Bạn đã từng thấy trang đăng nhập giả như một phần của lừa đảo lừa đảo (phishing)? Chúng thường chờ ở đầu kia của liên kết dẫn người đến trang đăng nhập rất thuyết phục cho dịch vụ phổ biến. Ví dụ, bạn có thể thấy ai đó nói về video trên Facebook với liên kết. Bạn nhấp để xem video, nhưng thay vì dẫn đến Facebook, nó dẫn đến trang Facebook giả mạo hỏi thông tin đăng nhập để xem video. Ý tưởng là mọi người nghĩ họ đã bị đăng xuất Facebook và đi đăng nhập lại, chỉ để trao thông tin đăng nhập cho kẻ lừa.
Tất nhiên, mọi người đang tỉnh táo hơn với loại lừa đảo này, nên càng khó cho kẻ lừa lấy thông tin đăng nhập từ liên kết giả. Tuy nhiên, có một phương pháp lừa đảo mới hiểm ác trên Internet: tabnapping.
Bị Lừa Khi "Ngủ Gật" (Caught Napping)
Ngày nay kẻ lừa đang chuyển từ tấn công trực tiếp hy vọng lừa người dùng. Bây giờ họ tập trung tấn công bạn khi bạn "đang chạy tự động" (on autopilot) khi bạn không chú ý 100%. Đã có nhiều cuộc tấn công xấu trong quá khứ, nhưng tabnapping là một trong những cái nguy hiểm hơn.
Đây là cách tabnapping hoạt động. Ai đó thiết lập trang web trông hoàn toàn bình thường. Trong mã trang web, họ đặt một bộ kiểm tra xem tab có trở thành "không hoạt động" (inactive) không. Tab không hoạt động là tab bạn không đang nhìn hiện tại. Nếu bạn có bất kỳ tab nào trong trình duyệt ngay bây giờ, tab không hoạt động là tất cả tab bạn không đọc bài viết này.
Một người dùng truy cập trang web trông vô tội này và cho rằng không có gì sai. Họ sẽ chuyển sang tab khác; ví dụ ai đó nhắn tin họ trên Facebook. Điều này nghĩa là trang web "vô tội" đã trở nên không hoạt động, kích hoạt mã của kẻ lừa.
Đây là những gì mã làm: đầu tiên, nó đảm bảo nó đã không hoạt động đủ lâu, để chắc chắn bạn đã quên nó. Khi thời gian chờ hết, trước tiên nó thay đổi nội dung trang web thành trang đăng nhập giả, Gmail, ví dụ. Sau đó nó thay đổi "favicon" của trang, là biểu tượng hình ảnh nhỏ bạn thấy trên tab. MakeTechEasier's favicon là logo "MTE" xanh. Nó cũng thay đổi tên trang từ tên gốc thành cái gì đó như "Gmail: Email from Google".
Điều này tạo ra một trang gần như giống hệt trang đăng nhập Gmail. Nếu bạn nhìn chăm chú vào tab, bạn có thể ngay lập tức nhận ra có gì sai. Tất nhiên, vì bạn bận rộn cuộc sống hàng ngày, bạn không nhận ra. Sau đó bạn nhớ bạn cần gửi email cho bạn bè, nên bạn qua tab "Gmail" không hoạt động. Ôi, nhưng Gmail đã đăng xuất bạn và yêu cầu thông tin đăng nhập lại. Phiền phा quá! Hãy nhập lại thông tin đăng nhập. Điều này hoàn thành cuộc tấn công tabnapping.
Nếu bạn muốn xem demo trực tiếp tabnapping trong trình duyệt của bạn, mở trang này về tabnapping trong tab mới. Cho trang tải hoàn toàn. Quay lại bài viết này và xem tab tabnapping trong năm giây. Sau năm giây, nó sẽ "ma thuật" biến thành tab Gmail giả.
Mặc dù chỉ là demo, và không có trang đăng nhập Gmail giả để lừa bạn, bạn có thể tưởng tượng nó thuyết phục đến đâu nếu có trang đăng nhập Gmail chi tiết hoàn hảo trên tab đó. Điều này cho thấy kẻ lừa có thể đi đến đâu để lấy thông tin của bạn.