5 cách hacker qua mặt xác thực hai yếu tố

Việc bảo vệ tài khoản chỉ bằng tên người dùng và mật khẩu không còn an toàn, bởi chúng dễ dàng bị đánh cắp, dễ đoán hoặc bị bẻ khóa. Do đó, xác thực hai yếu tố (2FA) hoặc nhiều hơn (xác thực đa yếu tố) được hầu hết dịch vụ và nền tảng trực tuyến khuyến cáo sử dụng.

Người dùng có thể sử dụng mật khẩu, mã PIN, xác thực bằng thiết bị tin cậy như smartphone, máy tính bảng, hoặc sinh trắc học như vân tay, mống mắt, nhận dạng khuôn mặt. Tuy nhiên, chúng không phải bất khả xâm phạm. Có những mánh khóe và lỗ hổng hacker có thể khai thác để chiếm đoạt tài khoản.

Tấn công bằng chiêu lừa đảo

Kết nối giữa người dùng và tài khoản trực tuyến thường được bảo vệ bằng kỹ thuật TLS (Transport Layer Security) an toàn. Nó được thiết kế để đảm bảo không ai có thể hack vào kết nối này. Dù vậy, hacker có thể thực hiện cuộc tấn công MITM (man in the middle), tức xen giữa máy của người dùng và máy chủ để lừa đảo.

Cụ thể, hacker sẽ thiết kế một website giả mạo giống với trang thật để dụ người dùng điền thông tin đăng nhập. Không chỉ đánh cắp tên và mật khẩu, kỹ thuật tấn công mới còn lừa người dùng cung cấp luôn mã xác thực hai yếu tố. Do đó, người dùng cần tỉnh táo, xem kỹ liên kết và không cung cấp bất cứ thông tin đăng nhập nào nếu thấy nghi ngờ. Sau đó, có thể tìm kiếm trên Google để xác định website dịch vụ thật mà mình đang dùng.

Lừa tải phần mềm độc hại

Một biến thể của kỹ thuật MITM là sử dụng phần mềm độc hại nhúng trực tiếp vào trình duyệt. Mã độc chờ cho đến khi người dùng đăng nhập vào ngân hàng, nhập 2FA, sau đó thao túng giao dịch chuyển tiền ở chế độ nền. Một số phần mềm độc hại dạng này có thể kể đến là Carberp, Emotet, Spyeye và Zeus.

Trong trường hợp này, người dùng cần kiểm tra lại thông báo chuyển khoản trước khi bấm chuyển tiền, đồng thời thường xuyên dùng phần mềm quét virus trên thiết bị.

Gọi điện trực tiếp

Trong một số trường hợp, kẻ tấn công đã biết tên người dùng và mật khẩu của nạn nhân thông qua các kênh mua bán dữ liệu, darkweb hoặc đánh cắp được bằng phần mềm độc hại. Dù có thông tin tài khoản, chúng vẫn cần 2FA để xác thực. Lúc này, chúng có thể tạo kịch bản gọi trực tiếp tới người dùng qua số điện thoại bị lộ.

Kịch bản quen thuộc nhất là đóng vai nhân viên ngân hàng hoặc nơi dịch vụ đang cung cấp, giả danh công an, cảnh sát nhằm dụ mục tiêu họ cung cấp 2FA, chẳng hạn "giới thiệu một quy trình bảo mật mới", "nâng cấp, chuyển đổi tài khoản" và cần mã xác thực. Nếu không tỉnh táo, người dùng có thể sập bẫy.

Các chuyên gia cảnh báo, nhân viên dịch vụ và cơ quan chức năng không bao giờ yêu cầu người dùng cung cấp thông tin bí mật như vậy, do đó không nên giao mã 2FA cho bất kỳ ai qua điện thoại.

Hoán đổi sim

Mật khẩu dùng một lần (OTP) từng có thời gian thịnh hành khi người dùng chỉ cần mã này được gửi về sim điện thoại là có thể đăng nhập tài khoản, bên cạnh bước đầu tiên là nhập mật khẩu. Tuy nhiên, hacker đã nghĩ ra chiêu hoán đổi sim.

Cụ thể, hacker dùng thủ thuật "lừa" nhà mạng chuyển số điện thoại của nạn nhân sang thẻ sim do chúng kiểm soát. Nếu tài khoản trực tuyến sử dụng phương thức xác thực qua số điện thoại bằng OTP, chúng dễ dàng đánh cắp và đổi thông tin tài khoản đã đăng ký nếu hoán đổi sim thành công. Các chuyên gia cho rằng OTP hiện không còn an toàn, nhất là với sim mới có thời gian sử dụng ngắn.

Đánh cắp cookie xác thực

Nhiều dịch vụ cho phép người dùng xác thực 2FA chỉ trong lần đăng nhập đầu tiên và ghi nhớ cho những lần về sau, không cần nhập lại mã. Cách này mang lại sự tiện lợi, nhưng cũng đối mặt với nguy cơ bảo mật.

Theo giới bảo mật, thông tin ghi nhớ thường nằm trong cookie xác thực, chủ yếu chứa dữ liệu đăng nhập ở dạng mã hóa. Nếu tệp này bị đánh cắp, hacker có thể giải mã thông tin đăng nhập để sử dụng. Một phần mềm dạng này là Lumma, từng tấn công hàng loạt máy tính năm 2022 để lấy cookie. Vì vậy, với các tài khoản có tính quan trọng cao như tài khoản ngân hàng, không nên lưu thông tin đăng nhập trên trình duyệt.