Liên kết giả

Thử bấm vào liên kết của Google nào: google.com

Bạn nghĩ đây là liên kết dẫn đến Google?

Không! Bạn sai rồi!

Đây là khi tôi di chuyển con trỏ vào liên kết. Bạn nhìn thấy thanh trạng thái của trình duyệt hiển thị liên kết thật chứ.

Lập trình viên hoàn toàn có thể hiển thị cho bạn thấy một liên kết giả và nói cho trình duyệt biết liên kết thật khi người dùng nhấn vào.

<a href="https://www.wikipedia.org/">google.com</a>

Lạm dụng điều này, rất nhiều kẻ xấu đã dụ dỗ những người không rành công nghệ nhấn vào các liên kết xấu để chiếm đoạt tài khoản.

Đó có thể là tài khoản mạng xã hội hoặc tài khoản ngân hàng. Cách tấn công có thể là tạo ra một trang web giả mạo hoặc gửi email trực tiếp tới nạn nhân.

Để phòng tránh, hãy luôn cẩn thận kiểm tra trước liên kết bằng thanh trạng thái và kiểm tra lại một lần nữa trên thanh địa chỉ để đảm bảo bạn đang truy cập đúng trang web mà bạn muốn.

Liên kết giả bằng mã JavaScript

Hãy thử đến ví dụ thứ 2: google.com

Vẫn là liên kết như phần trên, tuy nhiên khi bạn di chuyển con trỏ vào liên kết, thanh trạng thái vẫn hiển thị chính xác liên kết đó.

Nhưng đây là khi bạn nhấn vào liên kết. Đó hoàn toàn không phải trang web chúng ta thấy trên giao diện hay ở thanh trạng thái.

Liên kết giả sau khi nhấn vào link Google

Lần này, kẻ tấn công đã sử dụng một đoạn mã JavaScript để thay đổi địa chỉ tại thời điểm bạn nhấn chuột.

<a href="https://www.google.com/">google.com</a>
<script>
    document.querySelector('a').addEventListener('click', function (e) {
        e.preventDefault();
        window.open('https://www.wikipedia.org/', '_blank');
    });
</script>

Nhờ vậy, thanh trạng thái vẫn hiển thị địa chỉ trông có vẻ an toàn, nhưng địa chỉ bạn thực sự được chuyển đến thì chưa chắc.

Kịch bản tấn công sẽ dựa trên nút đăng nhập qua bên thứ 3 mà bạn thường thấy trên các trang web. Hay còn gọi là "BIBT" (Browser In The Browser).

Ví dụ nút đăng nhập giả Login with Google được thiết kế để chiếm đoạt tài khoản.

Các bạn có nhận thấy điều gì đáng ngờ không? Hãy quan sát liên kết trên thanh địa chỉ, nó hoàn toàn giống thật, không hề khả nghi chút nào.

Để kiểm tra, chúng ta hãy thử kéo nó ra ngoài trình duyệt.

Các bạn thấy chứ, nó hoàn toàn nằm bên trong trang web, không thể kéo ra ngoài được. Nó được thiết kế thật đến nỗi các nút bấm ở cửa sổ đều có tác dụng, bạn còn có thể tắt popup giả này luôn.

Nó được thiết kế giống hệt như 1 cửa sổ Windows. Thậm chí, kẻ tấn công có thể thay đổi giao diện của nó theo hệ điều hành của nạn nhân.

Ví dụ như đây là popup giả với giao diện của MacOS.

Để phòng tránh kiểu tấn công này, hãy thử kéo popup ra ngoài trang web trước khi bạn nhập thông tin tài khoản.

Popup đăng nhập Google chỉ là 1 ví dụ. Thực tế kẻ tấn công có thể thiết kế nó để nhắm vào bất cứ thứ gì như tài khoản Facebook, tài khoản ngân hàng.

Ăn cắp thông tin qua Form Đăng Ký

Với cách tạo tài khoản mới. Hầu như bạn sẽ không thấy điều gì bất thường ở đây. Mình đoán có kha khá người sử dụng cùng "1 mật khẩu" cho nhiều tài khoản khác nhau. Hacker lợi dụng việc này để thu thập thông tin như email, số điện thoại, mật khẩu của bạn để thực hiện hành vi đăng nhập vào các dịch vụ khác. Nếu dùng chung 1 mật khẩu thì bạn biết kết quả rồi đấy.

Để giúp các tài khoản của bạn được bảo mật hơn thì cần cài đặt bảo mật 2 lớp (2FA). Nhắc đến bảo mật 2 lớp bạn cũng phải hết sức lưu ý khi đăng ký tài khoản ở đâu đó mà có xác thực số điện thoại ở bước đầu.

Hacker sẽ tạo form đăng ký rất cơ bản nhìn qua thì không có gì nguy hiểm. Cho đến bước nhập số điện thoại để nhận mã code sms xác thực. Thay vì code xác thực hệ thống, thì bọn chúng sử dụng số điện thoại để lấy code sms từ các dịch vụ khác như (tài khoản mạng xã hội, tài khoản ngân hàng, ví coin,...). Vì thế bạn cần chú ý đến tên, địa chỉ tin nhắn được gửi đến trước khi nhập mã xác thực đó vào form trên website.

Hãy chia sẻ cho người thân và bạn bè để họ cùng biết và cảnh giác nhé!