Một chiến dịch tấn công smishing nguy hiểm đang nhắm vào người dùng Apple iMessage tại Việt Nam, sử dụng các thủ thuật kỹ thuật xã hội tinh vi để vô hiệu hóa tính năng bảo vệ chống lừa đảo tích hợp sẵn của dịch vụ nhắn tin này. Cuộc tấn công tiềm ẩn nguy cơ phơi bày hàng triệu người dùng trước các mối đe dọa an ninh mạng nghiêm trọng. Tuy nhiên, người dùng có thể bảo vệ bản thân an toàn bằng cách thay đổi một thói quen bảo mật đơn giản và nâng cao cảnh giác. Bài viết này của Thuthuat365.net sẽ đi sâu phân tích cách thức hoạt động của cuộc tấn công và cung cấp các biện pháp phòng ngừa thiết yếu.
Smishing iMessage Hoạt Động Như Thế Nào Để Vô Hiệu Hóa Bảo Mật?
Apple đã tích hợp một cơ chế bảo mật quan trọng vào iMessage: hệ thống sẽ tự động chặn các liên kết độc hại được gửi từ những người gửi không xác định nhằm bảo vệ người dùng khỏi việc truy cập nhầm vào các trang web lừa đảo (phishing) hoặc chứa mã độc. Tuy nhiên, các tội phạm mạng đã tìm ra một “lỗ hổng” thông qua kỹ thuật lừa đảo xã hội để qua mặt tính năng bảo vệ này bằng cách lừa bạn tự tay vô hiệu hóa nó.
Kẻ tấn công gửi các tin nhắn giả mạo dưới dạng thông báo khẩn cấp hoặc yêu cầu phản hồi từ người dùng iMessage. Các tin nhắn này thường đội lốt thông báo giao hàng giả mạo (ví dụ: “có gói hàng cần xác nhận”) hoặc thông báo về các khoản phí chưa thanh toán (như phí cầu đường, phí phạt giao thông). Điều nguy hiểm là những tin nhắn này yêu cầu người dùng trả lời bằng “Y” (có) hoặc “N” (không) để xác nhận hoặc từ chối yêu cầu. Hành động tưởng chừng vô hại này lại chính là chìa khóa để kẻ xấu khai thác: khi bạn trả lời, iMessage sẽ hiểu rằng số điện thoại gửi tin nhắn là một số “đã biết” đối với bạn, từ đó tự động gỡ bỏ tính năng chặn liên kết độc hại cho các tin nhắn từ số đó.
Theo báo cáo từ Bleeping Computer, sau khi người dùng trả lời, tin nhắn còn kèm theo hướng dẫn cụ thể như “Thoát tin nhắn, mở lại liên kết kích hoạt trong tin nhắn, hoặc sao chép liên kết vào trình duyệt Safari” để kiểm tra trạng thái giao hàng mới nhất hoặc thanh toán phí. Liên kết này sẽ dẫn người dùng đến một trang web lừa đảo (phishing site) được thiết kế tinh vi, nơi thông tin cá nhân và tài chính của họ sẽ bị đánh cắp. Số thông tin này sau đó có thể được sử dụng cho nhiều mục đích xấu như đánh cắp danh tính, gian lận thẻ tín dụng, hoặc các cuộc tấn công mạng khác.
Ảnh chụp màn hình ví dụ tin nhắn lừa đảo smishing iMessage từ Bleeping Computer
Người dùng thường có thói quen trả lời “STOP”, “YES”, hoặc “NO” để xác nhận hoặc hủy các cuộc hẹn, thông báo hợp pháp qua tin nhắn. Kẻ tấn công đã lợi dụng thói quen này để khiến nạn nhân nghĩ rằng việc phản hồi là vô hại. Ngay cả khi bạn không nhấp vào liên kết, việc trả lời đã vô tình báo hiệu cho kẻ tấn công biết rằng bạn là người có khả năng phản hồi các tin nhắn smishing, khiến bạn trở thành mục tiêu tiềm năng cho các cuộc tấn công trong tương lai.
Làm Thế Nào Để Tự Bảo Vệ Khỏi Tấn Công Smishing iMessage?
Để bảo vệ bản thân khỏi các chiến dịch smishing nguy hiểm này, nguyên tắc cơ bản và quan trọng nhất là không bao giờ trả lời tin nhắn văn bản từ những số lạ, đặc biệt là khi bạn nhận được thông báo về gói hàng không mong đợi hoặc các khoản phí mà bạn không quen thuộc. Hãy luôn coi các liên kết được gửi từ những nguồn không xác định là độc hại và tuyệt đối không nhấp vào chúng. Ngoài ra, việc nhận biết các dấu hiệu của tin nhắn smishing cũng là một kỹ năng cần thiết.
Nếu bạn không chắc chắn về một gói hàng hay một khoản phí cần thanh toán và muốn kiểm tra lại thông tin, hãy đóng ứng dụng iMessage và tự mình mở trang web chính thức của công ty hoặc dịch vụ liên quan thông qua trình duyệt web của bạn. Liên hệ trực tiếp với bộ phận chăm sóc khách hàng của họ để xác minh thông tin. Bạn cũng có thể đăng nhập vào tài khoản của mình thông qua trang web hoặc ứng dụng chính thức của họ. Tuyệt đối không truy cập trang web bằng cách nhấp vào liên kết từ tin nhắn bạn nhận được.
Hãy cảnh giác với những tin nhắn gây áp lực, thúc giục bạn hành động “ngay lập tức”, đưa ra “ưu đãi có thời hạn”, hoặc đe dọa với những hậu quả tiêu cực nếu bạn không phản hồi ngay lập tức. Hầu hết các vụ lừa đảo phishing đều được thiết kế để khiến bạn hành động trước khi kịp suy nghĩ, từ đó dễ dàng trao thông tin cá nhân cho kẻ lừa đảo trước khi nhận ra mình đã bị lừa.
Phải Làm Gì Nếu Đã Trở Thành Nạn Nhân Của Smishing?
Nếu bạn đã lỡ trả lời tin nhắn hoặc làm theo hướng dẫn của kẻ tấn công trước khi nhận ra đó là một vụ lừa đảo, vẫn có những cách để giảm thiểu thiệt hại và bảo vệ thông tin của mình:
Đầu tiên và quan trọng nhất, hãy chặn ngay lập tức số điện thoại gửi tin nhắn để ngăn chặn chúng gửi thêm các tin nhắn lừa đảo khác cho bạn. Tiếp theo, hãy thay đổi mật khẩu của tất cả các tài khoản trực tuyến có liên quan mà bạn nghĩ rằng có thể đã bị lộ. Đồng thời, hãy kích hoạt xác thực đa yếu tố (MFA) cho tất cả các tài khoản của bạn, đây là một lớp bảo mật cực kỳ hiệu quả giúp bảo vệ tài khoản ngay cả khi mật khẩu của bạn bị lộ.
Nếu bạn đã cung cấp thông tin tài chính (như số thẻ tín dụng, thông tin ngân hàng), hãy gọi điện ngay lập tức cho ngân hàng của bạn. Ngân hàng có thể giúp bạn đóng băng tài khoản, hủy thẻ tín dụng hiện tại và phát hành thẻ mới để ngăn chặn các giao dịch trái phép.
Trường hợp bạn đã cung cấp thông tin nhận dạng cá nhân (PII) có thể bị sử dụng để đánh cắp danh tính (như số CMND/CCCD, ngày sinh, địa chỉ), bạn nên liên hệ với các tổ chức tín dụng để yêu cầu đóng băng tín dụng của mình. Việc này sẽ ngăn chặn kẻ lừa đảo sử dụng thông tin của bạn để vay tiền hoặc mở thẻ tín dụng mới dưới tên của bạn.
Hãy thường xuyên theo dõi sao kê thẻ tín dụng và ngân hàng của bạn để phát hiện bất kỳ giao dịch đáng ngờ nào. Bạn cũng có thể cân nhắc sử dụng các dịch vụ bảo vệ danh tính, bao gồm dịch vụ giám sát tín dụng và PII. Các dịch vụ nâng cao còn có thể theo dõi các hồ sơ mạng xã hội được tạo dưới tên bạn hoặc hỗ trợ khôi phục dữ liệu bị đánh cắp.
Cuối cùng, hãy đảm bảo rằng bạn luôn tải xuống và cài đặt các bản cập nhật phần mềm hoặc bản vá lỗi mới nhất cho thiết bị của mình ngay khi chúng có sẵn. Các bản cập nhật này thường chứa các bản vá bảo mật quan trọng giúp bịt các lỗ hổng và phòng chống các cuộc tấn công trong tương lai.
Kết Luận
Các chiến dịch smishing nhắm vào iMessage đang ngày càng trở nên tinh vi và khó lường, lợi dụng chính thói quen sử dụng tin nhắn hàng ngày của người dùng để vô hiệu hóa các biện pháp bảo vệ tích hợp. Để bảo vệ dữ liệu cá nhân và tài chính, người dùng iMessage cần nâng cao cảnh giác, đặc biệt là không phản hồi tin nhắn từ số lạ và không nhấp vào bất kỳ liên kết đáng ngờ nào. Luôn kiểm tra thông tin thông qua các kênh chính thức và áp dụng các biện pháp bảo mật chủ động như sử dụng xác thực đa yếu tố và cập nhật phần mềm thường xuyên. Bằng cách thực hiện những bước đơn giản nhưng hiệu quả này, bạn có thể giảm thiểu đáng kể rủi ro trở thành nạn nhân của các cuộc tấn công lừa đảo qua tin nhắn và giữ an toàn cho thông tin công nghệ của mình trong môi trường số ngày càng phức tạp.
