Một chiến dịch smishing (lừa đảo qua SMS) cực kỳ nguy hiểm đang nhắm mục tiêu vào người dùng Apple iMessage, lợi dụng kỹ thuật xã hội để vô hiệu hóa tính năng bảo vệ chống lừa đảo tích hợp sẵn của dịch vụ nhắn tin này. Cuộc tấn công tiềm ẩn nguy cơ phơi bày thông tin của hàng triệu người dùng, nhưng bạn hoàn toàn có thể tự bảo vệ mình bằng cách thay đổi một thói quen bảo mật đơn giản. Bài viết này sẽ đi sâu vào cách thức hoạt động của thủ đoạn lừa đảo tinh vi này và cung cấp các biện pháp phòng ngừa, xử lý hiệu quả.
Kẻ Gian Vô Hiệu Hóa Bảo Mật iMessage Như Thế Nào?
Apple đã trang bị cho iMessage một lớp bảo vệ tích hợp để chặn các liên kết độc hại được gửi từ những người gửi không xác định. Điều này nhằm bảo vệ người dùng khỏi việc vô tình nhấp vào các đường dẫn nguy hiểm. Tuy nhiên, các tội phạm mạng đã tìm ra một lỗ hổng bằng cách lừa bạn vô hiệu hóa chính tính năng bảo vệ phishing này.
Những kẻ tấn công sẽ gửi các tin nhắn cảnh báo giả mạo, yêu cầu người dùng iMessage phản hồi. Các tin nhắn này thường dưới dạng thông báo giao hàng giả mạo hoặc tin nhắn về phí cầu đường chưa thanh toán. Tin nhắn sẽ yêu cầu người dùng trả lời bằng “Y” (có) hoặc “N” (không) để chấp nhận hoặc từ chối giao hàng/xác nhận thông tin. Việc bạn trả lời, dù là “Y” hay “N”, sẽ khiến iMessage hiểu rằng số điện thoại đó là “đã biết” đối với bạn, từ đó vô hiệu hóa tính năng chặn liên kết độc hại.
Theo báo cáo của Bleeping Computer, tin nhắn lừa đảo còn bao gồm hướng dẫn “Thoát tin nhắn, mở lại liên kết kích hoạt tin nhắn, hoặc sao chép liên kết vào trình duyệt Safari” để xem trạng thái giao hàng mới nhất hoặc thanh toán phí. Liên kết này sau đó sẽ dẫn người dùng đến một trang web lừa đảo (phishing site) được thiết kế tinh vi, nơi thông tin cá nhân và tài chính của họ sẽ bị đánh cắp. Số liệu này sau đó sẽ được sử dụng cho các mục đích xấu như đánh cắp danh tính, gian lận thẻ tín dụng và các cuộc tấn công khác.
Ví dụ tin nhắn lừa đảo smishing nhắm vào iMessage từ Bleeping Computer
Vì người dùng đã quen với việc trả lời “STOP”, “YES” hoặc “NO” để xác nhận hoặc hủy các cuộc hẹn hay thông báo hợp pháp qua tin nhắn, những kẻ tấn công đã lợi dụng thói quen này để khiến người dùng nghĩ rằng việc trả lời là vô hại. Ngay cả khi bạn không nhấp vào liên kết, việc trả lời đã cho kẻ tấn công biết rằng bạn là người dễ bị ảnh hưởng bởi các tin nhắn smishing, biến bạn thành mục tiêu cho các cuộc tấn công trong tương lai.
Cách Phòng Tránh Smishing iMessage Hiệu Quả
Để bảo vệ bản thân khỏi chiến dịch smishing iMessage này, điều quan trọng nhất là không bao giờ trả lời tin nhắn văn bản từ những số điện thoại mà bạn không nhận ra. Đặc biệt cảnh giác nếu bạn nhận được tin nhắn về một gói hàng không mong đợi hoặc một khoản phí mà bạn không hề hay biết. Luôn coi các liên kết được gửi từ các nguồn không xác định là độc hại: đừng bao giờ nhấp vào chúng. Ngoài ra, có nhiều cách khác để nhận diện tin nhắn smishing và tránh các vụ lừa đảo.
Nếu bạn không chắc chắn về việc có một gói hàng hoặc khoản phí cần thanh toán nhưng vẫn muốn kiểm tra, hãy đóng ứng dụng iMessage và truy cập trang web chính thức của công ty đó bằng trình duyệt của bạn. Liên hệ với bộ phận dịch vụ khách hàng để xác minh thông tin. Bạn cũng có thể đăng nhập vào tài khoản của mình thông qua trang web hoặc ứng dụng chính thức của họ. Tuyệt đối không truy cập trang web bằng liên kết từ tin nhắn.
Hãy cảnh giác với những tin nhắn tạo áp lực yêu cầu bạn hành động “ngay lập tức”, đưa ra “ưu đãi có thời hạn”, hoặc đe dọa với những hậu quả tiêu cực nếu bạn không phản hồi ngay. Hầu hết các vụ lừa đảo phishing đều được thiết kế để khiến bạn hành động trước khi kịp suy nghĩ, từ đó giao thông tin cho chúng trước khi nhận ra mình đã bị lừa.
Phải Làm Gì Khi Đã Trót “Dính Bẫy”?
Nếu bạn đã lỡ trả lời hoặc làm theo hướng dẫn của kẻ tấn công trước khi nhận ra đây là một vụ lừa đảo, vẫn có những cách để giảm thiểu thiệt hại:
Trước tiên, hãy chặn ngay lập tức số điện thoại đó để ngăn chặn chúng gửi thêm tin nhắn cho bạn. Sau đó, nhanh chóng thay đổi mật khẩu của tất cả các tài khoản quan trọng và kích hoạt xác thực đa yếu tố (MFA) cho mọi dịch vụ hỗ trợ. MFA bổ sung một lớp bảo mật mạnh mẽ, giúp bảo vệ tài khoản của bạn ngay cả khi kẻ tấn tặc có được mật khẩu.
Nếu bạn đã cung cấp thông tin tài chính (như số thẻ tín dụng, thông tin ngân hàng), hãy gọi ngay cho ngân hàng của bạn. Ngân hàng có thể đóng băng tài khoản, hủy thẻ tín dụng của bạn và cấp một thẻ mới.
Trong trường hợp bạn đã cung cấp thông tin nhận dạng cá nhân (PII) có thể được sử dụng để đánh cắp danh tính, bạn nên liên hệ với các tổ chức tín dụng như Trung tâm Thông tin Tín dụng Quốc gia Việt Nam (CIC) để xem xét các biện pháp bảo vệ. Việc này có thể giúp ngăn chặn kẻ lừa đảo sử dụng thông tin của bạn để vay tiền hoặc đăng ký thẻ tín dụng mới dưới tên bạn.
Thường xuyên theo dõi sao kê thẻ tín dụng và tài khoản ngân hàng của bạn để phát hiện các giao dịch đáng ngờ. Bạn cũng có thể cân nhắc sử dụng các dịch vụ bảo vệ danh tính, bao gồm theo dõi tín dụng và PII. Các dịch vụ nâng cao còn có tính năng giám sát mạng xã hội để phát hiện các hồ sơ được tạo dưới tên bạn và các dịch vụ hỗ trợ phục hồi dữ liệu bị đánh cắp hoặc quy trình khôi phục danh tính.
Cuối cùng, hãy đảm bảo tải xuống các bản cập nhật phần mềm mới nhất hoặc bản vá lỗi cho thiết bị của bạn ngay khi chúng có sẵn. Những bản cập nhật này có thể giúp vá các lỗ hổng bảo mật và ngăn chặn các cuộc tấn công trong tương lai.
Kết Luận
Các chiến dịch smishing nhắm vào iMessage là lời nhắc nhở rõ ràng về sự nguy hiểm của các cuộc tấn công kỹ thuật xã hội tinh vi. Việc bảo vệ bản thân không chỉ dừng lại ở việc cài đặt phần mềm bảo mật mà còn là sự cảnh giác thường xuyên và thói quen bảo mật số thông minh. Bằng cách hiểu rõ cách thức hoạt động của kẻ tấn công và chủ động thực hiện các biện pháp phòng ngừa được khuyến nghị, bạn có thể bảo vệ thông tin cá nhân và tài chính của mình khỏi những mối đe dọa trực tuyến đang ngày càng phổ biến. Hãy luôn nâng cao nhận thức và chia sẻ thông tin này để cùng nhau xây dựng một cộng đồng người dùng công nghệ an toàn hơn.
