Nếu bạn giống hầu hết mọi người, bạn dựa vào tính năng tự điền (autofill) của trình duyệt để điền những biểu mẫu web phiền toái. "Tự điền" của trình duyệt tự động điền thông tin của bạn vào các trường trong biểu mẫu web dựa trên thông tin bạn đã nhập trước đó vào các trường này.
Tin xấu là các bên thứ ba độc hại và hacker mũ đen có thể sử dụng tính năng tự điền này trong trình duyệt để lừa bạn cho đi thông tin nhạy cảm. Một hacker mũ trắng từ Phần Lan, Viljami Kuosmanen, cũng là một nhà phát triển web, đã chứng minh trong demo GitHub của mình rằng kẻ tấn công có thể chiếm đoạt tính năng tự điền trong plugin, trình quản lý mật khẩu (và các công cụ tương tự), và trình duyệt.
Lâu trước Kuosmanen, chuyên gia bảo mật ElevenPaths, Ricardo Martin Rodriguez, đã phát hiện lỗ hổng tự điền trình duyệt này vào năm 2013. Cho đến nay, Google vẫn chưa tìm ra giải pháp cho lỗ hổng này.
Lộ Thông Tin Nhạy Cảm Một Cách Vô Tình
Trên trang web demo proof-of-concept của Kuosmanen, bạn sẽ thấy một biểu mẫu web đơn giản chỉ gồm hai trường - tên và địa chỉ email. Tuy nhiên, biểu mẫu có nhiều trường ẩn (nghĩa là không thấy được); các trường ẩn này bao gồm địa chỉ, tổ chức, số điện thoại, thành phố, mã bưu chính, và quốc gia.
Trong một biểu mẫu như trên, bạn chỉ thấy trường tên và email, nhưng tính năng tự điền của bạn sẽ tự động điền chi tiết của bạn vào các trường còn lại. Một biểu mẫu web lừa đảo (phishing) như trên sẽ thu thập nhiều thông tin hơn bạn nhận ra khi bạn click nút Submit (Gửi).
Để kiểm tra tính năng tự điền của trình duyệt và extension, bạn có thể dùng trang proof-of-concept mà Kuosmanen thiết lập. Khi submit biểu mẫu, tôi nhận thấy nó đã lấy nhiều thông tin hơn tôi cho. Tôi dùng Mozilla Firefox mới nhất cho bài kiểm tra này và kinh ngạc tại lượng thông tin tôi đã lộ.
Trong Chrome, tự điền dữ liệu tài chính kích hoạt cảnh báo cho trang web không có HTTPS. Theo kinh nghiệm của tôi, biểu mẫu của Kuosmanen cố gắng thu thập ngày điền biểu mẫu, địa chỉ của tôi, số thẻ tín dụng, CVV, ngày hết hạn thẻ, thành phố, quốc gia, email, tên, tổ chức, điện thoại, và mã bưu chính.
Biểu mẫu thậm chí còn cố gắng thu thập một số metadata về loại trình duyệt, địa chỉ IP hiện tại của tôi và nhiều hơn nữa. Xem ảnh chụp màn hình bên dưới.
Apple Safari, Google Chrome, và Opera đều dễ bị tấn công trong bài test của Kuosmanen.
Vào tháng 1 năm 2017, Daniel Veditz, kỹ sư bảo mật chính của Mozilla, nói rằng trình duyệt Firefox không thể bị lừa để tự động điền các hộp văn bản theo chương trình. Người dùng Firefox an toàn trước các tấn công tự điền trình duyệt (ít nhất cho đến nay), vì trình duyệt không có hệ thống tự điền đa hộp. Firefox của Mozilla bắt buộc người dùng phải chọn thủ công dữ liệu điền sẵn cho từng hộp văn bản trong biểu mẫu web.
Kết Luận: Tắt Tính Năng Tự Điền Của Trình Duyệt
Biện pháp phòng ngừa dễ dàng nhất chống lại tấn công lừa đảo là tắt tính năng tự điền biểu mẫu trong cài đặt trình duyệt, extension hoặc trình quản lý mật khẩu. Tính năng tự điền của trình duyệt, theo mặc định, được bật.
Để tắt tự điền trong Chrome:
1. Vào "Cài đặt" (Settings) của trình duyệt.
2. Tìm "Cài đặt nâng cao" (Advanced Settings) ở cuối trang.
3. Trong khu vực "Mật khẩu và biểu mẫu" (Passwords and Forms) bỏ chọn "Bật tự điền" (Enable Autofill).
Để tắt tự điền trong Opera:
1. Vào Cài đặt (Settings).
2. Đi đến "Tự điền" (Autofill) và tắt nó.
Để tắt tự điền trong Safari:
1. Vào "Tùy chọn" (Preferences).
2. Click vào "Tự điền" (Autofill) để tắt.
Nếu bạn thấy bài viết này hữu ích, hãy click "Có" bên dưới. Chúng tôi rất vui thấy bình luận của bạn.