Nhiều trang web và ứng dụng hỏi câu hỏi bảo mật khi bạn đăng ký lần đầu. Sau đó dùng câu trả lời bạn cung cấp để xác minh danh tính khi bạn yêu cầu đổi mật khẩu quên. Nhưng kẻ tấn công mạng thường tìm cách vượt qua câu hỏi bảo mật.
Họ giải mã câu trả lời bí mật của bạn và truy cập tài khoản như thế nào? Họ vượt qua câu hỏi này để hack hồ sơ bạn như thế nào?
1. Lừa Đảo Mạng Xã Hội
Một khía cạnh tiêu cực của mạng xã hội là khó phân biệt ai là thật. Không hiếm kẻ tội phạm mạng dùng nó để lừa nạn nhân tiết lộ câu trả lời câu hỏi bảo mật.
Cách thường thấy hacker làm là xuất hiện như bạn bè hoặc người theo dõi của nạn nhân trên Facebook, LinkedIn, Instagram, Twitter. Dùng hình thức thao túng tâm lý xã hội, họ lừa nạn nhân tin tưởng. Đây là cấp độ khác của kỹ thuật xã hội (social engineering).
Khi kẻ tấn công trở thành bạn bè với mục tiêu trên mạng xã hội, họ mở cuộc trò chuyện và tiết lộ thông tin giả về bản thân trước để tạo sự tin cậy. Giống như lừa đảo ứng dụng hẹn hò, họ tham gia hội thoại về sở thích và thích của nạn nhân.
Đôi khi, kẻ tấn công giả vờ cùng sở thích, đam mê với nạn nhân, người có thể vô tình chia sẻ thông tin bí mật – đương nhiên bao gồm câu trả lời câu hỏi bảo mật. Điều này có thể từ câu hỏi truy cập tài nguyên nơi làm việc đến mua sắm trực tuyến hoặc giao dịch nhạy cảm khác.
2. Lừa Đảo Online (Phishing)
Phishing và kỹ thuật xã hội đi cùng nhau. Phishing xảy ra khi hacker trình diện là người khác, tức là nhân vật giả. Ví dụ, kẻ tấn công có thể nói qua cuộc gọi, SMS, hoặc email rằng họ đại diện công ty giữ hồ sơ của bạn.
Họ có thể yêu cầu bạn trả lời vài câu hỏi trong khung thời gian để "tăng cường bảo mật". Hoặc gửi link đến biểu mẫu online – hầu như bản sao giả của trang web gốc bạn có hồ sơ. Thậm chí có trường hợp hacker yêu cầu nạn nhân điền Google Forms hoặc bảng hỏi online với cái cớ đang nghiên cứu.
Hacker thường dùng kỹ thuật này khai thác cá nhân kém am hiểu bảo mật. Tất nhiên, khi có thông tin cần thiết, dễ dàng vượt qua câu hỏi bảo mật và kiểm soát không giới hạn tài khoản mục tiêu.
3. Thông Tin Từ Hồ Sơ Trực Tuyến Của Bạn
Mặc dù câu hỏi bảo mật nên riêng tư và chỉ bạn biết, bạn có thể đã để lại nhiều manh mối câu trả lời khắp Internet. Hacker dễ dàng giải mã câu trả lời câu hỏi bảo mật nếu bạn thường để thông tin nhạy cảm về bản thân trên hồ sơ mạng xã hội.
Kỹ thuật này thường liên quan hacker nghiên cứu kỹ chi tiết bạn online. Để làm vậy, họ tìm bạn trên công cụ tìm kiếm như Google và kiểm tra tài khoản mạng xã hội: LinkedIn, Facebook, Twitter, Instagram, v.v., lấy bao nhiêu manh mối càng tốt.
Lần bạn trả lời câu hỏi đùa trên Facebook ghép tên họ mẹ ruột với tên thú cưng đầu tiên? Đó thực sự hữu ích cho tội phạm mạng.
Lúc này, kẻ tấn công quay lại câu hỏi bảo mật trả lời dựa trên thông tin họ thu thập từ hồ sơ công khai của bạn.
4. Tấn Công Thử Toàn Diễn (Brute-Forcing)
Mặc dù hacker thường dùng brute-force để bẻ khóa mật khẩu, không có gì cản họ làm tương tự với câu hỏi bảo mật. Dù brute-force thủ công tốn thời gian và kiên nhẫn, thuật toán brute-force hiện đại đơn giản hóa quá trình.
Hơn nữa, khi bẻ khóa câu hỏi bảo mật, kẻ tấn công chỉ cần tập trung tổ hợp từ thay vì thao tác ký tự như mật khẩu. Điều này khiến câu hỏi bảo mật ít khó khăn hơn để bẻ khóa vì dễ tạo mục có nghĩa bằng cách kết hợp từ khác nhau.
Bên cạnh đó, khi hacker biết trang web hỏi câu gì, họ chỉ cần brute-force tất cả câu trả lời có thể đặc thù cho nạn nhân. Bạn có thể nghĩ điều này khó hơn nếu trang web chỉ cho người dùng tự tạo câu hỏi. Thật không may, sự thật ngược lại, câu hỏi do người dùng tạo thường kém an toàn hơn. Do đó, câu trả lời dễ đoán hơn.
Cách Ở An Toàn
Bạn đã thấy kẻ tấn công mạng vượt qua câu hỏi bảo mật và truy cập tài khoản như thế nào. Nhưng làm sao ở an toàn online? Đây là vài điểm giúp ích.
1. Dùng Xác Thực 2 Yếu Tố (2FA)
Mặc dù hacker có thể vượt qua 2FA, nhưng thường phức tạp hơn kỹ thuật hơn câu hỏi bảo mật. Kết hợp 2FA với câu hỏi bảo mật càng tăng cường tài khoản. Giao thức bảo mật kết hợp này để lại câu đố khó hơn cho kẻ tấn công. Trong trường hợp đó, họ thường bỏ cuộc sớm.
Bạn may mắn nếu nhà cung cấp dịch vụ hỗ trợ cả hai phương pháp. Nhưng nếu không, có nhiều nhà cung cấp 2FA bên thứ ba.
2. Tránh Dùng Câu Hỏi Và Câu Trả Lời Chung Chung
Nhiều câu hỏi bảo mật dễ đoán vì nạn nhân thường đưa ra câu trả lời chung chung. Trở nên tệ hơn khi trang web/ứng dụng cho người dùng tự tạo câu hỏi bảo mật.
Câu trả lời cho câu hỏi như sở thích, màu yêu thích, thú cưng, phim, nhạc, hoặc món ăn tương đối dễ đoán. Vì vậy bạn nên tránh chúng. Với câu hỏi cụ thể hơn như tên họ mẹ ruột, bạn cũng có thể thử đưa ra câu trả lời độc đáo hơn; ví dụ, không cần phải đúng, mà là thứ bạn liên tưởng đến.
Nếu bạn dễ quên câu trả lời cho câu hỏi cụ thể vì nó độc đáo, bạn có thể ghi lại trong ứng dụng ghi chú mã hóa để tra cứu khi cần.
3. Gỡ Thông Tin Nhạy Cảm Khỏi Hồ Sơ
Thông tin cá nhân trên mạng xã hội và hồ sơ online khác có thể cho manh mối câu trả lời bảo mật. Thường tốt nhất gỡ chi tiết nổi bật đó khỏi hồ sơ để kiểm tra vi phạm câu hỏi bảo mật. Cuối cùng, lợi ích gì từ trả lời vòng tròn đùa trên Facebook, Twitter, và các loại?
Bảo Vệ Thông Tin Của Bạn Trực Tuyến
Giống như 2FA, câu hỏi bảo mật thêm lớp bảo vệ thứ hai cho hồ sơ online. Một số dịch vụ yêu cầu câu hỏi bảo mật trước khi cung cấp link reset mật khẩu. Với số khác, họ làm vậy sau khi bạn đã reset mật khẩu. Tất cả nhằm bảo mật tài khoản thêm.
Dù trường hợp nào, khiên lớp hai như câu hỏi bảo mật là gì hacker thường đối mặt khi cố truy cập tài khoản bạn. Bên cạnh đó, cách chúng ta dùng Internet ảnh hưởng đến sức mạnh của câu hỏi bảo mật.