Business Email Compromise không cần mã độc phức tạp. Chỉ cần mạo danh lãnh đạo, mạo danh phòng tài chính hoặc tạo domain gần giống là đủ để đánh lừa người nhận. Defender for Office 365 giải bài toán này bằng anti-phishing policy, mailbox intelligence, spoof intelligence và các lớp bảo vệ mạo danh.
Chống mạo danh không chỉ là chống spoofing
Nhiều người hay nghĩ phishing chỉ là domain lạ, nhưng thực tế tấn công thường tinh hơn: tên người gửi trông giống CEO, domain gần giống, reply-to bị đổi, hoặc nội dung thúc người dùng chuyển khoản gấp. Anti-phishing vì thế phải nhìn cả domain, mailbox, hành vi và ngữ cảnh gửi.
Khi triển khai đúng, chính sách anti-phishing giúp doanh nghiệp bảo vệ các tài khoản VIP, nhóm tài chính, HR và IT admin khỏi những email có chủ đích. Điều đáng giá là nó giảm tải cho người dùng cuối, vì hệ thống sẽ chặn sớm trước khi email đến đúng đối tượng cần cảnh giác.
Các lớp bảo vệ trong anti-phishing
| Lớp | Mục tiêu | Tác dụng |
|---|---|---|
| Spoof intelligence | Nhận ra giả mạo sender/domain | Giảm email trông như gửi từ domain công ty |
| Mailbox intelligence | Theo dõi hành vi giao tiếp của từng mailbox | Bắt các mẫu lừa dựa trên lịch sử trao đổi |
| Impersonation protection | Bảo vệ user, domain, mailbox quan trọng | Giảm BEC và mạo danh lãnh đạo |
| Safety tips | Cảnh báo người dùng về email đáng ngờ | Tăng khả năng tự nhận diện của người nhận |
Tác dụng thực tế cho doanh nghiệp
- Giảm rủi ro thanh toán nhầm, đổi tài khoản nhận tiền hoặc lộ thông tin nội bộ.
- Bảo vệ lãnh đạo và nhóm vận hành nhạy cảm tốt hơn spam filter thông thường.
- Tăng độ chính xác khi kết hợp với DMARC, preset security policies và user reporting.
Checklist triển khai
- Đưa user/domain quan trọng vào protected users và protected domains.
- Bật mailbox intelligence nếu tổ chức có đủ mail history và pattern giao tiếp rõ.
- Dùng Standard/Strict preset thay vì custom policy rời rạc cho toàn bộ tenant.
- Theo dõi false positive để tinh chỉnh các exception có thật sự cần thiết.
Sai lầm thường gặp
- Chỉ bảo vệ domain mà quên tên hiển thị và mailbox quan trọng.
- Tắt spoof intelligence vì sợ false positive rồi lại mở cửa cho mạo danh.
- Không đồng bộ anti-phishing với DMARC và quy trình xác thực sender hợp lệ.
