Rất nhiều website được coi là an toàn nhưng thực tế lại tồn tại nhiều rủi ro đối với khách truy cập. Theo một báo cáo đầu năm 2018 của công ty an ninh mạng Menlo Security, khoảng 42% trong số 100.000 website hàng đầu (theo xếp hạng của công ty dữ liệu và phân tích truy cập mạng Alexa thuộc Amazon – Mỹ) đã từng bị tấn công theo phương thức nào đó, hoặc đang sử dụng phần mềm khiến chúng dễ bị tấn công.
Tội phạm mạng lợi dụng các phương pháp đánh giá độ tin cậy đã có từ lâu, bao gồm độ uy tín hay phân loại website, để tránh bị phát hiện và tăng hiệu quả tấn công. Điều này có nghĩa là các doanh nghiệp cần phải rất cảnh giác để đảm bảo an ninh mạng, với các biện pháp như bổ sung các lớp bảo vệ và đào tạo nhân viên.
Báo cáo cho biết, trung bình một website có kết nối ngầm với 25 website khác để chèn các nội dung như đoạn phim hay quảng cáo. Phần lớn các nhà quản trị an ninh trong doanh nghiệp thiếu những nguồn lực cần thiết để giám sát các kết nối ngầm đó, điều này khiến doanh nghiệp dễ bị tấn công qua cửa hậu.
Hơn nữa, việc phân loại website hầu như không có hiệu quả. Chẳng hạn, các website trong nhóm Kinh doanh và Kinh tế (Business and Economy) gặp nhiều sự cố an ninh nhiều nhất trong năm 2017, chứa nhiều website lừa đảo và website sử dụng phần mềm dễ bị tấn công (như PHP 5.3.3) hơn các nhóm khác.
Cũng theo báo cáo, khoảng 49% các website thuộc nhóm Tin tức và Truyền thông (News and Media) được đánh giá là chứa nhiều rủi ro, trong khi tỷ lệ này của nhóm Giải trí và Nghệ thuật (Entertainment and Arts), Du lịch (Travel) lần lượt là 45% và 41%.
Các kiểu tấn công lừa đảo cũng ngày một tinh vi hơn. Theo báo cáo, khoảng 4.600 website lừa đảo sử dụng các dịch vụ lưu trữ (hosting) hợp pháp để tránh bị phát hiện. Kẻ xấu dễ dàng hơn khi thiết lập tên miền phụ (subdomain) trên một dịch vụ lưu trữ hợp pháp và những tên miền này thường được coi là an toàn vì đã đưa vào danh sách trắng.
Việc sử dụng tên miền giả mạo với một vài chữ sai chính tả so với tên miền thật để lừa đảo và phân phối mã độc cũng tương đối phổ biến. Khoảng 19% các website sử dụng tên miền có lỗi chính tả là được nằm trong các nhóm có thể tin cậy, như dịch vụ tài chính, hay tin tức và truyền thông.
Báo cáo này xác nhận một thực tế mà hầu hết các lãnh đạo an toàn thông tin đã biết: cảm giác an toàn giả tạo là một điều nguy hiểm khi sử dụng mạng. Amir Ben-Efraim, Tổng giám đốc của Menlo Security cho rằng, dù những đơn vị vận hành website đã cố gắng hết sức, nhưng tội phạm mạng vẫn có thể khai thác những lỗ hổng bảo mật phổ biến để tấn công, thậm chí cả những thương hiệu được tin cậy nhất trên mạng.
