Trang chủKhoa học - Công nghệKhoa họcCảnh báo các hình thức tấn công giả mạo để vượt xác...

Cảnh báo các hình thức tấn công giả mạo để vượt xác thực hai yếu tố



Nhiều chuyên gia khuyến nghị nên bảo mật thông tin bằng xác thực 2 yếu tố cho tất cả tài khoản trực tuyến, tuy nhiên biện pháp này đang dần trở nên yếu đi, khi tội phạm mạng ngày càng tinh vi. Chúng sử dụng các hình thức tấn công giả mạo để vượt qua xác thực 2 yếu tố.

Chú thích ảnh

Hình thức tấn công mới

Xác thực 2 yếu tố (2FA) đã trở thành tính năng bảo mật tiêu chuẩn trong an ninh mạng. Hình thức này yêu cầu người dùng xác minh danh tính của họ bằng một bước xác thực thứ hai, thường là mật khẩu dùng một lần (OTP) được gửi qua tin nhắn văn bản, email hoặc ứng dụng xác thực. Lớp bảo mật bổ sung này nhằm mục đích bảo vệ tài khoản của người dùng ngay cả khi mật khẩu của họ bị đánh cắp.

Mặc dù 2FA được nhiều trang web áp dụng rộng rãi và các tổ chức bắt buộc thực hiện, thế nhưng mới đây, các chuyên gia bảo mật an ninh mạng Kaspersky đã phát hiện ra các hình thức tấn công giả mạo (phishing) được tội phạm mạng sử dụng để vượt 2FA.

Theo đó, những kẻ tấn công mạng đã thay đổi hình thức tấn công mạng tinh vi hơn, bằng cách kết hợp phishing với bot OTP tự động để đánh lừa người dùng và truy cập trái phép vào tài khoản của họ. Cụ thể, kẻ lừa đảo lừa người dùng tiết lộ các OTP này để cho phép họ vượt qua các biện pháp bảo vệ 2FA.

Chú thích ảnh

Ngay cả bot OTP, một công cụ tinh vi cũng được kẻ lừa đảo sử dụng để ngăn chặn mã OTP thông qua hình thức tấn công phi kỹ thuật. Theo đó, kẻ tấn công thường cố gắng lấy cắp thông tin đăng nhập của nạn nhân bằng các phương thức như phishing hoặc khai thác lỗ hổng dữ liệu. Sau đó, chúng đăng nhập vào tài khoản của nạn nhân, kích hoạt việc gửi mã OTP đến điện thoại của nạn nhân.

 

Kế đến, bot OTP sẽ tự động gọi đến nạn nhân, mạo danh là nhân viên của một tổ chức đáng tin cậy, sử dụng kịch bản hội thoại được lập trình sẵn để thuyết phục nạn nhân tiết lộ mã OTP. Cuối cùng, kẻ tấn công nhận được mã OTP thông qua bot và sử dụng nó để truy cập trái phép vào tài khoản của nạn nhân.

Kẻ lừa đảo thường ưu tiên sử dụng cuộc gọi thoại hơn tin nhắn vì nạn nhân có xu hướng phản hồi nhanh hơn khi áp dụng hình thức này. Theo đó, bot OTP sẽ mô phỏng giọng điệu và sự khẩn trương của con người trong cuộc gọi nhằm tạo cảm giác đáng tin cậy và tính thuyết phục.

Kẻ lừa đảo điều khiển các bot OTP thông qua các bảng điều khiển trực tuyến đặc biệt, hoặc các nền tảng nhắn tin như Telegram. Những bot này còn đi kèm với nhiều tính năng và gói đăng ký khác nhau, tạo điều kiện cho những kẻ tấn công hành động. Theo đó, kẻ tấn công có thể tùy chỉnh tính năng của bot để mạo danh các tổ chức, sử dụng đa ngôn ngữ và thậm chí chọn tông giọng nam hoặc nữ. Ngoài ra, các tùy chọn nâng cao còn bao gồm giả mạo số điện thoại (spoofing), với mục đích khiến cho số điện thoại người gọi hiển thị giống như từ một tổ chức hợp pháp nhằm đánh lừa nạn nhân một cách tinh vi.

Để sử dụng bot OTP, kẻ lừa đảo cần đánh cắp thông tin đăng nhập của nạn nhân trước. Chúng thường sử dụng các trang web phishing được thiết kế giống hệt với các trang đăng nhập hợp pháp của ngân hàng, dịch vụ email hoặc các tài khoản trực tuyến khác. Khi nạn nhân nhập tên đăng nhập và mật khẩu của họ, kẻ lừa đảo sẽ tự động thu thập thông tin này ngay lập tức (theo thời gian thực).

Trong khoảng thời gian từ ngày 1/3 đến ngày 31/5 năm 2024, các giải pháp bảo mật của Kaspersky đã ngăn chặn được 653.088 lượt truy cập vào các trang web được tạo ra bởi bộ công cụ phishing nhắm vào các ngân hàng. Dữ liệu đánh cắp từ các trang web này thường được sử dụng trong các cuộc tấn công bằng bot OTP. Cũng trong khoảng thời gian đó, các chuyên giađã phát hiện 4.721 trang web phishing do các bộ công cụ tạo ra nhằm mục đích vượt qua xác thực hai yếu tố theo thời gian thực.

 

Không nên tạo mật khẩu phổ biến

Bà Olga Svistunova, chuyên gia bảo mật của Kaspersky nhận định: “Tấn công phi kỹ thuật (social engineering) được xem là phương thức lừa đảo cực kỳ tinh vi, đặc biệt là với sự xuất hiện của bot OTP với khả năng mô phỏng một cách hợp pháp các cuộc gọi từ đại diện của các dịch vụ. Để luôn cảnh giác, điều quan trọng là phải duy trì sự thận trọng và tuân thủ các biện pháp bảo mật”.

Bởi trong phân tích 193 triệu mật khẩu được các chuyên gia của Kaspersky thực hiện bằng cách sử dụng các thuật toán dự đoán thông minh (smart guessing algorithms) vào đầu tháng 6 vừa qua, đây cũng là những mật khẩu bị xâm phạm và rao bán trên darknet bởi những kẻ đánh cắp thông tin cho thấy45% (tương đương 87 triệu mật khẩu) có thể bị bẻ khóa thành công trong vòng một phút; duy chỉ có 23% (tương đương 44 triệu) tổ hợp mật khẩu được đánh giá đủ mạnh để chống lại các cuộc tấn công và việc bẻ khóa những mật khẩu này sẽ mất hơn một năm. Tuy nhiên, phần lớn các mật khẩu còn lại vẫn có thể bẻ khóa từ 1 tiếng đến 1 tháng.

Bên cạnh đó, các chuyên gia an ninh mạng cũng tiết lộ những tổ hợp ký tự được sử dụng phổ biến nhất khi người dùng thiết lập mật khẩu như: Tên: “ahmed”, “nguyen”, “kumar”, “kevin”, “daniel”; từ phổ biến: “forever”, “love”, “google”, “hacker”, “gamer”; mật khẩu tiêu chuẩn: “password”, “qwerty12345”, “admin”, “12345”, “team”.

 

Phân tích cho thấy, chỉ có 19% mật khẩu chứa tổ hợp của một mật khẩu mạnh, bao gồm một từ không có trong từ điển, cả chữ thường và chữ in hoa, cũng như số và ký hiệu. Đồng thời, nghiên cứu cũng cho thấy 39% trong số các mật khẩu mạnh đó vẫn có thể bị đoán bằng các thuật toán thông minh chỉ trong vòng chưa đầy một giờ.

Điều thú vị là, các kẻ tấn công không cần sở hữu kiến thức chuyên môn hay thiết bị tân tiến để bẻ khóa mật khẩu. Ví dụ, bộ xử lý máy tính xách tay chuyên dụng có thể tìm ra chính xác tổ hợp mật khẩu gồm 8 chữ cái hoặc chữ số viết thường bằng brute force chỉ trong 7 phút. Ngoài ra, card đồ họa tích hợp sẽ xử lý tác vụ tương tự trong 17 giây. Bên cạnh đó, các thuật toán đoán mật khẩu thông minh còn có xu hướng thay thế các ký tự (“e” thành “3”, “1” thành “!” hoặc “a” thành “@”) và các chuỗi phổ biến (“qwerty”, “12345”, “asdfg”).

Chú thích ảnh

Bà Yuliya Novikova, Trưởng phòng Digital Footprint Intelligence tại Kaspersky cho hay: “Một cách vô thức, con người thường đặt mật khẩu rất đơn giản, thường là các từ trong từ điển bằng tiếng mẹ đẻ, như tên riêng và số… Ngay cả những tổ hợp mật khẩu mạnh cũng hiếm khi được đặt khác với xu hướng trên, vì vậy chúng hoàn toàn có thể bị thuật toán đoán được”.

Do đó, giải pháp đáng tin cậy nhất là tạo ra một mật khẩu hoàn toàn ngẫu nhiên bằng các trình quản lý mật khẩu hiện đại và đáng tin cậy. Những ứng dụng như vậy có thể lưu trữ khối lượng lớn dữ liệu một cách an toàn, cung cấp khả năng bảo vệ toàn diện và mạnh mẽ cho thông tin người dùng.

Để tăng cường độ mạnh của mật khẩu, người dùng có thể áp dụng các mẹo đơn giản sau: Sử dụng các phần mềm an ninh mạng quản lý mật khẩu; sử dụng mật khẩu khác nhau cho các dịch vụ khác nhau. Bằng cách này, ngay cả khi một trong các tài khoản của bạn bị tấn công, những tài khoản khác vẫn an toàn; chuỗi ký tự (passphrase) giúp người dùng khôi phục lại tài khoản khi quên mật khẩu, sẽ an toàn hơn khi sử dụng các từ ít phổ biến. Ngoài ra, họ có thể sử dụng một dịch vụ trực tuyến để kiểm tra độ mạnh của mật khẩu.

 

Không nên sử dụng các thông tin cá nhân, như ngày sinh nhật, tên thành viên trong gia đình, thú cưng hoặc tên riêng để đặt mật khẩu. Đây thường là những lựa chọn đầu tiên kẻ tấn công sẽ thử khi bẻ khóa mật khẩu.


Theo Hải Yên/Báo Tin tức





Nguồn: https://doanhnghiepvn.vn/cong-nghe/canh-bao-cac-hinh-thuc-tan-cong-gia-mao-de-vuot-xac-thuc-hai-yeu-to/20240625122202170

Cùng chủ đề

Tin nhắn “bắt, lập biên bản giáo viên dạy thêm” đang lan truyền là giả mạo

(NLĐO)- Sở GD-ĐT TP HCM đã chuyển thông tin về tin nhắn giả mạo, mạo danh này đến Công an Thành phố để xác minh ...

Iran chuẩn bị tấn công Israel mạnh hơn?

Tờ The Wall Street Journal ngày 3.11 loan tin Iran đang lên kế hoạch cho một cuộc tấn công trả đũa Israel liên quan các đầu đạn mạnh hơn và những loại vũ khí khác. ...

Lập trang fanpage giả danh bác sĩ Bệnh viện Chợ Rẫy lừa gạt người bệnh

Lợi dụng lòng tin và nhu cầu chăm sóc sức khỏe của người dân, đối tượng xấu đã lập các website, fanpage giả danh bác sĩ Bệnh viện Chợ Rẫy lừa gạt người dân. Ngoài trường hợp này, Bệnh viện Chợ Rẫy cũng thông...

Kịch bản cực tinh quái của những kẻ lừa đảo chiếm đoạt tài khoản ngân hàng

Thủ đoạn chung của đối tượng lừa đảo chiêu trò trên thường là tạo lập các trang web, ứng dụng, trang mạng xã hội mạo danh tổ chức ngân hàng và các tổ chức tài chính, đơn vị trung gian thanh toán.Sau đó, tiếp cận nạn nhân bằng nhiều hình thức (chạy quảng cáo, phát tán tin nhắn mạo danh ngân hàng hoặc mạo danh nhân viên ngân hàng gọi điện thoại cho nạn nhân…) nhằm đánh cắp...

Apple treo thưởng đến 1 triệu USD cho ai ‘bẻ khóa’ được hệ thống AI của hãng

Apple đang treo thưởng đến 1 triệu USD cho bất kỳ ai có thể hack được máy chủ của hệ thống trí tuệ nhân tạo (AI) do hãng phát triển.

Nổi bật

Mới nhất

Cùng tác giả

Khoa học, công nghệ tạo động lực phát triển cho vùng Bắc Trung Bộ và duyên hải Trung bộ

Đây là vùng có vai trò, vị trí chiến lược đặc biệt quan trọng về kinh tế, chính trị, văn hóa, xã hội, môi trường, quốc phòng, an ninh và đối ngoại.Hội nghị là dịp để các đơn vị, địa phương, Sở Khoa học và Công nghệ các tỉnh trao đổi kinh nghiệm; tổng kết hoạt động khoa học, công nghệ và đổi mới sáng tạo giai đoạn 2022-2024, từ đó đề ra các giải pháp thúc đẩy...

14 trái phiếu đáo hạn tháng 11/2024 có nguy cơ chậm trả gốc

DNVN - 33% số trái phiếu đáo hạn tháng 11/2024 có nguy cơ chậm trả gốc, cao hơn so với tỷ lệ 10,5% trái phiếu chậm trả nợ gốc trong 10 tháng đầu năm 2024. Trong số 42 trái phiếu đáo hạn trong tháng 11/2024, có 14 trái phiếu có nguy cơ chậm trả...

PGBank ưu đãi đặc quyền mùa lễ hội

DNVN - Dịp cuối năm, PGBank kết hợp cùng thương hiệu du lịch, nghỉ dưỡng và giải trí The Five và sân golf Hoàng Gia mang đến nhiều ưu đãi hấp dẫn từ ngày 1/11 đến 31/12/2024. ...

Tỷ phú Musk đến gần giấc mơ đưa con người lên sao Hỏa sau chiến thắng của ông Trump

DNVN - Theo một số nguồn tin của hãng Reuters (Anh), kế hoạch đưa con người lên sao Hỏa của tỷ phú Elon Musk có thể sẽ trở thành ưu tiên quốc gia lớn hơn khi ông Donald Trump đảm nhận vai trò tổng thống. ...

Tìm giải pháp bảo vệ an toàn thông tin trong chuyển đổi số

Ngày 8/11, Sở Thông tin và Truyền thông tỉnh Vĩnh Long tổ chức Hội thảo an toàn thông tin năm 2024 với chủ đề “Hạn chế lộ lọt thông tin và phòng, chống lừa đảo trực tuyến”. ...

Bài đọc nhiều

Meta thử nghiệm công nghệ mới chống lừa đảo, mạo danh người nổi tiếng

Meta, công ty mẹ của mạng xã hội Facebook và Instagram, hiện đang thử nghiệm công cụ nhận dạng khuôn mặt mới nhằm bảo vệ người dùng khỏi các vụ lừa đảo giả mạo người nổi tiếng. Công nghệ này cũng sẽ giúp người dùng khôi phục quyền truy cập nhanh và dễ dàng...

Thiết bị đo chất lượng đất không dây loRaWan xuất sắc giành giải Nhất Cuộc thi SCAPA-2024

NDO - Tại vòng chung kết Cuộc thi Smart Campus châu Á-Thái Bình Dương năm 2024 (SCAPA-2024) diễn ra tại Đại học Đà Nẵng ngày 8/11, nhóm sinh Nguyễn Đại, Trần Lê Xuân Huy đến từ Trường đại học Bách Khoa - Đại học Đà Nẵng với Ứng dụng Soil Quality Monitoring - Thiết bị đo chất lượng đất 7in1 không dây loRaWan đã xuất sắc giành giải Nhất. Ngày 8/11, Đại học Đà Nẵng phối hợp...

Facebook ra mắt tính năng ‘bình luận ẩn danh’ giúp bảo mật thông tin cá nhân

Facebook, một trong những mạng xã hội lớn nhất thế giới, từ lâu đã trở thành công cụ quan trọng để kết nối bạn bè, gia đình và chia sẻ thông tin. Tuy nhiên, song hành với sự tiện ích đó, vấn đề bảo mật thông tin cá nhân luôn...

Liên kết đào tạo với doanh nghiệp ngoại: Đòn bẩy bứt phá ngành bán dẫn

DNVN - Thiếu tướng, GS, TS Trần Xuân Nam - Phó Giám đốc Học viện Kỹ thuật Quân sự cho rằng, để ngành bán dẫn tại Việt Nam có thể bứt phá mạnh mẽ trong giai đoạn tới, cần đẩy mạnh hơn nữa việc kết nối các trường đại học các doanh nghiệp bán...

Cùng chuyên mục

Hơn 50 quốc gia cảnh báo về các vụ tấn công mã độc nhằm vào bệnh viện

Theo Tổng giám đốc WHO Tedros Adhanom Ghebreyesus, những cuộc tấn công này, khi nhằm vào các bệnh viện có thể gây ra những hậu quả nghiêm trọng về tính mạng con người. Ngày 8/11, Tổ chức Y tế thế giới (WHO) và đại diện từ hơn 50 quốc gia đã đưa ra lời cảnh báo chung tại Liên hợp quốc về sự gia tăng của các cuộc tấn công mã độc tống tiền (ransomware) nhằm vào...

Việt Nam ghi dấu ấn tại Hội nghị các nhà lãnh đạo truyền thông châu Á

Theo phóng viên TTXVN tại Singapore, trong hai ngày 6-7/11, Hội nghị các nhà lãnh đạo truyền thông châu Á 2024 đã diễn ra tại Grand Copthorne Hotel, Singapore. Đây là diễn đàn do Hiệp hội Báo chí và Xuất bản thế giới (WAN-IFRA) tổ chức để các nhà lãnh đạo báo chí từ châu Á và trên toàn thế giới chia sẻ kiến thức, cơ hội cũng như kinh nghiệm giải quyết những thách thức mà...

Phê duyệt Quy hoạch bảo tồn đa dạng sinh học quốc gia thời kỳ 2021

(ĐCSVN) - Mục tiêu tổng quát của Quy hoạch là gia tăng diện tích, phục hồi, đảm bảo tính toàn vẹn và kết nối các hệ sinh thái tự nhiên; quản lý và bảo tồn hiệu quả các loài hoang dã, các nguồn gen quý hiếm; xây dựng và phát triển hệ thống khu bảo tồn thiên nhiên, hành lang đa dạng sinh học, cơ sở bảo tồn đa dạng sinh học, khu vực đa dạng sinh học cao,...

Kiên Giang: Vận hành hệ thống camera AI giám sát an ninh trên đảo Phú Quốc

Hệ thống Camera AI này được lắp đặt tại các vị trí trọng yếu, cửa ngõ giao thông, khu vực tập trung đông người như cảng hành khách Bãi Vòng, cảng An Thới, sân bay Quốc tế Phú Quốc, khu chợ đêm... Tỉnh Kiên Giang vừa đưa vào vận hành hệ thống 41 Camera AI giám sát an ninh trật tự, phòng, chống tội phạm trên địa bàn thành phố biển đảo...

Khoa học, công nghệ tạo động lực phát triển cho vùng Bắc Trung Bộ và duyên hải Trung bộ

Đây là vùng có vai trò, vị trí chiến lược đặc biệt quan trọng về kinh tế, chính trị, văn hóa, xã hội, môi trường, quốc phòng, an ninh và đối ngoại.Hội nghị là dịp để các đơn vị, địa phương, Sở Khoa học và Công nghệ các tỉnh trao đổi kinh nghiệm; tổng kết hoạt động khoa học, công nghệ và đổi mới sáng tạo giai đoạn 2022-2024, từ đó đề ra các giải pháp thúc đẩy...

Mới nhất

Diễn đàn Hợp tác Việt Nam

Chiều ngày 7/11, tại thành phố Hồ Chí Minh đã diễn ra "Diễn đàn Hợp tác Việt Nam - EU: Nỗ lực thích ứng vì tương lai thịnh vượng bền vững” do Bộ Công Thương chủ trì và phối hợp với các đơn vị liên quan tổ chức.

Hơn 40 doanh nghiệp Đức đến Đồng Nai tìm cơ hội đầu tư

Đoàn hơn 40 doanh nghiệp Đức đến Đồng Nai tìm cơ hội đầu tư, ghi nhận lợi thế về hạ tầng đang ngày càng phát triển, có thể dễ dàng kết nối với cảng biển và sân bay. Đoàn hơn 40 doanh nghiệp Đức đến Đồng Nai tìm cơ hội đầu tư, ghi nhận lợi thế về hạ tầng đang...

Doanh nghiệp gom đất, người dân cũng không bị thiệt

Chính phủ hồi âm ý kiến của Thường trực Ủy ban Kinh tế về dự thảo nghị quyết thí điểm mở rộng đất cho nhà ở thương mại. Mở rộng đất cho nhà ở thương mại: Doanh nghiệp gom đất, người dân cũng không bị thiệtChính phủ hồi âm ý kiến của Thường trực Ủy ban Kinh tế...

Masan Consumer tạo thêm kỷ lục mới, tiến nhanh ra thị trường quốc tế

Là mảng kinh doanh lâu đời nhất của Masan Group, Masan Consumer bền bỉ tăng trưởng mạnh mẽ hai chữ số, giữ vững vai trò một trong hai trụ cột quan trọng nhất của tập đoàn. Masan Consumer tạo thêm kỷ lục mới, tiến nhanh ra thị trường quốc tếLà mảng kinh doanh lâu đời nhất của Masan Group, Masan...

Tập đoàn Hateco nhận Huân chương Lao động hạng Ba

Kinhtedothi - Tối 9/11, Tập đoàn Hateco kỉ niệm 20 năm thành lập và đón nhận Huân chương Lao động hạng Ba. Phó Bí thư Thành ủy, Chủ tịch HĐND TP Hà Nội Nguyễn Ngọc Tuấn; Ủy viên Ban Thường vụ Thành ủy, Phó Chủ tịch UBND TP Hà Nội Dương Đức Tuấn tham dự chương trình. Sau 20 năm...

Mới nhất