Hacker có thể đánh cắp mật khẩu bằng cách theo dõi cảm biến trên điện thoại thông minh

Hacker hoàn toàn có thể đoán được mã PIN và mật khẩu trên điện thoại của người dùng. Đáng ngạc nhiên là hacker này chỉ cần theo dõi những thông số về cảm biến trên thiết bị mà người dùng sử dụng mà không cần bất kỳ quyền truy cập nào khác.

Các tính năng cảm biến được tích hợp trên điện thoại hiện nay

Các dòng smartphone phổ biến hiện nay thường được tích hợp nhiều tính năng cảm biến bao gồm GPS, camera, microphone, bộ đo một số thông số như gia tốc, cảm ứng từ, khoảng cách, con quay, bộ đếm bước chân, NFC và hàng loạt tính năng khác.

Trong thông tin mới nhất của Thehackernews, theo báo cáo của nhóm nghiên cứu khoa học tại Đại học Newcastle của Anh, hacker hoàn toàn có thể đoán được mã PIN và mật khẩu khi người dùng truy cập bất kỳ website ngân hàng, ứng dụng hay màn hình khóa trên điện thoại của người dùng. Điều đáng ngạc nhiên chính là hacker này chỉ cần theo dõi những thông số về cảm biến trên thiết bị mà người dùng sử dụng, như góc độ, vị trí người dùng nhấn vào để nhập mật khẩu.

Nguy hiểm hơn là khi người dùng vô tình truy cập các trang web hay ứng dụng độc hại, các ứng dụng này lại có thể truy cập hầu hết các cảm biến nội bộ của điện thoại thông minh mà không cần phải yêu cầu bất kỳ quyền truy cập nào – dù cho người dùng có truy cập dưới định dạng trang web an toàn HTTPS để nhập mật khẩu đi nữa.

Điện thoại thông minh chưa có cơ chế ngăn chặn ứng dụng truy cập dữ liệu cảm biến

Thông thường khi người dùng sử dụng các ứng dụng điện thoại, các ứng dụng này sẽ yêu cầu người dùng cho phép chúng truy cập một số cảm biến như GPS, camera và microphone của thiết bị.

Gần đây ngành công nghệ ứng dụng bùng nổ theo trào lưu ứng dụng về sức khỏe và thể hình, trò chơi đòi hỏi người chơi phải vận động, hệ điều hành điện thoại dần thoải mái hơn khi không giới hạn các ứng dụng truy cập những dữ liệu cảm biến chuyển động, gia tốc, khoảng cách, NFC…

Từ đó đã vô tình tạo điều kiện thuận lợi cho bất kỳ ứng dụng độc hại nào truy cập vào các dữ liệu cảm biến trên thiết bị mà không cần xin phép hay cấp quyền.

Các nhà khoa học của Đại học Newcastle cũng đã thí nghiệm vài cuộc tấn công ghi lại dữ liệu cảm biến từ hơn 25 tính năng cảm biến của một điện thoại thông minh đang phổ biến hiện nay. Họ còn cung cấp một video bằng chứng ghi nhận cách thức tấn công của hacker, ghi lại những dữ liệu thu thập được từ cảm biến của một thiết bị iOS.

Nhóm nghiên cứu cho biết một tập tin Javascript độc hại có khả năng truy cập những dữ liệu cảm biến và ghi lại thói quen sử dụng của người dùng. Điều đáng lo ngại là loại mã độc này có thể thâm nhập vào thiết bị di động của người dùng hoặc mở từ một website mà người dùng không hề hay biết. Do đó, hacker chỉ việc lừa nạn nhân cài đặt ứng dụng độc hại hoặc truy cập một trang web giả mạo là đã có thể xâm nhập vào thiết bị của nạn nhân.

Một khi đã thâm nhập, hacker có thể ghi nhận mọi hoạt động của nạn nhân, từ những gì nạn nhân gõ trên bàn phím đến thói quen sử dụng của nạn nhân chỉ bằng phần mềm độc hại chạy ẩn ngay trong thiết bị, những dữ liệu cảm biến mà mã độc này ghi nhận đủ để hacker đoán được mã PIN hay mật khẩu của người dùng và lợi dụng chúng để tấn công vào các tài khoản ngân hàng của người dùng.

Nhóm nghiên cứu đã đoán ra chính xác mã PIN 4 ký tự ngay trong lần thử đầu tiên với tỷ lệ thành công 74% và chỉ với lần thử thứ 5, nhóm đoán chính xác mã PIN với tỷ lệ 100% trên 50 thiết bị di động thử nghiệm chỉ với cách thức nói trên. Như vậy việc đoán ra mã PIN và mật khẩu chỉ bằng dữ liệu cảm biến là hoàn toàn có thể.

Hiện nhóm đã cảnh báo nguy cơ này đến các nhà phát triển như Google và Apple.

Minh Hương