Hà Nội 36 phố phường

Xin vui lòng đính chính nếu có thiếu sót

 

Hacker có thể đăng nhập tài khoản Google không cần mật khẩu

T ội phạm mạng có thể truy cập tài khoản Google của người dùng thông qua lỗ hổng cookie mà không cần biết mật khẩu.

Công ty bảo mật CloudSEK vừa công bố nghiên cứu về một dạng phần mềm độc hại sử dụng cookie để truy cập trái phép dữ liệu riêng tư của người dùng. Các nhóm hacker đang liên tục đào sâu phương pháp này trong khi Google chưa đưa ra biện pháp khắc phục triệt để. Cách thức tấn công bắt đầu được một hacker hé lộ hồi tháng 10/2023 trên Telegram. Trong đó, người này chỉ ra cách xâm nhập tài khoản Google thông qua lỗ hổng cookie. Các trang web và trình duyệt thường dùng cookie nhằm ghi nhớ hành vi của người dùng, từ đó cải thiện trải nghiệm Internet.

Có nhiều loại cookie khác nhau, trong đó cookie xác thực của Google hỗ trợ người dùng truy cập tài khoản mà không phải đăng nhập liên tục. Hacker đã tìm ra lỗ hổng trong cơ chế này để loại bỏ quy trình xác thực hai yếu tố, cho phép chúng có thể vào các tài khoản Google của người dùng mà không cần biết mật khẩu.

 

Một số ứng dụng của Google trên điện thoại. Ảnh: Khương Nha© Được VnExpress cung cấp

Sau khi đảo ngược các đoạn mã và phân tích, chuyên gia của CloudSEK đánh giá đây là hình thức khai thác tinh vi. Để làm được điều này, tin tặc không chỉ đào sâu về bảo mật mà còn hiểu rõ về cơ chế xác thực của Google.

"Đáng báo động, việc khai thác lỗ hổng họat động hiệu quả ngay khi người dùng vừa đặt lại mật khẩu. Nạn nhân có thể bị theo dõi trong thời gian dài, ít bị phát hiện", CloudSEK nhấn mạnh về độ nghiêm trọng của lỗ hổng. Theo các chuyên gia, hình thức tấn công mới cho thấy tin tặc ngày càng tinh vi, có xu hướng ẩn mình, tìm kiếm những phương pháp mang tính hiệu quả lâu dài, khó bị phát hiện hơn. "Điều này là hồi chuông cảnh báo về việc cần thiết phải giám sát các lỗ hổng kỹ thuật liên tục. Các công ty cũng phải xác định lại vai trò của chuyên gia phân tích rủi ro để chuẩn bị cho những mô hình tấn công mới của tin tặc", Pavan Karthick M, nhà nghiên cứu của CloudSEK Pavan Karthick, nói.

Google Chrome hiện chiếm khoảng 60% thị phần trình duyệt Internet. Theo Independent, công ty đang trong quá trình ngăn chặn cookie của bên thứ ba. Với lỗ hổng mới, Google cho biết đang tăng cường biện pháp kỹ thuật để có thể phát hiện tài khoản bị đăng nhập trái phép bằng lỗ hổng bảo mật trên.

"Người dùng nên liên tục thực hiện các hướng dẫn để xóa phần mềm độc hại được cảnh báo trên máy tính. Chúng tôi khuyến cáo nên bật chế độ trình duyệt web an toàn nâng cao khi dùng Chrome để hạn chế tối đa việc tải về và truy cập phải phần mềm độc hại", Google nói.

Theo CloudSEK, trong lúc chờ giải pháp đầy đủ từ Google, người dùng nên đăng xuất tất cả tài khoản, hồ sơ hiện có trên trình duyệt nếu nghi ngờ bị tấn công. Sau đó đổi mật khẩu và đăng nhập lại. Việc này không đảm bảo an toàn tuyệt đối trước hình thức tấn công mới nhưng cũng tạo ra rào cản đáng kể với tin tặc khi muốn đăng nhập trái phép tài khoản người dùng.

Khương Nha (theo Independent, CloudSEK)

Nhận diện tội phạm mạng sử dụng công nghệ trí tuệ nhân tạo để giả mạo hình ảnh, giọng nói (Deepfake) để lừa đảo chiếm đoạt tài sản

Lợi dụng công nghệ trí tuệ nhân tạo (AI) giả mạo hình ảnh, giọng nói (Deepfake) để lừa đảo chiếm đoạt tài sản.

Thời gian qua, tình hình tội phạm và vi phạm pháp luật liên quan đến lừa đảo chiếm đoạt tài sản trên không gian mạng có chiều hướng gia tăng và diễn biến phức tạp.

Các thủ đoạn phổ biến tội phạm sử dụng để lừa đảo trên không gian mạng trong thời gian qua

Thứ nhất, giả mạo các trang thông tin điện tử cơ quan, doanh nghiệp (bảo hiểm xã hội, ngân hàng,…) đánh cắp, chiếm đoạt thông tin dữ liệu cá nhân của người đăng nhập sau đó thực hiện hành vi chiếm đoạt tài sản.

Thứ hai, thông qua hoạt động của các sàn đầu tư chứng khoán quốc tế, giao dịch vàng, ngoại hối, giao dịch tiền ảo, dự án bất động sản,… hoặc hoạt động kinh doanh đa cấp trái phép qua mạng để quảng cáo, lôi kéo số lượng lớn người tham gia đầu tư, kinh doanh nhằm mục đích lừa đảo chiếm đoạt số tiền của người tham gia.

Thứ ba, đăng tin tuyển cộng tác viên bán hàng online trên các trang mạng xã hội (Zalo, Facebook, Tiktok,…), nhận việc làm tại nhà, không mất thời gian di chuyển, bỏ tiền tạm ứng hoặc thanh toán trước đơn hàng khoảng vài trăm nghìn để đặt hàng, sau đó nhận tiền công kèm theo lãi đơn hàng và tiền thưởng. Tuy nhiên, sau khi thanh toán đơn hàng và đặt hàng, nạn nhân bị chiếm đoạt số tiền tạm ứng hoặc thanh toán đơn hàng.

Thứ tư, sử dụng thủ đoạn chiếm quyền điều khiển tài khoản mạng xã hội. Sau đó, nhắn tin lừa đảo đến danh sách bạn bè của người bị hại thực hiện hành vi chiếm đoạt tài sản.

Thứ năm, giả danh cơ quan Công an, Viện kiểm sát, Tòa án gọi điện qua giao thức VoIP để hăm dọa bị hại có liên quan đến các vụ án đang điều tra, yêu cầu bị hại chuyển tiền đến các tài khoản do các đối tượng chỉ định hoặc yêu cầu cung cấp mã OTP để xác thực chuyển tiền để kiểm tra, xác minh sau đó chiếm đoạt.

Thứ sáu, thông qua hoạt động thương mại điện tử để rao bán hàng giả, hàng nhái để chiếm đoạt tiền của người tham gia giao dịch.

Thứ bảy, sử dụng các thông tin trên thẻ căn cước công dân (CCCD) để lừa đảo, các đối tượng sử dụng nhiều thủ đoạn khác nhau để thu thập hình ảnh CCCD của người dân. Sau đó, sử dụng thông tin trên CCCD để đăng ký mã số thuế ảo hoặc để vay tiền các tổ chức tín dụng trên mạng xã hội với lãi suất rất cao hoặc sử dụng thông tin để thực hiện hành vi lừa đảo chiếm đoạt tài sản.

Thứ tám, thủ đoạn cố ý chuyển nhầm tiền vào tài khoản ngân hàng để lừa đảo. Các đối tượng cố ý chuyển nhầm một khoản tiền vào tài khoản của bị hại, rồi giả danh là người thu hồi nợ, yêu cầu người nhận trả lại số tiền kia như một khoản vay với lãi suất rất cao.

Thủ đoạn mới, tội phạm trên không gian mạng giả mạo hình ảnh, giọng nói (Deepfake) để chiếm đoạt tài sản

Tội phạm mạng sử dụng công nghệ trí tuệ nhân tạo giả mạo hình ảnh, giọng nói (Deepfake) bắt chước hành vi của con người để thu thập thông tin trái phép (Deepfake với khả năng học hỏi dữ liệu khuôn mặt, hình ảnh và cả giọng nói của con người, nó sẽ khiến khuôn mặt của một người A được gắn lên cơ thể của người B rất giống thật, đến mức rất khó để nhận biết nếu chỉ đơn giản là nhìn lướt qua). Sau khi xác định mục tiêu, tội phạm mạng sử dụng trí tuệ nhân tạo để so sánh ảnh người dùng trên các nền tảng khác nhau, từ đó xác định tất cả thông tin mạng xã hội của nạn nhân. Tiếp đến, tội phạm mạng tạo hình ảnh, âm thanh và thậm chí video giả mạo để khiến nạn nhân tin rằng mình đang tương tác với người mà mình tin tưởng để lừa đảo chiếm đoạt tài sản.

Sau đây là các dấu hiệu để nhận diện tội phạm mạng sử dụng Deepfake để lừa đảo chiếm đoạt tài sản:

- Dấu hiệu thứ nhất, khẩu hình miệng không đồng bộ với lời nói;

- Dấu hiệu thứ hai, hiện lên các đồ vật kỹ thuật số trong hình ảnh;

- Dấu hiệu thứ ba, nhân vật nói liên tục, không chớp mắt;

- Dấu hiệu thứ tư, video có những sự nhấp nháy lạ thường;

- Dấu hiệu thứ năm, âm thanh và/hoặc video chất lượng thấp;

- Dấu hiệu thứ sáu, thay đổi tông màu da liên tục;

- Dấu hiệu thứ bảy, chuyển động giật cục, như một đoạn video lỗi;

- Dấu hiệu thứ tám, ánh sáng bị thay đổi liên tục từ khung hình này sang khung hình tiếp theo;

Khuyến nghị người dùng mạng xã hội lưu ý một số vấn đề như sau:

Một là, hạn chế quyền truy cập vào giọng nói, hình ảnh. Những kẻ lừa đảo cần các bản ghi âm, hình ảnh hoặc cảnh quay của nạn nhân để tạo ra những sản phẩm giả. Để ngăn chặn việc dữ liệu hình ảnh, âm thanh của bạn bị sao chép, hãy hạn chế sự hiện diện của bạn trên mạng xã hội hoặc đặt tài khoản của bạn ở chế độ riêng tư, chỉ chấp nhận yêu cầu từ những người bạn tin tưởng.

Hai là, đặt mật khẩu mạnh (trên 8 ký tự, có chữ HOA, chữ thường, ký tự đặc biệt) cho các tài khoản mạng xã hội, xác thực mật khẩu 02 lớp, mỗi tài khoản mạng xã hội sử dụng mật khẩu khác nhau không sử dụng chung 01 mật khẩu, lưu ý nên thường xuyên thay đổi mật khẩu.

Ba là, không truy cập bất kỳ đường link lạ nào. Khi được người thân gửi cho một đường link với những cấu trúc lạ, đừng vội vàng nhấp vào đường link/nút đó. Hãy tìm cách xác minh lại với người đã gửi tin nhắn cho bạn.

Bốn là, luôn xác minh thông tin. Nếu nhận được một đoạn tin nhắn thoại đặc biệt là các tin nhắn hướng đến mục đích vay tiền hoặc mượn tài sản cá nhân của bạn. Dù cho giọng nói nghe rất quen thuộc và cực kỳ giống thật, tốt nhất bạn vẫn nên gọi lại bằng số điện thoại mà bạn biết là chính xác để xác minh rằng đồng nghiệp, người thân đó của bạn đã thực sự gửi yêu cầu bằng tin nhắn thoại (Không sử dụng tài khoản mạng xã hội như Zalo, Messenger,... để xác minh thông tin vì độ tin cậy không cao).

Năm là, không chuyển tiền khi chưa xác minh thông tin. Nếu nhận được một cuộc gọi chuyển tiền hoặc video call với nội dung chuyển tiền, dù là người thân thiết, bạn vẫn hãy xem kỹ số điện thoại, email hoặc tài khoản có trùng hợp với người đang thực hiện yêu cầu hay không. Thông thường các đối tượng sẽ yêu cầu chuyển tiền sang một tài khoản bên thứ ba hoặc sang một tài khoản có tên gần tương tự.

Sáu là, không cài đặt bất kỳ phần mềm lạ nào xuống điện thoại khi người không quen biết hướng dẫn cài đặt.

Bảy là, cảnh giác với các cuộc điện thoại từ số máy lạ, nhất là các số máy có đầu số nước ngoài; tuyệt đối không cung cấp số điện thoại cá nhân, thông tin cá nhân cho bất kỳ tổ chức, cá nhân nào khi chưa biết họ là ai và sử dụng vào mục đích gì.

Để không vướng vào bẫy lừa đảo chiếm đoạt tài sản trên không gian mạng, mọi người hãy cẩn trọng khi sử dụng mạng internet, đặc biệt là các nền tảng mạng xã hội, nơi mà chúng ta luôn thoải mái chia sẻ rất nhiều thông tin cá nhân, đây là điều kiện các đối tượng xấu dễ dàng lợi dụng để thực hiện hành vi lừa đảo. Khi có dấu hiệu bị lừa đảo chiếm đoạt tài sản trên không gian mạng hãy liên hệ với Cơ quan Công an, hoặc báo cáo trực tiếp trên ứng dụng VNeID  để được hướng dẫn, xử lý kịp thời./.

Hướng dẫn báo cáo, tố giác tội phạm trên VNeID youtu.be

Theo Báo Vĩnh Long