Chống phishing bằng đuôi tên miền độc quyền

Các công ty dịch vụ tài chính đang tìm cách thâu gom những đuôi tên miền độc quyền mới trong nỗ lực đối phó với bọn tội phạm trên mạng đang gây thiệt hại không ít cho ngành công nghiệp này.

Trong số những công ty đi theo hướng thâu gom đuôi tên miền độc quyền để chống nạn lừa đảo trên mạng có những tên tuổi lớn như American Express Co., Capital One Financial Corp., J.P. Morgan Chase & Co., Barclays PLC, Bank of America Corp. và Citigroup Inc. Họ đã trả cho ICANN – Cơ quan quản lý số liệu và tên miền Internet được chuyển nhượng – khoảng 185.000 đô la Mỹ cho mỗi đuôi tên miền độc quyền như .citi, .bofa, .barclays… Những ngân hàng nói trên hy vọng những đuôi tên miền mới sẽ giúp khách hàng biết được họ đang thực sự giao dịch với trang web đúng chủ chứ không phải trang web giả mạo đang tìm cách lấy cắp thông tin cá nhân của họ. Người sử dụng web sẽ không nhìn thấy những địa chỉ mới cho đến khi ICANN phê chuẩn chúng. Một số địa chỉ có thể xuất hiện trong năm tới.

Khó giả mạo hơn

Theo nhóm Anti-Phishing Working Group, ngành công nghiệp dịch vụ tài chính là nạn nhân của gần phân nửa vụ tấn công "phishing" – tức những nỗ lực nhằm đánh cắp dữ liệu riêng tư của khách hàng, như thông tin thẻ tín dụng, địa chỉ e-mail và mật khẩu –trong năm 2011. Avivah Litan, một nhà phân tích về vấn đề gian lận Internet ở công ty Gartner Inc., cho biết các vụ tấn công phishing đã gây thiệt hại đến 2,5 tỉ đô la cho các công ty dịch vụ tài chính trong năm 2011. Ngoài ra, công ty bảo vệ thương hiệu MarkMonitor cho biết ngành công nghiệp này còn là mục tiêu của hơn phân nửa vụ gian lận trực tuyến.

Tin tặc có thể mua tên miền ở các nhà đăng ký tên miền, như Go Daddy Group Inc., để phục vụ cho ý đồ xấu của mình. Những tên miền này có thể có một hoặc hai ký tự khác biệt so với thương hiệu của công ty. Chẳng hạn như tội phạm có thể thay từ "of" bằng "at" trong địa chỉ bankofamerica.com rồi lừa người tiêu dùng bằng cách gửi e-mail giả mạo có logo của Bank of America.

Vì thế, các công ty nói trên hy vọng việc chuyển sang đuôi tên miền độc quyền sẽ giúp bọn tội phạm khó sử dụng trang web giả mạo ngân hàng để lừa gạt khách hàng. Mike Boush, Phó chủ tịch phụ trách bộ phận thương mại điện tử tại công ty Discover Financial Services, nhận định: "Khi chúng tôi sử dụng những địa chỉ có đuôi .discover, thì bọn lừa đảo sẽ rất khó để giả mạo nó". Ngoài những lợi ích về bảo mật, các công ty này còn có những lý do khác để sử dụng đuôi tên miền riêng, như cần quảng bá thương hiệu hoặc mở rộng dịch vụ khách hàng.

Tương tự, ông Jame Greenwood, kiến trúc sư phụ trách nền tảng kênh di động và số của Barclays, cho biết: "Để lừa được khách hàng, bọn tội phạm phải thuyết phục được người lướt web rằng bọn chúng chính là Barclays. Tuy nhiên, sẽ rất khó để mạo danh Barclays một khi bọn tội phạm không thể là một phần của hệ sinh thái mà chúng tôi tạo ra".

Những hoài nghi

Những tên miền mới nói trên, do ICANN đề nghị, đã thu hút sự chú ý của các công ty, doanh nhân hoặc chính quyền thành phố muốn có không gian riêng trên Internet. Hiện chỉ mới có 22 tên miền như thế được đưa vào sử dụng nhưng con số này có thể tăng lên hơn 1.000 vào cuối năm 2013. Tổ chức này cho biết một số tên miền đầu tiên thuộc loại này có thể xuất hiện trên mạng vào nửa cuối năm 2013 sau khi các công ty có thời gian nói rõ chiến lược của mình với khách hàng. ICANN sẽ quyết định tên miền nào xuất hiện trước, nhưng hiện vẫn chưa công bố kết quả xét duyệt. Ông Greenwood cho biết, Barclays sẽ chuyển những dịch vụ trực tuyến của mình sang địa chỉ mới một cách từ từ để không ảnh hưởng đến khách hàng.

Dù vậy, không phải công ty dịch vụ tài chính nào cũng bị thuyết phục. Chẳng hạn như Wells Fargo & Co không đăng ký đuôi tên miền mới, viện lý do chi phí đầu tư tốn kém và nguy cơ ảnh hưởng tiêu cực đến thương hiệu trực tuyến wellsfargo.com của mình. Ông Beverly Butler, Phó chủ tịch phụ trách nhóm các kênh số của Wells Fargo, hỏi trong sự nghi ngờ: "Lần cuối cùng bạn sử dụng đuôi tên miền .biz hoặc .info là khi nào?".

Ngay cả sau khi đuôi tên miền độc quyền được đưa vào sử dụng, kẻ tội phạm vẫn có thể gửi đến khách hàng những e-mail mạo danh công ty thật. Esther Dyson, từng làm Chủ tịch ICANN từ năm 1998 đến 2000, thừa nhận rằng những khách hàng bất cẩn vẫn có thể là nạn nhân của nạn gian lận và đuôi tên miền mới có lẽ không giúp cải thiện đáng kể vấn đề bảo mật.

Dù vậy, một số chuyên gia cho rằng đuôi tên miền riêng ít nhiều có thể giúp khách hàng thêm tự tin rằng họ đã truy cập đúng địa chỉ. Roland LaPlante, Phó chủ tịch điều hành và Giám đốc tiếp thị của công ty quản lý tên miền Afilias, cho biết: "Nếu ai đó truy cập vào địa chỉ .ubs (ý nói đến ngân hàng UBS AG), họ biết rõ rằng mình sẽ có thể truy cập vào tài khoản của mình tại UBS".

Minh Phương (The Wall Street Journal)