Tấn công lừa đảo (phishing) trên điện thoại không mới nhưng ngày càng tinh vi nhờ các vector tấn công mới. Không còn chỉ là trang web giả mạo sao chép font và màu sắc để bắt chước bản gốc. Kẻ lừa đảo hiện tập trung đánh cắp dữ liệu mạng xã hội và vượt qua bảo mật mật khẩu một lần (OTP).
Chúng ta sẽ thảo luận các tấn công lừa đảo truyền thống và nâng cao trên di động, cùng cách chống lại tốt nhất.
Tấn công lừa đảo truyền thống trên điện thoại
1. Lừa đảo qua SMS (SMS Phishing)
Tấn công lừa đảo qua SMS tồn tại nhiều năm. Thủ pháp không thay đổi nhiều – vẫn thu hút sự chú ý bằng ưu đãi, nỗi sợ hãi hoặc bình luận châm biếm. Bên cạnh thông tin tài khoản ngân hàng và thẻ tín dụng, tội phạm còn nhắm đến Apple ID, tài khoản tiền mã hóa (crypto) và PayPal. Tất cả thông tin này bán được lợi nhuận trên dark web. Hiện giá một Apple ID chỉ $15, cho thấy chúng dễ dàng đạt được. Nếu là lừa đảo ngân hàng, kẻ gian có thể gọi trước để xác nhận OTP.
Cách chống lại: Không bấm vào liên kết nào ép bạn hành động gấp. Công ty uy tín không bao giờ quấy rối kiểu này. Ngoài ra, liên kết đó có thể chứa mã độc điện thoại.
2. Cuộc gọi tự động (Robocalls)
Tấn công lừa đảo qua cuộc gọi thoại (vishing) táo bạo hơn SMS. Kẻ gọi tự động có công nghệ mới: giả mạo caller ID, auto-dialer từ xa, số điện thoại theo mã vùng, truy cập thông tin cá nhân bạn. Bạn chỉ cần nhập thông tin thẻ tín dụng sau khi họ bảo bạn bấm "1".
Cách chống lại: Một số ứng dụng như Truecaller và Robokiller giúp tự động chặn robocall. Nếu là người thật lừa đảo, chỉ cần gác máy, đừng lịch sự.
3. Lừa đảo qua mạng xã hội (Social Media Phishing)
Sau vụ Cambridge Analytica, không ai ngạc nhiên mạng xã hội trở thành "đất lành" cho tấn công lừa đảo. Kẻ lừa đảo trên mạng xã hội có thể mạo danh người nổi tiếng, bạn thân, thậm chí người nhà nhờ dữ liệu bạn trao cho họ "trên mâm". Kẻ lừa đảo tiền mã hóa săn mồi sau khi xem bài đăng mạng xã hội của nạn nhân.
Cách chống lại: Giữ tỉnh táo, không chia sẻ quá nhiều thông tin cá nhân trên mạng xã hội. Đừng khoe khoang về việc bạn sở hữu bitcoin trực tuyến.
Tấn công lừa đảo nâng cao trên điện thoại
1. "Port Out" số điện thoại
Tấn công "port out" số điện thoại là lừa đảo mới nhất, thậm chí các công ty viễn thông cũng ra cảnh báo. Chúng đánh trúng tim hệ thống bảo mật tài khoản ngân hàng: xác thực hai yếu tố (2FA). Rõ ràng, sự phụ thuộc ngày càng lớn vào OTP của ngân hàng và công ty thẻ tín dụng như lớp bảo mật thứ hai không hoàn toàn chắc chắn.
Kẻ tấn công thu thập thông tin cá nhân (số điện thoại, ngày sinh...), mạo danh bạn để "port" số SIM sang nhà mạng khác. Điều này ngày càng xảy ra tại cửa hàng nhà mạng nơi an ninh/xác minh lỏng lẻo. Sau khi kiểm soát số điện thoại vài giờ hoặc vài ngày, chúng dùng để nhận OTP từ ngân hàng bạn. Bên cạnh gian lận tài chính, buôn ma túy dùng số "ported out" để che dấu vết.
Cách chống lại: Thực sự không làm gì nhiều nếu kẻ lừa đảo mạo danh số bạn. Nhưng bạn có thể có vài giờ "vàng" trước khi chuyện xấu xảy ra, nên hãy cảnh giác. Nếu điện thoại bất ngờ không gọi được, không nhắn tin được – nghi ngờ đã bị xâm phạm. Thông báo ngân hàng yêu cầu đóng băng tài khoản. Thông báo nhà mạng khóa SIM ngay lập tức.
2. Sao chép điện thoại (Cell Phone Cloning)
Tấn công sao chép điện thoại là thành viên mới nhất trong gia đình lừa đảo di động. Trước đây dùng "SIM swapping" để xâm nhập số IMEI. Giờ có thể làm mà không chạm thiết bị. Tìm kiếm Google "how to clone a phone wirelessly" cho thấy hướng dẫn dễ ngạc nhiên.
Một phương pháp là hack Bluetooth. Dùng phần mềm tải về, kẻ tấn công truy cập thiết bị Bluetooth khác trong phạm vi đang bật. Sau khi kết nối, hoạt động của điện thoại mục tiêu, bao gồm phím gõ, có thể giám sát từ xa. Thực tế, điều này không phi pháp vì có giải pháp kiểm soát cha mẹ cho phép giám sát điện thoại khác từ xa.
Cách chống lại: Rất khó bảo vệ. Đבר tốt nhất: chỉ cài ứng dụng từ nguồn xác thực, xem kỹ mọi quyền ứng dụng yêu cầu. Nếu ứng dụng xin quyền chức năng không cần, ngay lập tức chặn (blacklist) hoặc gỡ cài đặt.
Lời kết
Với sự gia tăng của tấn công lừa đảo điện thoại, hợp lý khi giả định chỉ có cảnh giác thường trực mới giúp bạn an toàn.
Bạn từng là nạn nhân tấn công lừa đảo điện thoại? Hãy chia sẻ kinh nghiệm.