Cẩn trọng trước phương pháp hack dựa vào đánh tráo ký tự tên miền

Trong bối cảnh các giao dịch, thanh toán và trao đổi thông tin diễn ra hàng ngày trên môi trường số, các thủ đoạn lừa đảo trực tuyến liên tục biến đổi, các đối tượng có thể tận dụng những khác biệt rất nhỏ trong công nghệ và cách hiển thị thông tin để đánh lừa người dùng.

Đánh tráo danh tính bằng những ký tự gần như giống hệt

Một trong những hình thức đáng chú ý là tấn công đồng dạng tên miền (IDN Homograph Attack). Tấn công đồng dạng tên miền là hình thức giả mạo địa chỉ website bằng cách sử dụng những ký tự có hình thức giống hoặc gần giống nhau nhưng thuộc các bảng chữ cái khác nhau. Chẳng hạn, chữ “a” trong bảng chữ cái Latinh và chữ “а” trong bảng chữ cái Cyrillic (chữ “a” trong tiếng Nga) có hình dáng gần như giống hệt khi hiển thị trên màn hình. Sự tương đồng này có thể khiến người dùng khó nhận ra địa chỉ website đã bị thay đổi.

Lợi dụng đặc điểm đó, các đối tượng lừa đảo có thể đăng ký tên miền chứa những ký tự dễ gây nhầm lẫn, tạo lập địa chỉ website giả mạo ngân hàng, mạng xã hội hoặc sàn thương mại điện tử quen thuộc. Chẳng hạn, tên miền chính thức “amazon.com” sử dụng chữ “a” thuộc bảng chữ cái Latinh. Trong khi đó, một tên miền giả mạo có thể thay chữ “a” đầu tiên bằng chữ “а” thuộc bảng chữ cái Cyrillic. Hai địa chỉ nhìn gần như giống nhau nhưng về mặt kỹ thuật, chúng là hai tên miền khác nhau.

Để hỗ trợ sử dụng tên miền bằng nhiều ngôn ngữ, hệ thống Internet áp dụng cơ chế tên miền quốc tế hóa IDN (Internationalized Domain Names), cho phép tên miền chứa các ký tự Unicode. Do hệ thống DNS truyền thống được thiết kế để xử lý các ký tự ASCII, những nhãn tên miền có chứa ký tự Unicode được chuyển sang dạng mã tương thích ASCII (ASCII-Compatible Encoding – ACE) bằng thuật toán Punycode. Dạng mã hóa này có tiền tố “xn--”.

Chẳng hạn, tên miền “аmazon.com”, trong đó chữ “а” đầu tiên thuộc bảng chữ cái Cyrillic, có nhãn tên miền được mã hóa thành “xn--mazon-3ve.com”. Đây là cơ chế kỹ thuật hợp pháp, không phải lỗ hổng bảo mật. Vì vậy không phải mọi tên miền có tiền tố “xn--” đều độc hại. Tuy nhiên, nguy cơ phát sinh từ việc trình duyệt không nhất thiết hiển thị tên miền dưới dạng Punycode. Tùy chính sách bảo mật, trình duyệt có thể giải mã và hiển thị lại các ký tự Unicode ban đầu nếu tên miền đáp ứng những tiêu chí nhất định. Khi tên miền giả mạo được hiển thị bằng những ký tự Unicode gần giống địa chỉ chính thức, người dùng có thể khó nhận ra sự khác biệt bằng mắt thường.

Các trình duyệt hiện đại như Chrome và Firefox đều có cơ chế kiểm tra, hạn chế hiển thị những tên miền chứa ký tự hoặc tổ hợp ký tự có nguy cơ gây nhầm lẫn, trong đó có các trường hợp kết hợp nhiều hệ chữ. Tuy nhiên, những biện pháp này không thể bảo đảm phát hiện mọi hình thức giả mạo tên miền. Vì vậy, người dùng vẫn cần chủ động kiểm tra địa chỉ website, nhất là trước khi đăng nhập, cung cấp thông tin cá nhân hoặc thực hiện giao dịch tài chính.

Bên cạnh việc khai thác sự tương đồng giữa các bảng chữ cái, các đối tượng còn có thể thay thế chữ cái bằng chữ số hoặc ký tự có hình dáng gần giống nhau. Chẳng hạn thay chữ “o” bằng số “0” để tạo ra những địa chỉ như “g00gle.com”. Đây là một dạng giả mạo tên miền bằng ký tự tương tự, thường được xếp vào nhóm tấn công dựa trên sự nhầm lẫn về tên miền, dù không phải trường hợp điển hình của tấn công đồng dạng dựa trên Unicode.

Sau khi tạo lập website giả mạo, các đối tượng có thể thiết kế giao diện gần giống trang chính thức, sử dụng logo, hình ảnh, màu sắc và bố cục quen thuộc để tạo lòng tin. Người dùng truy cập vào những trang này có thể được yêu cầu đăng nhập, cung cấp mật khẩu, mã xác thực hoặc thông tin thẻ ngân hàng. Nếu không nhận diện được sự khác biệt giữa địa chỉ thật và địa chỉ giả, nạn nhân có nguy cơ bị đánh cắp thông tin, chiếm quyền truy cập tài khoản, mất tiền hoặc tiếp tục trở thành mục tiêu của các hành vi lừa đảo khác.

Đáng lo ngại, những đường dẫn giả mạo thường được phát tán qua tin nhắn, thư điện tử, mạng xã hội hoặc các ứng dụng trao đổi trực tuyến. Tâm lý tin tưởng vào thương hiệu quen thuộc, kết hợp với sự vội vàng khi nhận được thông báo yêu cầu xác minh tài khoản, nhận thưởng hoặc xử lý giao dịch, có thể khiến người dùng bỏ qua bước kiểm tra địa chỉ website trước khi truy cập.