Một chiến dịch tấn công lừa đảo qua tin nhắn (smishing) nguy hiểm đang nhắm mục tiêu vào người dùng Apple iMessage, lợi dụng kỹ thuật xã hội để vô hiệu hóa tính năng bảo vệ chống lừa đảo tích hợp sẵn của dịch vụ nhắn tin này. Cuộc tấn công tiềm ẩn nguy cơ phơi bày hàng triệu người dùng, nhưng bạn hoàn toàn có thể giữ an toàn bằng cách thay đổi một thói quen bảo mật đơn giản.
Smishing iMessage Vô Hiệu Hóa Bảo Mật Của Apple Như Thế Nào?
Tính năng bảo mật tích hợp của Apple có khả năng chặn các đường dẫn được gửi qua iMessage nếu tin nhắn đến từ một người gửi không xác định. Điều này nhằm mục đích bảo vệ người dùng khỏi việc tiếp xúc với các đường link độc hại. Tuy nhiên, các tội phạm mạng đã tìm ra một “lỗ hổng” để bỏ qua tính năng này bằng cách lừa bạn tự tay tắt đi lớp bảo vệ chống lừa đảo đó.
Kẻ tấn công gửi các tin nhắn giả mạo yêu cầu người dùng iMessage phản hồi. Những tin nhắn này thường xuất hiện dưới dạng thông báo giao hàng giả mạo hoặc tin nhắn báo phí cầu đường chưa thanh toán. Nội dung tin nhắn yêu cầu người dùng trả lời “Y” (yes) hoặc “N” (no) để chấp nhận hoặc từ chối gói hàng/thông báo. Việc bạn trả lời sẽ “báo hiệu” cho iMessage rằng số điện thoại này đã được “biết” đến bởi bạn, từ đó các đường link trong tin nhắn sẽ được kích hoạt và mở ra.
Bleeping Computer đưa tin rằng tin nhắn còn bao gồm hướng dẫn “Thoát khỏi tin nhắn, mở lại đường link kích hoạt tin nhắn, hoặc sao chép đường link vào trình duyệt Safari” để nhận trạng thái giao hàng mới nhất hoặc thanh toán phí cầu đường. Đường link này sẽ dẫn người dùng đến một trang web lừa đảo (phishing site), nơi thông tin cá nhân và tài chính của họ bị đánh cắp, sau đó được sử dụng cho mục đích trộm cắp danh tính, gian lận thẻ tín dụng và các cuộc tấn công khác.
Ví dụ tin nhắn lừa đảo Smishing nhắm vào người dùng iMessage do Bleeping Computer cung cấp
Kẻ Tấn Công Lợi Dụng Tâm Lý Người Dùng
Vì người dùng đã quen với việc trả lời “STOP”, “YES” hoặc “NO” để xác nhận hoặc hủy bỏ các cuộc hẹn hay thông báo hợp pháp qua tin nhắn, kẻ tấn công đã khai thác điều này để khiến người dùng nghĩ rằng việc trả lời là vô hại. Ngay cả khi bạn không nhấp vào đường link, việc phản hồi vẫn cho kẻ tấn công biết rằng bạn là người có xu hướng trả lời các tin nhắn smishing, khiến bạn trở thành mục tiêu cho các cuộc tấn công trong tương lai.
Đường Dẫn Độc Hại Và Nguy Cơ Đánh Cắp Thông Tin
Sau khi bảo mật iMessage bị vô hiệu hóa, đường link trong tin nhắn lừa đảo sẽ dẫn bạn đến các trang web giả mạo được thiết kế tinh vi để đánh cắp thông tin. Tại đây, kẻ gian sẽ yêu cầu bạn nhập các dữ liệu nhạy cảm như thông tin đăng nhập tài khoản, số thẻ tín dụng, mã bảo mật, hoặc thông tin nhận dạng cá nhân (PII). Khi bạn cung cấp những thông tin này, chúng sẽ bị sử dụng cho các mục đích bất hợp pháp như mua sắm trực tuyến, chuyển tiền trái phép, hoặc thậm chí là mở tài khoản ngân hàng mới dưới tên của bạn, gây ra những hậu quả nghiêm trọng về tài chính và danh tiếng.
Cách Tự Bảo Vệ Khỏi Tấn Công Smishing iMessage
Để bảo vệ bản thân khỏi những chiêu trò tinh vi của smishing nhắm vào iMessage, hãy luôn tuân thủ các nguyên tắc sau:
- Tuyệt đối không phản hồi tin nhắn từ số lạ: Đây là nguyên tắc quan trọng nhất. Việc trả lời bất kỳ tin nhắn nào từ một số không quen biết, đặc biệt là những tin nhắn yêu cầu xác nhận “Y” hoặc “N”, sẽ vô hiệu hóa tính năng bảo vệ tích hợp của Apple.
- Luôn coi đường link từ nguồn không xác định là độc hại: Không bao giờ nhấp vào các đường link được gửi bởi những số điện thoại mà bạn không nhận ra, ngay cả khi nội dung tin nhắn có vẻ cấp bách hoặc liên quan đến một dịch vụ quen thuộc.
- Xác minh thông tin qua kênh chính thức: Nếu bạn nghi ngờ về một gói hàng hay một khoản phí cần thanh toán, đừng sử dụng đường link trong tin nhắn. Thay vào đó, hãy đóng ứng dụng iMessage và truy cập trực tiếp trang web chính thức của công ty liên quan bằng trình duyệt của bạn, hoặc gọi điện đến dịch vụ chăm sóc khách hàng để xác minh thông tin. Bạn cũng có thể đăng nhập vào tài khoản của mình qua ứng dụng hoặc website chính thức.
- Cảnh giác với các chiêu trò tâm lý: Hãy thận trọng với những tin nhắn gây áp lực bạn phải hành động “ngay lập tức”, đưa ra “ưu đãi có giới hạn”, hoặc đe dọa hậu quả tiêu cực nếu bạn không phản hồi ngay lập tức. Hầu hết các vụ lừa đảo đều được thiết kế để khiến bạn hành động theo cảm tính trước khi kịp suy nghĩ, từ đó dễ dàng trao thông tin cho chúng.
Phải Làm Gì Khi Đã Vô Tình Phản Hồi Tin Nhắn Lừa Đảo?
Nếu bạn đã vô tình phản hồi hoặc làm theo hướng dẫn của kẻ tấn công trước khi nhận ra đây là một vụ lừa đảo, vẫn có những cách để giảm thiểu rủi ro:
- Chặn số ngay lập tức: Ngăn chặn kẻ lừa đảo gửi thêm tin nhắn cho bạn.
- Thay đổi mật khẩu và bật xác thực đa yếu tố (MFA): Hãy thay đổi mật khẩu của tất cả các tài khoản quan trọng (email, ngân hàng, mạng xã hội, Apple ID, v.v.) và luôn bật tính năng xác thực đa yếu tố (MFA) để tăng cường bảo mật.
- Liên hệ ngân hàng ngay lập tức: Nếu bạn đã cung cấp thông tin tài chính (số thẻ, tài khoản ngân hàng), hãy gọi ngay cho ngân hàng của bạn. Ngân hàng có thể đóng băng tài khoản, hủy thẻ tín dụng hiện tại và phát hành thẻ mới.
- Đóng băng tín dụng: Nếu bạn đã cung cấp thông tin nhận dạng cá nhân (PII) có thể bị sử dụng để đánh cắp danh tính, hãy liên hệ với các tổ chức tín dụng như TransUnion, Equifax và Experian để đóng băng tín dụng của bạn. Điều này ngăn chặn kẻ gian sử dụng thông tin của bạn để vay tiền hoặc mở thẻ tín dụng mới dưới tên bạn.
- Theo dõi tài khoản và cân nhắc dịch vụ bảo vệ danh tính: Thường xuyên kiểm tra sao kê thẻ tín dụng và ngân hàng để phát hiện các giao dịch đáng ngờ. Bạn cũng có thể cân nhắc sử dụng các dịch vụ bảo vệ danh tính, bao gồm theo dõi tín dụng và PII. Các dịch vụ nâng cao còn có tính năng giám sát mạng xã hội để phát hiện hồ sơ giả mạo hoặc hỗ trợ phục hồi danh tính khi bị đánh cắp.
- Cập nhật phần mềm thiết bị: Đảm bảo tải xuống và cài đặt các bản cập nhật phần mềm hoặc bản vá lỗi mới nhất cho thiết bị của bạn ngay khi chúng có sẵn. Những bản cập nhật này giúp vá các lỗ hổng bảo mật và ngăn chặn các cuộc tấn công trong tương lai.
Tấn công smishing nhắm vào iMessage là một mối đe dọa thực sự, lợi dụng chính sự tin tưởng và thói quen của người dùng. Để bảo vệ bản thân và thông tin cá nhân của mình, hãy luôn giữ thái độ cảnh giác cao độ và tuân thủ các nguyên tắc bảo mật cơ bản. Đừng bao giờ phản hồi tin nhắn từ số lạ, luôn xác minh thông tin qua các kênh chính thức và hành động nhanh chóng nếu bạn nghi ngờ mình đã trở thành nạn nhân. Sự chủ động của bạn chính là lá chắn vững chắc nhất chống lại những chiêu trò lừa đảo tinh vi này.
