5 cách hacker qua mặt xác thực hai yếu tố
Việc bảo vệ tài khoản chỉ bằng tên người dùng và mật khẩu không còn an toàn, bởi chúng dễ dàng bị đánh cắp, dễ đoán hoặc bị bẻ khóa. Do đó, xác thực hai yếu tố (2FA) hoặc nhiều hơn (xác thực đa yếu tố) được hầu hết dịch vụ và nền tảng trực tuyến khuyến cáo sử dụng.
Người dùng có thể sử dụng mật khẩu, mã PIN, xác thực bằng thiết bị tin cậy như smartphone, máy tính bảng, hoặc sinh trắc học như vân tay, mống mắt, nhận dạng khuôn mặt. Tuy nhiên, chúng không phải bất khả xâm phạm. Có những mánh khóe và lỗ hổng hacker có thể khai thác để chiếm đoạt tài khoản.
Tấn công bằng chiêu lừa đảo
Kết nối giữa người dùng và tài khoản trực tuyến thường được bảo vệ bằng kỹ thuật TLS (Transport Layer Security) an toàn. Nó được thiết kế để đảm bảo không ai có thể hack vào kết nối này. Dù vậy, hacker có thể thực hiện cuộc tấn công MITM (man in the middle), tức xen giữa máy của người dùng và máy chủ để lừa đảo.
Cụ thể, hacker sẽ thiết kế một website giả mạo giống với trang thật để dụ người dùng điền thông tin đăng nhập. Không chỉ đánh cắp tên và mật khẩu, kỹ thuật tấn công mới còn lừa người dùng cung cấp luôn mã xác thực hai yếu tố. Do đó, người dùng cần tỉnh táo, xem kỹ liên kết và không cung cấp bất cứ thông tin đăng nhập nào nếu thấy nghi ngờ. Sau đó, có thể tìm kiếm trên Google để xác định website dịch vụ thật mà mình đang dùng.
Lừa tải phần mềm độc hại
Một biến thể của kỹ thuật MITM là sử dụng phần mềm độc hại nhúng trực tiếp vào trình duyệt. Mã độc chờ cho đến khi người dùng đăng nhập vào ngân hàng, nhập 2FA, sau đó thao túng giao dịch chuyển tiền ở chế độ nền. Một số phần mềm độc hại dạng này có thể kể đến là Carberp, Emotet, Spyeye và Zeus.
Trong trường hợp này, người dùng cần kiểm tra lại thông báo chuyển khoản trước khi bấm chuyển tiền, đồng thời thường xuyên dùng phần mềm quét virus trên thiết bị.
Gọi điện trực tiếp
Trong một số trường hợp, kẻ tấn công đã biết tên người dùng và mật khẩu của nạn nhân thông qua các kênh mua bán dữ liệu, darkweb hoặc đánh cắp được bằng phần mềm độc hại. Dù có thông tin tài khoản, chúng vẫn cần 2FA để xác thực. Lúc này, chúng có thể tạo kịch bản gọi trực tiếp tới người dùng qua số điện thoại bị lộ.
Kịch bản quen thuộc nhất là đóng vai nhân viên ngân hàng hoặc nơi dịch vụ đang cung cấp, giả danh công an, cảnh sát nhằm dụ mục tiêu họ cung cấp 2FA, chẳng hạn "giới thiệu một quy trình bảo mật mới", "nâng cấp, chuyển đổi tài khoản" và cần mã xác thực. Nếu không tỉnh táo, người dùng có thể sập bẫy.
Các chuyên gia cảnh báo, nhân viên dịch vụ và cơ quan chức năng không bao giờ yêu cầu người dùng cung cấp thông tin bí mật như vậy, do đó không nên giao mã 2FA cho bất kỳ ai qua điện thoại.
Hoán đổi sim
Mật khẩu dùng một lần (OTP) từng có thời gian thịnh hành khi người dùng chỉ cần mã này được gửi về sim điện thoại là có thể đăng nhập tài khoản, bên cạnh bước đầu tiên là nhập mật khẩu. Tuy nhiên, hacker đã nghĩ ra chiêu hoán đổi sim.
Cụ thể, hacker dùng thủ thuật "lừa" nhà mạng chuyển số điện thoại của nạn nhân sang thẻ sim do chúng kiểm soát. Nếu tài khoản trực tuyến sử dụng phương thức xác thực qua số điện thoại bằng OTP, chúng dễ dàng đánh cắp và đổi thông tin tài khoản đã đăng ký nếu hoán đổi sim thành công. Các chuyên gia cho rằng OTP hiện không còn an toàn, nhất là với sim mới có thời gian sử dụng ngắn.
Đánh cắp cookie xác thực
Nhiều dịch vụ cho phép người dùng xác thực 2FA chỉ trong lần đăng nhập đầu tiên và ghi nhớ cho những lần về sau, không cần nhập lại mã. Cách này mang lại sự tiện lợi, nhưng cũng đối mặt với nguy cơ bảo mật.
Theo giới bảo mật, thông tin ghi nhớ thường nằm trong cookie xác thực, chủ yếu chứa dữ liệu đăng nhập ở dạng mã hóa. Nếu tệp này bị đánh cắp, hacker có thể giải mã thông tin đăng nhập để sử dụng. Một phần mềm dạng này là Lumma, từng tấn công hàng loạt máy tính năm 2022 để lấy cookie. Vì vậy, với các tài khoản có tính quan trọng cao như tài khoản ngân hàng, không nên lưu thông tin đăng nhập trên trình duyệt.
Theo vnexpress.net
Tin cùng chuyên mục
- Nokia chuẩn bị triển khai 5G tại Việt Nam 24.09.2024 | 13:58 PM
- Sinh động các chương trình trực tiếp tại Fanpage Báo Tuyên Quang online 03.01.2023 | 08:16 AM
- Thực hiện quy định về chuẩn hóa thông tin thuê bao di động 31.03.2023 | 16:13 PM
- Hưởng ứng ngày Chuyển đổi số quốc gia 10/10Chuyển đổi số vì một cuộc sống tốt đẹp hơn 09.10.2022 | 21:42 PM
- Sở Thông tin và Truyền thông: Diễn tập ứng phó sự cố an toàn thông tin mạng năm 2022 04.10.2022 | 17:30 PM
- Hướng dẫn trẻ em sử dụng mạng internet an toàn và hiệu quả 05.08.2022 | 08:27 AM
- Người dùng nên cập nhật Chrome 92 ngay để vá 9 lỗ hổng nghiêm trọng 21.08.2021 | 15:47 PM
- UBND tỉnh nghe báo cáo dự thảo đề án chuyển đổi số tỉnh Thái Bình giai đoạn 2021 - 2025, định hướng đến năm 2030 21.07.2021 | 19:16 PM
- Thiết bị đầu tiên chuyển suy nghĩ thành câu nói 19.07.2021 | 09:47 AM
- Tại sao không gộp các ứng dụng chống dịch thành một 'super app' 19.07.2021 | 09:48 AM
Xem tin theo ngày
- Tiếp tục chương trình kỳ họp thứ tám: Quốc hội thảo luận về dự thảo nghị quyết và các dự án luật
- Tiếp tục quan tâm, hướng dẫn thành lập chi hội, tổ hội nông dân nghề nghiệp
- Quốc hội thảo luận về các dự án luật và chủ trương đầu tư chương trình mục tiêu quốc gia phòng, chống ma túy
- Hội nghị Ban Thường vụ Tỉnh ủy
- Thống nhất nội dung, chương trình kỳ họp để giải quyết công việc phát sinh đột xuất và kỳ họp thứ chín, HĐND tỉnh khóa XVII nhiệm kỳ 2021 - 2026
- Họp Tiểu ban Tổng kết công tác kinh tế - xã hội, quốc phòng, an ninh phục vụ Đại hội đại biểu Đảng bộ tỉnh lần thứ XXI, nhiệm kỳ 2025 - 2030
- Tiếp tục chương trình kỳ họp thứ tám: Quốc hội thảo luận về các dự án luật
- Giá trị, tầm vóc và ý nghĩa thời đại của Cách mạng Tháng Mười Nga bất diệt
- Đồng chí Nguyễn Khắc Thận, Phó Bí thư Tỉnh ủy, Chủ tịch UBND tỉnh dự ngày hội đại đoàn kết toàn dân tộc khu dân cư thôn An Cư
- Tiếp tục chương trình kỳ họp thứ tám: Quốc hội thảo luận về các dự án luật