Kẻ gian 'mượn oai' Google để hack tài khoản Facebook

Chiêu lừa đảo mới lợi dụng danh tính của Google để đánh cắp tài khoản Facebook hàng loạt.

Theo TechRadar, một chiến dịch lừa đảo trực tuyến mới cực kỳ nguy hiểm đang nhắm vào người dùng Facebook tại Việt Nam và trên thế giới. Theo cảnh báo mới nhất từ hãng bảo mật KnowBe4, tội phạm mạng đang lạm dụng chính dịch vụ Google AppSheet hợp pháp để gửi email giả mạo, dễ dàng vượt qua các bộ lọc bảo mật, nhằm đánh cắp tài khoản mạng xã hội của bạn với những hậu quả khó lường.

Chiêu trò hack Facebook tinh vi dưới vỏ bọc hợp pháp

Thủ đoạn của kẻ xấu rất tinh vi. Chúng sử dụng Google AppSheet - một nền tảng phát triển ứng dụng không cần code của Google - để gửi email hàng loạt. Điều đáng sợ là các email này xuất phát từ địa chỉ 'noreply@appsheet.com', một tên miền hoàn toàn hợp pháp của Google. Điều này giúp chúng dễ dàng qua mặt các hệ thống bảo vệ email tiên tiến nhất (SEGs) và các cơ chế xác thực như SPF, DKIM, DMARC.

Nội dung email được thiết kế để giả mạo giống hệt với thông báo từ Facebook. Chúng thường đưa ra cáo buộc nạn nhân đã vi phạm sở hữu trí tuệ và dọa sẽ xóa tài khoản vĩnh viễn trong vòng 24 giờ. Để tăng áp lực và đưa ra cách giải quyết, chúng chèn một nút gửi kháng nghị vào email để người dùng bấm vào.

Khi nạn nhân hoảng sợ và nhấp vào nút 'Submit an Appeal', họ sẽ bị dẫn đến một trang đăng nhập Facebook giả mạo. Để tăng độ tin cậy, trang này thậm chí còn được lưu trữ trên một nền tảng lưu trữ web uy tín - Vercel.

Tại đây, mọi thông tin đăng nhập (tên người dùng, mật khẩu) và mã xác thực hai yếu tố (2FA) đều bị ghi lại. Nhưng nguy hiểm nhất chưa dừng lại ở đó. Kẻ tấn công sử dụng mã 2FA này để đăng nhập ngay lập tức vào tài khoản Facebook thật và lấy cắp mã 'Session Token'. Với mã này, chúng có thể duy trì quyền truy cập tài khoản của bạn vô thời hạn, ngay cả khi bạn đã phát hiện và đổi mật khẩu ngay sau đó.

Đây là một lời cảnh báo nghiêm túc. Người dùng cần hết sức cẩn trọng với mọi email yêu cầu đăng nhập hoặc cung cấp thông tin nhạy cảm, dù chúng có vẻ hợp pháp đến đâu. Luôn kiểm tra kỹ địa chỉ trang web (URL) trên thanh trình duyệt trước khi nhập bất cứ thứ gì và đừng bao giờ hành động vội vàng trước những lời đe dọa. Sự tỉnh táo chính là lớp phòng thủ quan trọng nhất.