OU Top web

Tin tặc tấn công tài khoản người dùng như thế nào?

Tội phạm mạng thường gửi cho bạn một trang web hứa hẹn chứa đựng nhiều thông tin hấp dẫn để yêu cầu đăng nhập và khi đăng nhập vào mật khẩu của bạn sẽ chuyển thẳng vào email hay tin nhắn của tin tặc.

Gần đây vấn nạn tin tặc tấn công tài khoản Facebook và công khai thông tin nhạy cảm lên mạng trở nên hết sức nhức nhối. Không chỉ người bình thường, những người nổi tiếng như  người mẫu, diễn viên hay cầu thủ càng dễ trở thành nạn nhân của loại tội phạm mạng này. Tin tặc tấn công tài khoản của nạn nhân như thế nào và làm thế nào để tự bảo vệ mình là câu hỏi được nhiều người quan tâm.

Cùng trao đổi với Tiến sĩ Jonathan Crelin và Tiến sĩ Nguyễn Ngọc Thành, giảng viên Khoa Khoa học và Công nghệ thuộc Đại học RMIT Việt Nam, để giải đáp các thắc mắc trên.

Tin tặc tấn công tài khoản bằng những chiêu thức nào, thưa ông?

Tiến sĩ Crelin: Thực tế không có đáp án duy nhất và tuyệt đối. Điều này phụ thuộc vào rất nhiều yếu tố. Trong nhiều trường hợp, nạn nhân không báo cáo và công khai chuyện của họ nên chúng ta chỉ có thể phỏng đoán.

Hiện nay, các nhà cung cấp dịch vụ mạng cũng đã tăng cường bảo mật trên nền tảng của họ nên tin tặc khó có thể dùng các kỹ thuật truyền thống như SQL Injection, Cross Site Scripting, Cross Request Forgery, v.v. để tấn công tài khoản người dùng. Do đó, nhiều tội phạm hiện sử dụng một kỹ thuật có tên Social Engineering (tạm hiểu là lừa đảo qua giao tiếp xã hội chứ không qua kỹ thuật). Phần lớn những trường hợp tấn công tài khoản thành công ở Việt Nam đều dung kỹ thuật này.

Chuyên gia hướng dẫn cách tự bảo vệ trước hacker

Tiến sĩ Jonathan Crelin

Ông có thể giải thích rõ hơn về kỹ thuật này không?

Tiến sĩ Crelin: Nghe phức tạp nhưng kỹ thuật này cực kỳ đơn giản. Ví dụ, tội phạm gửi cho nạn nhân tin nhắn đại loại như: Anh đẹp trai ơi, mật khẩu facebook của anh là gì vậy?

Hẳn nhiên, tội phạm không gửi khơi khơi như vậy, chúng sẽ gửi cho bạn một trang web hứa hẹn chứa đựng nhiều thông tin hấp dẫn. Đại loại như bạn được tặng trọn gói một chuyến du lịch châu Âu nghỉ dưỡng ở resort 5 sao hay thông tin tương tự như vậy và bạn phải đăng nhập để nhận thưởng. Trang đăng nhập này thực chất là trang giả và khi đăng nhập vào mật khẩu của bạn sẽ chuyển thẳng vào email hay tin nhắn của tin tặc.

Các kỹ thuật hiện tại như Single Sign On thông qua OAuth2 trên Google hay Facebook cũng góp phần củng cố niềm tin khiến nạn nhân nghĩ rằng mình đã đăng nhập và không mảy may nghi ngờ.

Kỹ thuật này còn được dùng rất nhiều trên các phương tiện khác như gọi điện thoại báo trúng thưởng hay giả danh cơ quan điều tra đe dọa rằng nạn nhân đang bị vướng vào một vụ rửa tiền và cần phải chuyển tiền vào tài khoản cơ quan điều tra để tránh bị bắt. Còn phần lớn các quý bà độc thân thì bị tấn công theo hình thức kết bạn, chuyển quà tặng có giá trị nhưng bị tắc ở Hải quan và cần phải nộp tiền để lấy hàng ra.

Giả sử rằng người nổi tiếng rất cảnh giác và không dễ bị lừa bởi những kỹ thuật tấn công qua giao tiếp xã hội này, tin tặc có thể dùng cách nào khác không thưa Tiến sĩ Crelin? Đặc biệt là trường hợp về cầu thủ bóng đá có tiếng gần đây.

Tiến sĩ Crelin: Chúng ta chỉ có ít thời gian mỗi ngày để nghĩ về an ninh và bảo mật, trong khi tội phạm mạng có hẳn 24 giờ/ngày để làm việc đó. Khi tới khách sạn, quán ăn, nhà hàng hay quán cafe, hàng loạt camera an ninh có thể bị tội phạm lợi dụng để ăn cắp mã PIN điện thoại hay mã vẽ hình để mở điện thoại của bạn. Đối với vận động viên hay diễn viên, phần lớn thời gian (khi tập luyện, thi đấu, hay diễn xuất) họ sẽ không giữ điện thoại bên mình. Họ có thể để điện thoại trong giỏ, trong locker của phòng thay đồ, hay gửi cho trợ lý giữ giùm. Đây là cơ hội cho các cuộc tấn công.

Mang điện thoại đi sửa hay cài phần mềm cũng hết sức nguy hiểm. Đã có nhiều trường hợp ảnh nóng hay những đoạn phim nhạy cảm bị rò rỉ ra ngoài theo những cách không thể đơn giản hơn.

Tuy hơi cực đoan nhưng có lẽ người nổi tiếng – những mục tiêu có giá trị cao - nên cân nhắc mua điện thoại mới thay vì mang đi sửa. Dĩ nhiên là những thông tin quan trọng trên điện thoại như danh bạ nên được sao lưu định kỳ. Điện thoại cũ nên được khôi phục cài đặt gốc hoặc vô hiệu hoá hoàn toàn.

Nếu những người này luôn giữ điện thoại bên mình và không đưa cho ai hết, liệu họ có thể bị tin tặc tấn công không?

Tiến sĩ Nguyễn Ngọc Thành: Có thể. Hiện tại, việc dùng một mật khẩu cho các trang web khác nhau là khá phổ biến, nên tin tặc có biết một mật khẩu và qua đó suy đoán ra các mật khẩu còn lại. Việc bạn tạo tài khoản trên nhiều trang web khác nhau và dùng cùng một mật khẩu là yếu điểm rất lớn. Bạn hiếm khi nghĩ rằng tài khoản bạn tạo từ năm hay thậm chí mười năm trước nay được rao bán đầy trên thị trường web chợ đen. Việc tin tặc lục lại những dữ liệu này và tìm thấy email hay mật khẩu của người nổi tiếng, rồi đăng nhập thử vào tài khoản Gmail hay Facebook hiện nay của họ là điều hoàn toàn có thể xảy ra.

Tiến sĩ Nguyễn Ngọc Thành

Giả sử một người đã loại trừ hết các trường hợp kể trên, liệu họ có khả năng bị tấn công?

Tiến sĩ Jonathan: Có bao giờ bạn lên Facebook, thử tìm kiếm tên tài khoản của bạn và phát hiện ra nhiều tài khoản nhái, dùng tên và hình ảnh thật của bạn chưa? Tôi chắc là có. Tin tặc có thể tạo tài khoản giả của những diễn viên hay những hot girl mới nổi rồi kết bạn với các vận động viên. Sau một thời gian, họ trao đổi với nhau những tin nhắn thân mật và nhạy cảm. Một ngày, tài khoản hot girl kia lộ diện là những tên tội phạm mạng. Chúng dùng những đoạn chat này để tống tiền nạn nhân và nếu nạn nhân không đồng ý, chúng sẽ đăng công khai trên mạng.

Tiến sĩ Jonathan Crelin là chuyên gia về bảo mật và pháp y kỹ thuật số (Digital Forensics), nguyên giảng viên Đại học Portsmouth (Vương quốc Anh).

Tiến sĩ Nguyễn Ngọc Thành là chuyên gia về điện toán đám mây và các hệ thống lớn,  lấy bằng Tiến sĩ tại Đại học Oslo (Na Uy).

Lê Thuý (Theo RMIT Vietnam)
Chia sẻ trên Zalo

Tin mới nhất

return to top