Hầu hết lừa đảo trực tuyến vẫn xoay quanh một mục tiêu: đánh cắp mật khẩu của bạn. Chúng ta được huấn luyện cảnh giác với trang đăng nhập giả, liên kết đáng ngờ, và email khẩn cấp yêu cầu "xác minh" thông tin tài khoản.
Nhưng một làn sóng tấn công tài khoản Microsoft mới hoạt động khác hẳn. Nạn nhân đăng nhập trên trang web thật của Microsoft, dùng kiểm tra bảo mật thật, thậm chí hoàn thành xác thực đa yếu tố (MFA) thành công — nhưng kẻ tấn công vẫn获得 truy cập.
Kỹ thuật này, gọi là lừa đảo mã thiết bị (device code phishing), không đánh cắp mật khẩu của bạn chút nào. Thay vào đó, nó lừa bạn tự cấp quyền truy cập, sử dụng chính hệ thống xác thực của Microsoft đúng như thiết kế.
Đăng Nhập Mã Thiết Bị Thực Sự Rất Hữu Ích
Bạn có thể đã dùng nó nhiều lần rồi
Microsoft, như các công ty công nghệ lớn khác, hỗ trợ cái gọi là luồng ủy quyền thiết bị (device authorization flow), còn thường gọi hơn là đăng nhập mã thiết bị. Nhưng phổ biến hơn cả, đó là lúc thay vì trang đăng nhập đầy đủ, bạn được hiển thị mã đăng nhập khớp trên các thiết bị của mình mà bạn phải khớp hoặc nhập để hoàn tất đăng nhập.
Nó rất tiện, đặc biệt trên thiết bị không dễ hiển thị trang đăng nhập đầy đủ hoặc khi kết nối thiết bị dùng hạn chế. Ví dụ, bạn có thể gặp trên Smart TV hoặc khi kết nối TV trong phòng khách sạn — cả hai là ví dụ điển hình.
Hầu hết thời gian, quy trình này hoàn toàn an toàn, và không có gì nguy hiểm về quy trình đó. Nhưng tất cả thay đổi với một khai thác cụ thể.
Tính Năng Hợp Pháp Có Thể Bị Dùng Để Tấn Công Bạn
Nó khai thác một giả định phổ biến
Đăng nhập mã thiết bị cực kỳ hữu ích. Tuy nhiên, nó có thể bị khai thác vì quy trình đăng nhập thiết bị tự nhiên giả định rằng người nhập mã là người khởi tạo yêu cầu. Đó là một phần nơi quy trình bị phá vỡ.
Nếu kẻ tấn công biết địa chỉ email hoặc dữ liệu liên lạc đã biết khác của bạn, họ có thể khởi tạo yêu cầu đăng nhập thiết bị từ thiết bị của chính họ, bắt đầu một phiên duy nhất. Sau đó, Microsoft (và các công ty công nghệ khác) tạo mã thiết bị hợp pháp gắn với phiên đó.
Đây là nơi nó trở nên棘手. Thay vì tự sử dụng, kẻ tấn công có thể gửi mã trực tiếp cho bạn, ngụy trang thành quy trình khác, nhiều trong số đó sử dụng chiến thuật phishing quen thuộc:
- Cảnh báo bảo mật tuyên稱 hoạt động đáng ngờ
- Thông báo Microsoft 365 khẩn cấp
- Tin nhắn từ Teams hoặc hỗ trợ IT
- Yêu cầu email kinh doanh hoặc khác
Yêu cầu hướng dẫn bạn truy cập trang đăng nhập Microsoft chính thức và nhập mã cung cấp để "bảo mật" hoặc "xác minh" tài khoản. Đây là nơi giai đoạn khai thác tiếp theo kích hoạt. Bạn không truy cập trang đăng nhập giả hoặc cổng phishing thiết kế khéo léo: đó là trang đăng nhập Microsoft thực sự, và các kiểm tra xác thực là thật.
Bạn cung cấp mã đăng nhập thiết bị như bình thường, chấp nhận yêu cầu, và cảm thấy như đã bảo vệ tài khoản. Nhưng thực tế, bạn vừa xác thực cho kẻ tấn công, trao chìa khóa tài khoản cho chúng.
Trong toàn bộ quá trình, mật khẩu của bạn không bao giờ bị lộ, nhưng bạn đã trực tiếp trao tài khoản cho kẻ tấn công.
Tại Sao Lừa Đảo Đăng Nhập Mã Thiết Bị Hoạt Động Tốt Như Vậy
Все về sự bắt chước
Vấn đề lớn nhất với lừa đảo đăng nhập mã thiết bị là nó lướt qua hầu hết chiến thuật phishing truyền thống. Phishing thường liên quan đến trang đăng nhập được sao chép, trang đăng nhập giống hệt, hoặc hệ thống chặn thông tin đăng nhập.
Trong khi lừa đảo phishing mã thiết bị bỏ qua tất cả những đó, làm mọi thứ trông có vẻ chính đáng và hợp pháp. Không chỉ làm nó "trông" hợp pháp — nó thực sự là hợp pháp, vì bạn đang tương tác với quy trình xác thực Microsoft. Toàn bộ lừa đảo hoạt động vì tất cả các quy trình hoạt động chính xác như chúng nên; chỉ là đã bị đảo ngược nhẹ nhàng lên bạn.
Vậy Kẻ Tấn Công Có Thể Lấy Gì Với Mã Truy Cập Của Bạn?
Xác thực cho kẻ tấn công rõ ràng là tình huống xấu
Sau khi xác thực hoàn tất, Microsoft cấp cái gọi là mã truy cập (access token), hoạt động như bằng chứng tạm thời rằng đăng nhập đã được xác minh. Chức năng, hệ thống giả định người持有 mã đã chứng minh danh tính, nên cho phép truy cập mà không yêu cầu thông tin đăng nhập liên tục.
Sau đó, câu trả lời cho việc kẻ tấn công có thể lấy được gì thực sự phụ thuộc vào tài khoản bị nhắm mục tiêu. Ví dụ, nếu tài khoản Outlook bị nhắm, kẻ tấn công có thể truy cập email, sau đó gián tiếp truy cập các dịch vụ khác liên kết với địa chỉ đó (bằng cách reset mật khẩu, truy cập mã 2FA, v.v.).
Nhưng nếu đăng nhập Teams bị nhắm, kẻ tấn công có thể xâm nhập tài khoản Teams công ty của bạn, với quyền truy cập dữ liệu được lưu giữ đó.
Vậy Làm Sao Để Bảo Vệ Chống Lừa Đảo Phishing Mã Thiết Bị?
Cảnh giác liên tục, không bao giờ kết thúc
Cuối cùng, phòng thủ tốt nhất chống tấn công đăng nhập mã thiết bị là thực sự cố gắng hiểu cách đăng nhập thiết bị thực sự hoạt động. Ngay cả mức hiểu cơ bản về quy trình đăng nhập thiết bị cũng sẽ bảo vệ bạn khỏi tấn công phishing này.
Tóm lại, mã đăng nhập thiết bị chỉ nên xuất hiện khi bạn tự khởi tạo đăng nhập trên thiết bị khác. Microsoft sẽ không ngẫu nhiên gửi mã để bảo mật tài khoản, tương tự như nó sẽ không bao giờ nhắn tin yêu cầu mật khẩu, xác nhận mã 2FA, v.v.
Đây không chỉ Microsoft thôi. Không công ty nào, công nghệ hay không, nên bao giờ yêu cầu thông tin này. Nó riêng tư và chỉ dành cho bạn.
Trong hầu hết trường hợp, bạn có thể tuân theo các quy tắc bảo mật phổ biến để phát hiện lừa đảo phishing:
- Không bao giờ nhập mã đăng nhập được gửi qua email, chat, hoặc tin nhắn.
- Đối xử với yêu cầu xác thực bất ngờ giống như yêu cầu mật khẩu.
- Nếu nhận được lời nhắc MFA bạn không kích hoạt, hãy từ chối ngay lập tức.
- Định kỳ xem hoạt động đăng nhập Microsoft để tìm ứng dụng hoặc phiên lạ.
Hãy nhớ, mã xác thực là quyền hạn, không phải bước xác minh. Nếu bạn không bắt đầu quy trình, người khác đã làm vậy.