Chuyên gia Việt bóc trần cách hacker xâm nhập tài khoản trong 1 phút

Hội nghị và Triển lãm An ninh Thông tin vùng Vịnh (GISEC) là một sự kiện an ninh mạng toàn cầu thường niên được tổ chức tại Dubai.

GISEC 2023 được tổ chức từ hơn 40 quốc gia và có sự tham gia của các cá nhân, doanh nghiệp và tổ chức an ninh mạng. Các chuyên gia được mời đến đây để thảo luận về xu hướng, thực trạng và nghiên cứu nổi bật trong lĩnh vực an ninh mạng.

Diễn giả của Việt Nam tham dự GISEC 2023 là chuyên gia an ninh mạng Ngô Minh Hiếu, người đã tạo ra dự án Chống lừa đảo. Ông Hiếu đã thảo luận về 2 kỹ thuật đánh cắp phổ biến tại sự kiện, với sự hỗ trợ của các công cụ mới như ChatGPT.

Cách xâm nhập đơn giản

Thu thập và mua bán thông tin cá nhân không phải là thủ tục mới, nhưng phương pháp ngày càng đơn giản hơn. Ông Hiếu đã giới thiệu kỹ thuật xâm nhập tài khoản email của người dùng tại GISEC 2023 trong một phút.

Kẻ xấu chỉ cần bỏ tiền để mua gói thông tin trên dark web. Chúng sẽ lấy tên và mật khẩu của nạn nhân để đăng nhập tài khoản email của họ bằng cách sử dụng dữ liệu trong file vừa tải về.

Để xâm nhập tài khoản của nạn nhân, kẻ xấu chỉ cần mua dữ liệu trên dark web. Ngô Minh Hiếu.

Hiện nay, ứng dụng Telegram và một số diễn đàn nổi tiếng dành cho giới hacker được sử dụng để rao bán dữ liệu cá nhân. Ông Hiếu đã trả lời Zing rằng kẻ xấu có thể dễ dàng mua bán dữ liệu của một tổ chức, cá nhân hoặc chính phủ của một quốc gia.

"Toàn bộ giao dịch mua bán có thể diễn ra ẩn danh, khiến việc truy vết rất khó khăn và tốn thời gian. Ông Hiếu cho biết thêm, Hacker đã sử dụng nhiều loại tiền mã hóa và app nhắn tin bảo mật để tạo điều kiện giao dịch đơn giản.

Người dùng có thể sử dụng các công cụ trên Internet để kiểm tra thông tin cá nhân đã bị rò rỉ hay chưa nhằm đảm bảo an toàn. Nếu phát hiện dấu hiệu nghi ngờ, cần tăng cường bảo mật cho tài khoản email, mạng xã hội hoặc ngân hàng bằng cách đặt mật khẩu khó, sử dụng bảo mật 2 lớp.

"Người dùng cũng không nên chia sẻ mật khẩu hoặc mã OTP đăng nhập cho người khác, không cài đặt phần mềm lậu, không nhấn vào các đường link lạ," ông Hiếu nói thêm.

Kỹ thuật vượt qua xác minh 2 lớp

Đánh cắp tài khoản qua email là một loại tội phạm lừa đảo không mới nhưng vẫn phổ biến. Kẻ xấu hoàn toàn có thể lợi dụng các công cụ viết nội dung như ChatGPT để viết email lừa đảo và kết hợp các phương pháp phức tạp để đánh cắp dữ liệu của người dùng.

Ông Hiếu sử dụng mô hình ngôn ngữ GPT để viết nội dung email thông báo tài khoản đăng nhập của người dùng bị trong khi trình diễn tại hội nghị. Sau đó, email được gửi cho nạn nhân, cùng với đường link lấy lại mật khẩu.

Để viết email lừa đảo, hãy sử dụng công cụ OpenAI. Ngô Minh Hiếu.

Kỹ thuật đánh cắp thông tin được gọi là reverse proxy được sử dụng. Về cơ bản, đây là máy chủ nằm giữa người dùng và một trang đăng nhập hợp lệ. Người dùng có thể thấy giao diện đăng nhập thật của trang web chính thống khi họ nhấn vào link lừa đảo (không phải giao diện giả mạo).

Tuy nhiên, sau khi cung cấp mật khẩu hoặc OTP, toàn bộ dữ liệu sẽ được máy chủ trung gian chuyển tiếp và gửi về cho hacker. Nói cách khác, kỹ thuật bù trừ proxy hoàn toàn tương tự như kỹ thuật bù trừ 2 lớp bằng OTP.

Ông Hiếu cho rằng đây là một phương pháp mới, chưa được sử dụng rộng rãi ở Việt Nam vì việc xây dựng các trang web lừa đảo khó khăn và cần các hacker có chuyên môn cao về ngôn ngữ lập trình cũng như khả năng đọc hiểu cơ chế xác thực tài khoản của các trang web chính thống.

Kỹ thuật reverse proxy mới đã được sử dụng phổ biến ở nước ngoài từ hai năm nay. Nếu quá khó, hacker có thể mua dịch vụ PhaaS (Phishing as a Service). Ông Hiếu nói thêm rằng chúng bao gồm các máy chủ và trang web tích hợp sẵn reverse proxy do các tin tặc chuyên nghiệp tạo ra và cho thuê.

Lưu ý về ChatGPT

Lừa đảo qua mạng vẫn là một hiện tượng phổ biến, bất kể phương pháp được sử dụng. Theo dữ liệu từ cổng Cảnh báo an toàn thông tin Việt Nam, hơn 12.935 trường hợp lừa đảo trực tuyến đã được ghi nhận vào năm 2022. Lừa đảo tài chính chiếm phần lớn (75,6%) và lừa đảo đánh cắp dữ liệu cá nhân chiếm 24,4%.

Ông Hiếu giải thích rằng lý do chọn 2 thủ đoạn lừa đảo để trình bày tại hội nghị là vì chúng là những lỗ hổng bị lợi dụng nhiều nhất. Từ đó, hacker có thể đánh cắp dữ liệu cá nhân, tài sản và tổ chức.

Kỹ thuật reverse proxy hỗ trợ người dùng nhập dữ liệu được người dùng nhập vào giao diện web gốc. Ngô Minh Hiếu.

Người dùng có thể phòng ngừa bằng các công cụ bảo mật như xác thực FIDO2 và kỹ thuật lừa đảo thông qua reverse proxy, giúp thông tin đăng nhập không bị lộ ra khỏi máy tính.

ChatGPT, có thể trở thành công cụ hỗ trợ hacker lừa đảo do khả năng tương tác và phản hồi tốt, là một chuyên gia an ninh mạng của Chống lừa đảo cũng chia sẻ về nó.

Ngay cả với những người hiểu biết hạn chế về kiến thức an ninh mạng cơ bản, "ChatGPT của OpenAI có thể bị lợi dụng để viết mã độc và email lừa đảo một cách hiệu quả. Ngoài ra, công cụ này có thể lên kịch bản lừa đảo và tung tin giả nhằm bôi nhọ danh dự.

Theo ông Hiếu, cần có một chiến lược mạnh mẽ để ngăn chặn những hành động lạm dụng, vượt qua tiêu chuẩn của ChatGPT cho mục đích xấu, đi ngược lại lợi ích mà công cụ mang đến.

Cập nhật tin tức công nghệ mới nhất tại fanpage Công nghệ & Cuộc sống