Đăng nhập bằng tài khoản Facebook khi truy cập vào các web có nguy cơ bị hack?

 Tài khoản mạng xã hội ngày càng được sử dụng nhiều như Facebook cũng đồng nghĩa với việc sự quan trọng và mật thiết từ thông tin của các tài khoản này cung cấp có thể gây ra nhiều bất lợi cho người dùng.

Cụ thể, mới đây một tin tức cho biết ngày càng có nhiều tin tặc sử dụng phương thức hack lừa đảo giả mạo thông qua việc yêu cầu đăng nhập bằng tài khoản Facebook để tiếp tục xem hay sử dụng dịch vụ ở một số trang web nào đó. Được biết, ngay cả người thận trọng nhất cũng có thể dễ dàng bị lừa bởi hình thức này vì nó quá tinh vi.

 Làm thế nào để bạn kiểm tra tính hợp pháp hay giả mạo của một trang web yêu cầu thông tin cá nhân khi đăng nhập?

Bằng cách kiểm tra xem URL có đúng không?

Bằng cách kiểm tra xem địa chỉ trang web có phải là một homograph hay không?

Bằng cách kiểm tra xem trang web có đang sử dụng HTTPS?

Hay sử dụng phần mềm bảo mật hoặc tiện ích mở rộng trình duyệt phát hiện tên miền lừa đảo?

 Nếu bạn vẫn đang áp dụng các cách cũ thông thường giống như hầu hết người dùng Internet, cũng đang dựa vào các phương pháp kiểm tra bảo mật cơ bản ở trên để phát hiện xem “Facebook.com” hay “Google.com” có phải là giả hay không, bạn hoàn toàn có thể trở thành nạn nhân của một cuộc tấn công lừa đảo kiểu mới và cuối cùng thì mật khẩu của bạn vẫn sẽ nằm trong tay của tin tặc.

Cách thức hoạt động của trang web lừa đảo yêu cầu đăng nhập Facebook để lấy cắp thông tin người dùng

Antoine Vincent Jebara, đồng sáng lập và CEO của phần mềm quản lý mật khẩu Myki cho biết nhóm của ông ta gần đây đã phát hiện ra một chiến dịch tấn công lừa đảo mới “mà ngay cả những người dùng thận trọng nhất cũng có thể dễ dàng mắc bẫy”. Vincent phát hiện ra rằng những kẻ tội phạm mạng đang phân phối các liên kết đến các blog và dịch vụ trong đó đề xuất người truy cập trước tiên cần “đăng nhập bằng tài khoản Facebook” nếu muốn đọc một bài viết độc quyền hoặc mua một sản phẩm giảm giá.

Đăng nhập bằng Facebook hoặc bất kỳ dịch vụ truyền thông xã hội nào khác là một phương pháp an toàn và đang được sử dụng bởi một số lượng lớn các trang web để giúp khách truy cập dễ dàng đăng ký dịch vụ của bên thứ ba một cách nhanh chóng.

Nói chung, khi bạn nhấp vào nút “đăng nhập bằng Facebook” có sẵn trên bất kỳ trang web nào, bạn sẽ được chuyển hướng đến facebook.com hoặc trong cửa sổ trình duyệt pop-up mới, yêu cầu bạn nhập thông tin đăng nhập để xác thực OAuth và cho phép dịch vụ truy cập thông tin cần thiết trong hồ sơ của bạn.

Tuy nhiên, Vincent phát hiện ra rằng các blog và dịch vụ trực tuyến độc hại đang lấy cắp thông tin người dùng một cách rất tinh vi bằng lời nhắc giả mạo đăng nhập vào tài khoản Facebook cá nhân sau khi họ nhấp vào nút đăng nhập được thiết kế để bắt người dùng cung cấp thông tin.

Theo như Vincent chia sẻ thì lời nhắc đăng nhập pop-up giả thực sự được tạo bằng HTML và JavaScript, được tái tạo hoàn hảo để trông và cảm nhận chính xác như một cửa sổ trình duyệt hợp pháp. Đồng thời, URL đến trang web Facebook bằng khóa màu xanh lục cho biết HTTPS hợp lệ.

Hơn nữa, người dùng cũng có thể tương tác với cửa sổ trình duyệt giả mạo, kéo thả hoặc thoát khỏi nó giống y hệt hoạt động của bất kỳ cửa sổ hợp pháp nào.

Làm thế nào để giữ an toàn tài khoản của bạn?

Cách duy nhất để bảo vệ bạn khỏi kiểu tấn công lừa đảo này, theo Vincent, “là cố gắng kéo dấu nhắc (prompt) ra khỏi cửa sổ mà nó đang hiển thị. Nếu không thành công (một phần của cửa sổ bật lên biến mất khỏi rìa của cửa sổ), đó là một dấu hiệu rõ ràng cho thấy cửa sổ bật lên là giả mạo.”

Bên cạnh đó, chúng tôi luôn khuyến nghị bạn kích hoạt xác thực hai yếu tố với mọi dịch vụ có thể, ngăn chặn tin tặc truy cập vào tài khoản trực tuyến của bạn nếu chúng bằng cách nào đó cố gắng để có được thông tin đăng nhập của bạn.

Các mưu đồ lừa đảo vẫn luôn là một trong những mối đe dọa nghiêm trọng nhất đối với người dùng cũng như các công ty. Các tin tặc liên tục thử nghiệm các cách mới và sáng tạo để lừa bạn cung cấp cho chúng các chi tiết tài chính và các thông tin nhạy cảm mà sau này chúng có thể sử dụng để đánh cắp tiền hoặc xâm nhập vào tài khoản trực tuyến của bạn.

 TH