Các hình thức tấn công giả mạo để vượt xác thực 2 yếu tố
Việc bảo vệ tài khoản chỉ bằng tên người dùng và mật khẩu không còn an toàn trong bối cảnh hiện nay, bởi chúng dễ dàng bị đánh cắp, dễ đoán hoặc bị bẻ khóa. Vì vậy, xác thực 2 yếu tố (2FA) đã trở thành tính năng bảo mật tiêu chuẩn trong an ninh mạng, hình thức này yêu cầu người dùng xác minh danh tính của họ bằng một bước xác thực thứ hai, thường là mật khẩu dùng một lần (OTP) được gửi qua tin nhắn văn bản, email hoặc ứng dụng xác thực. Lớp bảo mật bổ sung này nhằm mục đích bảo vệ tài khoản của người dùng ngay cả khi mật khẩu của họ bị đánh cắp. Do đó, xác thực 2 yếu tố (2FA) hoặc nhiều hơn (xác thực đa yếu tố) được hầu hết dịch vụ và nền tảng trực tuyến khuyến cáo sử dụng.
Tuy nhiên, khi tội phạm mạng ngày càng trở nên tinh vi hơn thì biện pháp bảo mật xác thực 2FA này đang dần trở nên yếu đi và dễ dàng vượt qua bằng các hình thức tấn công phổ biến như:
- Tấn công bằng phương thức tấn công giả mạo
- Tấn công bằng phương thức tấn công giả mạo
Kết nối giữa người dùng và tài khoản trực tuyến thường được bảo vệ bằng giao thức bảo mật Transport Layer Security (TLS) an toàn. Nó được thiết kế để đảm bảo không ai có thể tấn công vào kết nối này. Tuy nhiên, những kẻ tấn công mạng đã thay đổi hình thức tấn công mạng tinh vi hơn, bằng cách giả mạo trang web giống với trang web thật để lừa người dùng điền thông tin đăng nhập. Không chỉ đánh cắp tên và mật khẩu, phương thức tấn tấn công này còn lừa người dùng cung cấp luôn mã 2FA. Do đó, người dùng cần xem kỹ liên kết và không cung cấp bất cứ thông tin đăng nhập nào nếu thấy nghi ngờ.
- Gọi điện trực tiếp bằng cuộc gọi AI
- Gọi điện trực tiếp bằng cuộc gọi AI
Thông thường, ngay cả khi kẻ tấn công đã biết tên người dùng và mật khẩu của nạn nhân thông qua các kênh mua bán dữ liệu hoặc đánh cắp được bằng phần mềm độc hại, thì tài khoản của người dùng sẽ được bảo vệ bằng việc xác thực 2FA hay xác thực 2 bước. Lúc này, kẻ tấn công có thể tạo kịch bản gọi trực tiếp tới người dùng qua số điện thoại bị lộ.
Những con AI (trí tuệ nhân tạo) sẽ tự động gọi điện đến nạn nhân, mạo danh nhân viên của một tổ chức đáng tin cậy. AI sử dụng kịch bản hội thoại được lập trình sẵn để thuyết phục nạn nhân tiết lộ mã OTP. Kẻ tấn công ưu tiên sử dụng cuộc gọi thoại thay cho tin nhắn, vì nạn nhân có xu hướng phản hồi nhanh hơn khi áp dụng hình thức này. Để tăng hiệu quả, AI sẽ mô phỏng giọng điệu và sự khẩn trương của con người trong cuộc gọi nhằm tạo cảm giác tin cậy và tăng tính thuyết phục. Thông qua đó, tin tặc có được mã OTP và sử dụng nó để truy cập trái phép vào tài khoản.
- Lừa người dùng tải phần mềm độc hại
Những con AI (trí tuệ nhân tạo) sẽ tự động gọi điện đến nạn nhân, mạo danh nhân viên của một tổ chức đáng tin cậy. AI sử dụng kịch bản hội thoại được lập trình sẵn để thuyết phục nạn nhân tiết lộ mã OTP. Kẻ tấn công ưu tiên sử dụng cuộc gọi thoại thay cho tin nhắn, vì nạn nhân có xu hướng phản hồi nhanh hơn khi áp dụng hình thức này. Để tăng hiệu quả, AI sẽ mô phỏng giọng điệu và sự khẩn trương của con người trong cuộc gọi nhằm tạo cảm giác tin cậy và tăng tính thuyết phục. Thông qua đó, tin tặc có được mã OTP và sử dụng nó để truy cập trái phép vào tài khoản.
- Lừa người dùng tải phần mềm độc hại
Kẻ tấn công thường phát tán phần mềm độc hại thông qua các tin nhắn SMS lừa đảo, thường giả dạng các ứng dụng, phần mềm phổ biến để đánh lừa người dùng cài đặt. Sau khi được cài đặt, phần mềm độc hại này sẽ yêu cầu quyền truy cập vào các dịch vụ trợ năng, từ đó kiểm soát toàn bộ thiết bị của người dùng.
Các chuyên gia cảnh báo người dùng cần đặc biệt cảnh giác với các tin nhắn SMS chứa liên kết tải ứng dụng lạ, đặc biệt là những ứng dụng có tên gọi liên quan đến bảo mật. Trước khi cài đặt bất kỳ ứng dụng nào, người dùng nên kiểm tra kỹ thông tin nhà phát triển, các phần mềm độc hại này có thể đánh cắp thông tin đăng nhập, chụp ảnh màn hình, chặn tin nhắn và thậm chí thực hiện các giao dịch gian lận trực tiếp trên thiết bị.
- Đánh cắp cookies
Các chuyên gia cảnh báo người dùng cần đặc biệt cảnh giác với các tin nhắn SMS chứa liên kết tải ứng dụng lạ, đặc biệt là những ứng dụng có tên gọi liên quan đến bảo mật. Trước khi cài đặt bất kỳ ứng dụng nào, người dùng nên kiểm tra kỹ thông tin nhà phát triển, các phần mềm độc hại này có thể đánh cắp thông tin đăng nhập, chụp ảnh màn hình, chặn tin nhắn và thậm chí thực hiện các giao dịch gian lận trực tiếp trên thiết bị.
- Đánh cắp cookies
Cookies là những mẩu thông tin nhỏ thường được các trang web sử dụng để phân biệt người dùng này với người dùng khác, theo dõi các phiên duyệt trên các trang web khác nhau, phục vụ nội dung được cá nhân hóa. Cookies thường chứa thông tin như tên đăng nhập, địa chỉ email, và các dữ liệu cá nhân khác. Nhiều dịch vụ cho phép người dùng xác thực 2FA chỉ trong lần đăng nhập đầu tiên và ghi nhớ cho những lần về sau, không cần nhập lại mã
Khi bị đánh cắp, thông tin này có thể được sử dụng cho mục đích lừa đảo hoặc tấn công. Nếu người dùng sử dụng Cookies để lưu trữ thông tin đăng nhập vào trang ngân hàng, Kẻ tấn công có thể truy cập và đánh cắp dữ liệu tài khoản ngân hàng
- Lừa đảo hoán đổi sim
Khi bị đánh cắp, thông tin này có thể được sử dụng cho mục đích lừa đảo hoặc tấn công. Nếu người dùng sử dụng Cookies để lưu trữ thông tin đăng nhập vào trang ngân hàng, Kẻ tấn công có thể truy cập và đánh cắp dữ liệu tài khoản ngân hàng
- Lừa đảo hoán đổi sim
Kẻ tấn công mạo danh nhà mạng, lừa khách hàng nâng cấp SIM điện thoại từ 2G lên 4G, 5G online miễn phí hoặc SIM của khách hàng gặp vấn đề cần khắc phục. Đối tượng thường biết chính xác một số thông tin cá nhân của khách hàng như họ tên, ngày sinh, số CMND để lấy lòng tin.
Kẻ tấn công yêu cầu khách hàng nhắn tin theo cú pháp và gửi về đầu số mà chúng định sẵn. Tuy nhiên, cú pháp thực chất là cú pháp chuyển hướng cuộc gọi, dịch vụ của các nhà đến một số điện thoại khác chính là cuộc gọi của đối tượng lừa đảo, trong đó có cả cuộc gọi cung cấp mã OTP từ ngân hàng. Sau khi Kẻ tấn công đã thành công chiếm quyền sử dụng SIM điện thoại và khi có đầy đủ thông tin cá nhân của Khách hàng, chúng liên hệ tổng đài Ngân hàng hoặc đăng nhập các ứng dụng ngân hàng điện tử, ví điện tử và khai báo quên mật khẩu đăng nhập. Kẻ tấn công thay đổi mật khẩu và chiếm đoạt tài khoản của người dùng, chuyển/rút hết tiền trong tài khoản và thực hiện vay tín dụng, vay tiền online dưới danh nghĩa nạn nhân./.
Kẻ tấn công yêu cầu khách hàng nhắn tin theo cú pháp và gửi về đầu số mà chúng định sẵn. Tuy nhiên, cú pháp thực chất là cú pháp chuyển hướng cuộc gọi, dịch vụ của các nhà đến một số điện thoại khác chính là cuộc gọi của đối tượng lừa đảo, trong đó có cả cuộc gọi cung cấp mã OTP từ ngân hàng. Sau khi Kẻ tấn công đã thành công chiếm quyền sử dụng SIM điện thoại và khi có đầy đủ thông tin cá nhân của Khách hàng, chúng liên hệ tổng đài Ngân hàng hoặc đăng nhập các ứng dụng ngân hàng điện tử, ví điện tử và khai báo quên mật khẩu đăng nhập. Kẻ tấn công thay đổi mật khẩu và chiếm đoạt tài khoản của người dùng, chuyển/rút hết tiền trong tài khoản và thực hiện vay tín dụng, vay tiền online dưới danh nghĩa nạn nhân./.
Nguồn tin: Chí Nghĩa-Văn phòng Đăng ký đất đai
Những tin mới hơn
Những tin cũ hơn
Thống kê truy cập
- Đang truy cập10
- Hôm nay122
- Tháng hiện tại1,292
- Tổng lượt truy cập10,882,241
