Smishing nhắm vào điện thoại di động thông minh

E-mail | Bản in | Lưu xem sau

Tài khoản ATM của bạn đã tạm ngưng hoạt động, để kích hoạt lại vui lòng gọi ngay đến số miễn phí 515-678-9538 để được hướng dẫn.

 Hãng Cisco đã cảnh báo về một kỹ thuật mới gọi là “Smishing”. Thông qua tin nhắn SMS, kỹ thuật Smishing sẽ gửi đến máy điện thoại di động thông minh (smartphone) các tin nhắn lừa đảo với mục đích là đánh cắp thông tin cá nhân của người sử dụng. Điều đáng lo ngại là các tin nhắn dùng kỹ thuật Smishing được dự báo sẽ tăng rất nhanh trong vài tháng tới.

Trong bản công bố kết quả nghiên cứu hôm 14-7 của mình, hãng Cisco (Mỹ) đã cảnh báo rằng các nhóm tội phạm trên mạng đang thích nghi rất nhanh với các hình thức thanh toán trực tuyến và liên tục tìm các phương thức mới, lợi dụng sự vô tình, thiếu cảnh giác của người sử dụng khi dùng dịch vụ SMS trên điện thoại di động hay tham gia các dịch vụ web dành cho máy di động để lừa đảo.

Kế hoạch của các nhóm tội phạm trên mạng này rất tinh vi và chúng tỏ ra nhanh nhạy với các sự kiện “nóng” trên thế giới. Chẳng hạn trong đợt phòng chống dịch cúm A H1N1, chúng đã gửi các thư rác để quảng cáo các loại thuốc phòng phòng ngừa dịch cúm hoặc gửi các đường link chỉ khách hàng đến các hiệu thuốc tây giả mạo.

Gần đây nhất, các nhóm tội phạm trên mạng đã lợi dụng cái chết của ông vua nhạc Pop Michael Jackson, dẫn dụ mọi người vào các trang web lừa đảo để đánh cắp thông tin cá nhân.

 
Ông Patrick Peterson, Giám đốc nghiên cứu về bảo mật của Cisco, cho biết: “Đã có hơn hai tỉ tin nhắn lừa đảo dưới nhiều chủ đề khác nhau được gửi đi sau ngày Michael Jackson qua đời.” Cisco lưu ý rằng sự gia tăng việc sử dụng tin nhắn SMS cũng kéo theo những nguy cơ bị các nhóm tội phạm trên mạng tấn công.

Kể từ đầu năm đến nay, có ít nhất hai hoặc ba chiến dịch tấn công vào các thiết bị di động trên diện rộng bằng SMS. Theo Cisco, việc tăng quá nhanh lượng người dùng các thiết bị di động trong khi thiếu các cảnh báo và hướng dẫn từ phía các nhà cung cấp dịch vụ và thiết bị đầu cuối nhằm giúp người sử dụng tự bảo vệ trước các tội phạm trên mạng là điều rất nguy hiểm.

Smishing diễn ra như thế nào?

Smishing có nguồn gốc từ SMS Phishing, nghĩa là một hoạt động lừa đảo để lấy cắp các thông tin nhạy cảm như mật khẩu và thông tin về thẻ tín dụng bằng cách giả làm doanh nghiệp đáng tin cậy thông qua kênh dịch vụ nhắn tin SMS. Cisco dự báo rằng các đợt tấn công dùng Smishing sẽ tăng nhanh trong vài tháng tới.

Các nhóm tội phạm dùng kỹ thuật tấn công bằng Smishing để gửi đến máy smartphone các đường link được ngụy trang rất tinh vi, ví dụ như: “Bạn đã đăng ký sử dụng dịch vụ A với mức phí 2 đô-la Mỹ/ngày, khi nào bạn quyết định ngừng sử dụng dịch vụ thì nhấn vào trang web đi kèm trong tin nhắn để hủy dịch vụ”.

Tuy nhiên, khi bạn nhấn vào link của trang web này thì máy của bạn sẽ tải về chương trình có chứa virus và lúc này máy của bạn đã bị các hacker làm chủ. Kể từ thời điểm đó, nội dung các tin nhắn của bạn sẽ được gửi về cho các hacker, và thông thường các tin nhắn lừa đảo thường xuất phát từ các nguồn giả mạo các tổ chức và doanh nghiệp rất đáng tin cậy như ngân hàng, các doanh nghiệp có uy tín.

Chiêu mới: dùng hệ thống trả lời tự động

Chúng ta thường nghe các cảnh báo như “Đừng nhắp chuột vào các link lạ” hay “Đừng nhập các thông tin cá nhân lên các trang web” nhưng hầu như chẳng bao giờ được nghe cảnh báo là “Đừng nói ra tên của mình qua điện thoại trong tình huống bạn đang đối diện với một hệ thống trả lời thông tin có bài bản và nghiêm túc.”

Cũng theo Patrick Peterson, đây là một trong những chiêu thức mới mà các tội phạm trên mạng sử dụng trong thời gian gần đây. Các nhóm lừa đảo gửi tin nhắn SMS cho người sử dụng máy smartphone với các nội dung gợi ý, mời gọi người sử dụng gọi vào một số điện thoại miễn phí nào đó theo hướng dẫn trong nội dung tin nhắn SMS như: “Tài khoản ATM của bạn đã tạm ngưng hoạt động, để kích hoạt lại vui lòng gọi ngay đến số miễn phí 515-678-9538 để được hướng dẫn” hoặc “Bạn có tài khoản mới, vui lòng gọi số miễn phí 818-859-1549 để nghe thông tin về nó”.

Tuy nhiên, không phải người sử dụng nào cũng có đủ mức cảnh giác và hiểu biết để nhận ra đó chỉ là hệ thống trả lời tự động với giọng nói rất lôi cuốn, lịch sự và chuyên nghiệp. Hệ thống này sẽ hướng dẫn bạn trả lời các câu hỏi cũng như giương ra những câu hỏi “bẫy” để bạn phải khai ra các thông tin cá nhân như số tài khoản, số an sinh xã hội theo các câu hỏi đã được lập trình sẵn. Bạn có thể nghe những kiểu “câu mồi” như: “Chào mừng bạn đến với hệ thống ngân hàng ABC, để kích hoạt lại tài khoản, bạn vui lòng nhập lại số tài khoản sau tiếng bip…”.

Và dĩ nhiên các thông tin mà bạn nói sẽ được hệ thống ghi lại tự động. Với cách này, nhiều người đã bị lừa mà không hề hay biết. Những nạn nhân cho biết, hầu như trước đó chưa được nghe cảnh báo nào và các hệ thống trả lời tự động này “rất chuyên nghiệp”. Theo tính toán của Matt Sullivan, người phát ngôn của tập đoàn viễn thông Sprint (Mỹ), chỉ cần 1% số người nhận tin nhắn gọi vào hệ thống này thì có thể xem việc Smishing đã được thực hiện thành công.

Peterson cho biết mặc dù các cuộc tấn công bằng SMS vẫn còn mới lạ ở Mỹ nhưng chúng đã được phổ biến ở nhiều quốc gia khác như Nhật, nơi mà SMS đã trở thành thói quen của người sử dụng điện thoại di động. Có một lý do khác là khi nhu cầu sử dụng các ứng dụng càng nhiều, hệ điều hành của máy di động càng phải gánh vác nhiều hơn, rủi ro bị các tội phạm lợi dụng cũng tăng lên theo. Số lượng người dùng smartphone ngày càng cao cũng tạo nên sức ép lên các vấn đề về nhu cầu dùng các ứng dụng, truyền tải và bảo mật.

(Theo Minh Thảo // Thời báo kinh tế Sài Gòn // Infoworld, Cnet)