Gần đây, nạn tin tặc tấn công tài khoản Facebook và công khai thông tin nhạy cảm lên mạng trở nên hết sức nhức nhối. Không chỉ người bình thường, những người nổi tiếng như người mẫu, diễn viên hay cầu thủ càng dễ trở thành nạn nhân của loại tội phạm mạng này.

Tin tặc tấn công tài khoản của nạn nhân như thế nào và làm thế nào để tự bảo vệ mình là câu hỏi được nhiều người quan tâm.

Từ Đại học RMIT Việt Nam, Tiến sĩ Jonathan Crelin và Tiến sĩ Nguyễn Ngọc Thành, giảng viên Khoa Khoa học và Công nghệ đã giải đáp các thắc mắc trên.

Theo Tiến sĩ Crelin, những phương tiện hiện đại như mạng xã hội, tin nhắn và điện thoại thông minh giúp việc kết nối trở nên dễ dàng và thuận tiện hơn bao giờ hết. Người ta dùng mạng xã hội và tin nhắn để mua bán, kết bạn, và cả để tìm người yêu.

Tuy vậy, khác với trước kia, tất cả những gì bạn nói và nghe sẽ được luân chuyển trong nhiều môi trường khác như wifi, cáp mạng… Sau đó chúng sẽ được lưu trữ lại không chỉ ở một nơi mà rất nhiều nơi như trên thiết bị hay trên kho lưu trữ đám mây.

“Và đó là nguồn gốc cho những cuộc tấn công mạng nhằm đánh cắp thông tin riêng tư, nhạy cảm, và cả tiền bạc”, Tiến sĩ Crelin nói.

Theo Tiến sĩ Nguyễn Ngọc Thành, Tấn công mạng không phải là chủ đề mới. Như các loại tội phạm khác, tội phạm mạng diễn ra hàng giờ, hàng phút và mỗi chúng ta đều có thể là nạn nhân.

Tuy nhiên, những người nổi tiếng thường bị tội phạm mạng nhắm đến nhiều hơn. Trong an ninh mạng, đối tượng này thường được xem là những mục tiêu có giá trị cao. Người nổi tiếng thường quảng giao, gặp gỡ nhiều người cả ngoài đời thực lẫn trên mạng, nên sẽ để lộ nhiều sơ hở hơn người bình thường. Do đó, ngày càng nhiều người nổi tiếng bị tin tặc tấn công là điều dễ hiểu.

Trả lời câu hỏi “Tin tặc tấn công tài khoản của những người này như thế nào?”, Tiến sĩ Crelin cho biết, không có đáp án duy nhất và tuyệt đối cho tình huống này. Hiện nay, các nhà cung cấp dịch vụ mạng cũng đã tăng cường bảo mật trên nền tảng của họ nên tin tặc khó có thể dùng các kỹ thuật truyền thống như SQL Injection, Cross Site Scripting, Cross Request Forgery, v.v. để tấn công tài khoản người dùng. Do đó, nhiều tội phạm hiện sử dụng một kỹ thuật có tên Social Engineering (tạm hiểu là lừa đảo qua giao tiếp xã hội chứ không qua kỹ thuật). Phần lớn những trường hợp tấn công tài khoản thành công ở Việt Nam đều dùng kỹ thuật này.

Giải thích rõ hơn, Tiến sĩ Crelin ví dụ, hacker có thể gửi cho bạn một trang web hứa hẹn chứa đựng nhiều thông tin hấp dẫn như bạn được tặng trọn gói một chuyến du lịch châu Âu nghỉ dưỡng ở resort 5 sao… và bạn phải đăng nhập để nhận thưởng. Trang đăng nhập này thực chất là trang giả và khi đăng nhập vào mật khẩu của bạn sẽ chuyển thẳng vào email hay tin nhắn của tin tặc.

Các kỹ thuật hiện tại như Single Sign On thông qua OAuth2 trên Google hay Facebook cũng góp phần củng cố niềm tin khiến nạn nhân nghĩ rằng mình đã đăng nhập và không mảy may nghi ngờ.

Kỹ thuật này còn được dùng rất nhiều trên các phương tiện khác như gọi điện thoại báo trúng thưởng hay giả danh cơ quan điều tra đe dọa rằng nạn nhân đang bị vướng vào một vụ rửa tiền và cần phải chuyển tiền vào tài khoản cơ quan điều tra để tránh bị bắt. Còn phần lớn các quý bà độc thân thì bị tấn công theo hình thức kết bạn, chuyển quà tặng có giá trị nhưng bị tắc ở Hải quan và cần phải nộp tiền để lấy hàng ra.

“Chúng ta chỉ có ít thời gian mỗi ngày để nghĩ về an ninh và bảo mật, trong khi tội phạm mạng có hẳn 24 giờ/ngày để làm việc đó”, Tiến sĩ Crelin khẳng định.

Ông cũng đưa ra một vài tình huống như camera an ninh ở khách sạn, nhà hàng, quán cafe có thể bị tội phạm lợi dụng để ăn cắp mã PIN điện thoại hay mã vẽ hình để mở điện thoại, hay đơn giản là mang điện thoại đi sửa hay cài phần mềm.

Tiến sĩ Crelin cũng đưa ra một giải pháp “hơi cực đoan” cho những người nổi tiếng, đó là nên cân nhắc mua điện thoại mới thay vì mang đi sửa, điện thoại cũ nên được khôi phục cài đặt gốc hoặc vô hiệu hoá hoàn toàn.

Mặc dù vậy, theo Tiến sĩ Nguyễn Ngọc Thành, dù những người này luôn giữ điện thoại bên mình và không đưa cho ai hết, thì nguy cơ bị tin tặc tấn công vẫn là “Có thể”.

Ví dụ như việc dùng một mật khẩu cho các trang web khác nhau là khá phổ biến, nên tin tặc có biết một mật khẩu và qua đó suy đoán ra các mật khẩu còn lại. “Bạn hiếm khi nghĩ rằng tài khoản bạn tạo từ 5 - 10 năm trước nay được rao bán đầy trên thị trường web chợ đen. Việc tin tặc lục lại những dữ liệu này và tìm thấy email hay mật khẩu của người nổi tiếng, rồi đăng nhập thử vào tài khoản Gmail hay Facebook hiện nay của họ là điều hoàn toàn có thể xảy ra”, Tiến sĩ Thành lý giải.

Một tình huống khác cũng được Tiến sĩ Crelin liệt kê, đó là những tài khoản giả nhưng dùng tên và hình ảnh thật của chính bạn. Tin tặc có thể tạo tài khoản giả của những diễn viên hay người nổi tiếng, sau một thời gian, họ trao đổi với nhau những tin nhắn thân mật và nhạy cảm. “Một ngày, tài khoản giả mạo kia lộ diện là những tên tội phạm mạng và chúng dùng những đoạn chat này để tống tiền nạn nhân. Nếu nạn nhân không đồng ý, chúng sẽ đăng công khai trên mạng”, Tiến sĩ Crelin cảnh báo.