp, USB gài sẵn và các kịch bản kéo dài như pretexting.

Nhân viên đã được đào tạo thì có còn bị lừa không?

Có. Đào tạo giúp giảm tỷ lệ bấm nhầm nhưng không đưa nó về không, nhất là khi kẻ tấn công dùng kịch bản cá nhân hoá hoặc giọng nói giả. Vì vậy nên kết hợp đào tạo với quy trình xác minh bắt buộc và xác thực chống lừa đảo, để một sai sót đơn lẻ không gây ra thiệt hại lớn.

Xác thực hai lớp có chặn được social engineering không?

Chặn được một phần. Nó ngăn kẻ có mật khẩu đăng nhập ngay, nhưng nếu nạn nhân bị lừa đọc mã hoặc bấm đồng ý yêu cầu phê duyệt, kẻ tấn công vẫn qua được. Khoá bảo mật FIDO2 và passkey ràng buộc với tên miền thật nên chống tốt hơn loại mã gửi qua tin nhắn.

Làm sao biết cuộc gọi hoặc tin nhắn từ ngân hàng là thật?

Đừng dựa vào số hiển thị hay giọng nói. Hãy ngắt máy, tự gọi hoặc mở ứng dụng chính thức của ngân hàng bằng số, đường dẫn bạn đã lưu từ trước. Ngân hàng thật không yêu cầu bạn cung cấp mã xác thực hay mật khẩu qua điện thoại.

Doanh nghiệp nhỏ có cần lo vấn đề này không?

Có, vì kẻ tấn công không cần hệ thống phức tạp để thành công, chỉ cần một người có quyền chuyển tiền hoặc truy cập dữ liệu. Doanh nghiệp nhỏ thường thiếu người duyệt thứ hai và thiếu quy trình xác minh, nên rào chắn đơn giản như gọi lại số đã lưu có giá trị rất lớn.