Hacker giả mạo box đăng nhập trên iOS để lấy cắp mật khẩu - thủ đoạn mới cực kỳ tinh vi

Bảo mật vẫn luôn là một vấn đề nhức nhối trong giới công nghệ nói chung và lĩnh vực smartphone nói riêng.

Và câu chuyện được chia sẻ bởi cây viết Lorenzo Franceschi-Bicchierai của trang Motherboard dưới đây sẽ khiến bạn phải giật mình trước những thủ đoạn tinh vi mà các hacker có thể sử dụng để đánh cắp thông tin từ chiếc iPhone của bạn.

Cuối tuần vừa rồi, Lorenzo đã sử dụng Giallo Zafferano - một ứng dụng nấu ăn đáng tin cậy trên iPhone, để tra cứu công thức nấu ăn mà anh đang cần. Đột nhiên, một khung thông báo xuất hiện trên màn hình yêu cầu anh nhập mật khẩu Apple ID của mình. Cảm thấy không ổn, anh đã lập tức tắt khung thông báo đó đi.

Hộp thoại đòi mật khẩu Apple ID bất ngờ xuất hiện khi Lorenzo sử dụng ứng dụng Giallo Zafferano.

Điều này thực sự rất đáng lo ngại khi mà người dùng bất ngờ bị yêu cầu tiết lộ một trong những loại mật khẩu nhạy cảm, quan trọng bậc nhất của mình tại một thời điểm bất kỳ như vậy.

Felix Krause, một lập trình viên iOS đồng thời cũng là nhà sáng lập Fastlane, đã phát hiện ra rằng các hacker có thể dễ dàng tạo ra những khung thông báo giả mạo để lừa người dùng cung cấp mật khẩu của họ cho bọn chúng.

Cụ thể, Klause cho biết: “Điều này đơn giản đến mức chỉ cần chưa đến 30 dòng code là đã có thể thực hiện được rồi”. Trong một bài blog tương đối dài đăng tải vào ngày thứ Ba vừa qua, Klause đã cảnh báo rằng người dùng sẽ rất dễ bị lừa bởi phương thức này.

Sau rất nhiều năm sử dụng iPhone, họ đã hình thành thói quen tự động nhập mật khẩu Apple ID của mình mỗi khi khung thông báo tương tự xuất hiện mà không cần suy nghĩ nhiều.

Hiện tại, chưa có bằng chứng nào cho thấy các hacker hay thậm chí là các lập trình viên đã thực sự thực hiện điều này, nhưng đó chỉ là bề nổi mà thôi, sự thật đằng sau vẫn còn là một bí ẩn lớn.

Dưới đây là hình ảnh của khung thông báo chuẩn và khung thông báo giả mạo do Krause tạo ra với mục đích thử nghiệm. Và như các bạn cũng thấy, rất khó để phát hiện điểm khác biệt giữa hai bức ảnh này.

Rất khó để chỉ ra đâu mới là hộp thoại thông báo chuẩn.

Trên Twitter, Will Strafach - một lập trình viên kiêm hacker iOS có tiếng, cũng đã bày tỏ sự lo ngại về vấn đề trên: “Thật đáng sợ khi nghĩ rằng chỉ cần sử dụng một khung thông báo đơn giản trên màn hình hiển thị thôi là đã có thể thuyết phục người khác nhập mật khẩu của họ vào rồi”.

Nếu bạn gặp phải tình trạng tương tự, hãy làm theo lời khuyên của Krause để kiểm tra xem liệu tài khoản của bạn có đang nằm trong tầm ngắm của các hacker hay không.

Khi khung thông báo xuất hiện khi bạn mở một ứng dụng bất kỳ, hãy lập tức nhấn phím Home, lúc này sẽ có hai trường hợp xảy ra.

Nếu ứng dụng cùng khung thông báo vẫn còn đó thì đó là yêu cầu nhập mật khẩu hợp pháp. Còn ngược lại, nếu cả ứng dụng và khung thông báo đều biến mất, thì hãy coi chừng!

Để đề phòng những tình huống như vậy xảy ra, Krause cũng khuyên bạn không nên hành động liều lĩnh, mà thay vào đó hãy nhập các thông tin xác thực trong phần Cài đặt.

Đồng thời, lập trình viên này cho biết Apple nên loại bỏ những hộp thoại thông báo đi và tập cho người dùng thói quen sử dụng phần Cài đặt của máy nhiều hơn. Như vậy sẽ giúp giảm bớt nguy cơ về bảo mật.

Krause muốn người dùng sử dụng phần Cài đặt thủ công nhiều hơn.

Krause chia sẻ: “Tốt nhất là hãy luôn tắt các khung thông báo đi, mở phần Cài đặt ra và nhập mật khẩu của bạn ở đó”.

Tất nhiên là Apple cũng có khả năng nhận diện các ứng dụng độc hại sử dụng thủ đoạn trên, nhưng Krause cảnh báo rằng đây chỉ là một trong những phương pháp tấn công của hacker mà thôi.

Trong bài viết blog của mình, Krause còn tiết lộ thêm: “Sau khi ứng dụng được Apple thông qua, các lập trình viên hoàn toàn có thể viết hoặc chạy thêm một số code nhất định trong ứng dụng ấy”.

Và sau đó, ông liệt kê ra hàng loạt phương pháp có thể được sử dụng để tạo ra những khung thông báo giả mạo. Mặc dù AppStore có tính năng loại bỏ các ứng dụng độc hại tương đối hiệu quả nhưng tạo ra hộp thoại giả là một bước khá phổ biến và dễ dàng trong lập trình iOS.

Krause cho biết: “Tạo ra khung thông báo giống như hộp thoại "chính hãng" thực sự rất đơn giản. Thậm chí Apple còn đưa nó vào làm ví dụ trong tài liệu hướng dẫn của mình, không hề cần đến những loại code bí mật nào cả.

Và mặc dù quá trình xem xét ứng dụng cũng cung cấp một bộ lọc tương đối an toàn, các cá nhân và tổ chức với ý đồ xấu hoàn toàn có thể tìm cách khác vượt qua những hạn chế của bất cứ nền tảng lập trình nào”.

Đối với các lập trình viên, không có gì khó khăn để tạo ra hộp thoại như thế này.

Dù sao thì cách tốt nhất để hạn chế nguy cơ bị lừa mất tài khoản là hãy bật tính năng xác thực hai yếu tố (two-factor authentication) trên Apple ID của mình.

Hiện tại, Apple vẫn chưa lên tiếng trước thông tin trên.