Trong ba tuần qua, khiếu nại đã rỉ rả về một số tài khoản Skype đang gửi spam thuốc giảm cân và khiêu dâm đến danh bạ của họ. Không rõ có bao nhiêu tài khoản bị ảnh hưởng, dù chủ đề khiếu nại hiện đã dài 24 trang. Bây giờ, Microsoft yêu cầu người dùng đổi mật khẩu, mặc dù vẫn còn một số sự mơ hồ về nguyên nhân ban đầu của vấn đề.
Khi Spam không chỉ là Spam?
Thông thường, khi bạn nhận được spam từ tài khoản của bạn bè trên bất kỳ nền tảng nhắn tin nào, đó là vì bên thứ ba độc hại đã truy cập vào tài khoản, hoặc bằng cách đoán mật khẩu hoặc dùng malware để đánh cắp thông tin từ máy tính của người dùng. Trong các trường hợp này, câu trả lời đúng là cảnh báo bạn bè và yêu cầu họ đổi mật khẩu (nếu bạn là người gửi spam vô tình, có các bước có thể thực hiện để giải quyết).
Nếu một loạt trường hợp như vậy bắt đầu xuất hiện cùng lúc, đó là dấu hiệu cho thấy có thể có vấn đề rộng hơn, hệ thống tại chỗ. Nói cách khác, chính nền tảng có thể có lỗ hổng bảo mật cho phép kẻ tấn công đánh cắp thông tin đăng nhập. Ví dụ, nếu kẻ tấn công truy cập được danh sách chính của hash mật khẩu từ máy chủ Skype, sẽ tương đối dễ dàng bắt đầu bẻ khóa những hash đó. Điều đó sẽ cấp quyền truy cập hàng triệu tài khoản với mật khẩu dễ đoán. Nếu đó chính xác là chuyện đã xảy ra, thì - lại - đổi mật khẩu là câu trả lời đúng. Tuy nhiên, điều này cũng đòi hỏi hành động từ Skype để giải quyết lỗ hổng bảo mật nội bộ của họ.
Tuy nhiên, có lý do tin rằng đây không phải là trường hợp. Trong khiếu nại ban đầu, người dùng nhắc đến rằng tài khoản Skype bị xâm phạm đã nhìn lại lịch sử Skype của mình và không tìm thấy nguồn gốc của tin nhắn, chỉ ra rằng chúng có thể đã bị "giả mạo" (spoofed) - với nghĩa là spam có thể do lỗ hổng trong khả năng của Skype client nói ai là người gửi tin nhắn, chứ không phải vi phạm thực sự thông tin mật khẩu. Nếu vậy, đó là báo động - và đổi thông tin mật khẩu sẽ không giúp.
Phản hồi của Microsoft
Trong chủ đề, một Quản trị viên Cộng đồng Skype, "Claudius" gợi ý,
"Có thể phần mềm độc hại gửi spam (nhưng chưa được phát hiện bởi malwarebytes hoặc antivirus vì bản thân nó không làm gì độc hại ngoài spam Skype) thực sự đang dùng Skype Desktop API để gửi spam IM."
Tuy nhiên, điều này dường như đi ngược lại báo cáo của người dùng về máy tính gửi spam khi máy tắt - và người dùng bị ảnh hưởng không báo thấy mục nhập trong danh sách truy cập Skype Desktop API. Nó cũng dường như không có khả năng rằng không có tài nguyên chống malware nào thấy bất cứ điều gì. Đáp lại điều này, "Claudius" thay đổi lời giải thích chính thức thành:
"Xin lỗi đã mất vài ngày để phản hồi lại bạn trong khi chúng tôi điều tra vấn đề spam một số bạn đã gặp phải. Điều tra của chúng tôi chỉ ra rằng tội phạm mạng đang dùng kỹ thuật tự động để khai thác mật khẩu yếu hoặc được dùng lại. Chúng tôi đã采取措施解决该问题,并将继续这样做,同时监控局势。我们鼓励用户使用强密码,并在https://www.microsoft.com/security/pc-security/password-checker.aspx上提供更多信息和帮助。此外,如果您继续遇到垃圾邮件问题,请更改密码,您应该会在24小时内看到垃圾邮件减少。"
Lời giải thích này đặt ra nhiều câu hỏi hơn là trả lời. Một số người dùng báo cáo dùng mật khẩu mạnh vẫn bị xâm phạm. Người khác báo cáo spam tiếp tục dù đã đổi mật khẩu.
Điều này cũng không giải thích sự gia tăng đột ngột của các vấn đề này. An toàn để giả định rằng phần mềm phổ biến nào đó đang bị tấn công bởi spammer hầu như mọi lúc. Vậy điều gì đã thay đổi ở đây, gây ra đợt tăng báo cáo tài khoản bị xâm phạm? Tìm kiếm nhanh trên Twitter, cộng với độ dài chủ đề, dường như chỉ ra đây không phải là vài sự cố riêng lẻ.
Skype có an toàn?
Chúng ta biết rằng nhà phát triển Skype cả trước và sau khi Microsoft mua lại, đã nỗ lực nhiều để cho phép bạn kiểm soát riêng tư trên Skype phiên bản di động và desktop. Vì vậy có thể nói an toàn rằng việc quản lý tình huống này là ưu tiên của Microsoft, với Skype là một trong những ngọc quý của họ.
Tuy nhiên, không hoàn toàn rõ chuyện gì đang xảy ra với các cuộc tấn công spam này. Có thể Microsoft đúng, và đây không phải vấn đề của Skype. Tuy nhiên, điều này đòi hỏi một số lượng người dùng nhầm lẫn hoặc không trung thực, điều này dường như ít nhất hơi khó tin. Nếu có lỗ hổng bảo mật cơ bản hơn trong chính Skype, thì các vấn đề hiện tại có thể chỉ là ngọn núi băng. Hiện tại, báo cáo spam vẫn tiếp tục. Hy vọng thêm thông tin từ Microsoft sẽ đến sớm.
Bạn có bị ảnh hưởng bởi vấn đề này? Bạn có bực mình về phản hồi của Microsoft? Cho chúng tôi biết trong bình luận!