Vì sao kẻ lừa đảo biết cả số tài khoản và OTP?

Một cuộc gọi tự xưng nhân viên ngân hàng, thông báo tài khoản vừa phát sinh giao dịch bất thường, có thể trở nên đáng tin hơn nhiều nếu người gọi đọc chính xác tên, số điện thoại hoặc một phần thông tin tài khoản của nạn nhân. Tương tự, email cảnh báo đăng nhập Apple ID, QQ hay Xiaomi từ địa điểm lạ cũng dễ khiến người dùng hoảng sợ và làm theo hướng dẫn. Theo nội dung được China News đề cập, phía sau những màn kịch tưởng như rất “đời thường” này có thể là cả một chuỗi thu thập, mua bán và khai thác dữ liệu cá nhân. Điều đáng sợ là kẻ lừa đảo không nhất thiết phải biết toàn bộ thông tin ngay từ đầu. Chúng có thể ghép nhiều mảnh dữ liệu bị rò rỉ từ các nguồn khác nhau để tạo ra một hồ sơ đủ chi tiết, sau đó sử dụng chính những thông tin đó để đánh vào tâm lý nạn nhân.

Dữ liệu cá nhân bị rò rỉ từ các dịch vụ trực tuyến có thể trở thành nguyên liệu cho những kịch bản lừa đảo tinh vi.

Một chuyên gia an ninh mạng Trung Quốc được nội dung đề cập là Triệu Vũ, người có nhiều năm theo dõi hoạt động của tội phạm mạng. Ông từng trực tiếp truy tìm dữ liệu bị đánh cắp và cảnh báo những người có nguy cơ trở thành nạn nhân. Năm 2015, Triệu Vũ thành lập công ty an ninh Bạch Mạo Hội, tập trung vào hoạt động tình báo nhằm đối phó với rò rỉ dữ liệu và tội phạm mạng. Theo ông, một trong những nguồn dữ liệu phổ biến là các trang thương mại điện tử, diễn đàn và dịch vụ trực tuyến, nơi người dùng phải cung cấp tên, địa chỉ, số điện thoại hoặc thông tin thanh toán. Những dữ liệu này được lưu trữ trên máy chủ và có thể trở thành mục tiêu khi hệ thống xuất hiện lỗ hổng bảo mật. Tùy mức độ nghiêm trọng, lỗ hổng có thể cho phép kẻ tấn công chỉ tiếp cận một phần hệ thống hoặc tiến sâu hơn vào khu vực chứa dữ liệu quan trọng.

Điểm đáng chú ý là một lỗ hổng bảo mật không chỉ nguy hiểm trong thời gian ngắn. Khi chưa được phát hiện hoặc chưa được vá, nó có thể trở thành “cửa ngõ” để tội phạm thu thập dữ liệu trong thời gian dài. Nội dung cung cấp phân biệt giữa 0Day, tức những lỗ hổng chưa được công bố hoặc chưa có bản vá, và các lỗ hổng cũ vẫn tiếp tục bị khai thác do hệ thống chưa được cập nhật. Khi dữ liệu từ nhiều nguồn được thu gom, chúng có thể hình thành những kho thông tin rất lớn trong thế giới ngầm. Từ đây xuất hiện một kỹ thuật được Triệu Vũ mô tả là “dò kho”: hacker lấy những cặp tài khoản và mật khẩu đã có rồi thử đăng nhập trên hàng loạt dịch vụ khác nhau. Đây là lý do thói quen sử dụng một mật khẩu cho nhiều tài khoản trở thành rủi ro đặc biệt nghiêm trọng. Chỉ cần một dịch vụ bị lộ dữ liệu, những tài khoản khác sử dụng cùng thông tin đăng nhập cũng có thể bị đe dọa.

Việc sử dụng cùng một mật khẩu cho nhiều dịch vụ khiến một vụ rò rỉ dữ liệu có thể kéo theo hàng loạt tài khoản khác bị xâm phạm.

Nguy hiểm hơn, chuỗi tấn công không nhất thiết dừng ở việc lấy được tên đăng nhập và mật khẩu. Theo nội dung được cung cấp, hacker có thể tiếp tục sử dụng email giả mạo hoặc những kịch bản lừa đảo khác để thu thập thêm thông tin, trong đó có cả mã xác thực. Một trường hợp được đề cập cho thấy chỉ cần cài đặt ứng dụng do hacker gửi, về mặt kỹ thuật, kẻ xấu có thể theo dõi cuộc gọi và tin nhắn trên thiết bị. Nhóm của Triệu Vũ cũng từng triệt phá khoảng 1.900 website lừa đảo và thu được dữ liệu của hơn 16.000 nạn nhân, gồm nhiều loại thông tin như tên, số thẻ, mật khẩu, giấy tờ tùy thân, địa chỉ và số điện thoại. Những dữ liệu tưởng như rời rạc này khi được kết hợp có thể giúp kẻ lừa đảo xây dựng một kịch bản đủ thuyết phục để nạn nhân tự cung cấp phần thông tin còn thiếu.

Theo Triệu Vũ, cấp độ nguy hiểm nhất của tội phạm mạng không nằm ở việc liên tục phá vỡ hệ thống mà ở khả năng thao túng con người. Khi đã có quyền truy cập hợp lệ vào một tài khoản hoặc hệ thống nội bộ, kẻ tấn công có thể hoạt động giống một người dùng bình thường và âm thầm lấy dữ liệu, khiến việc phát hiện trở nên khó khăn hơn. Điều này cũng lý giải vì sao nhiều vụ lừa đảo hiện nay không cần một cuộc tấn công kỹ thuật quá phức tạp ngay trước mắt nạn nhân. Một phần thông tin có thể đã bị lộ từ trước, phần khác được lấy thêm thông qua email, cuộc gọi, website hoặc ứng dụng giả mạo, sau đó tất cả được ghép lại thành một chuỗi tấn công. Với người dùng, nguy cơ vì thế không chỉ đến từ một mật khẩu yếu mà còn từ cách dữ liệu cá nhân được chia sẻ và bảo vệ trên toàn bộ hệ sinh thái số.

Câu chuyện trên cho thấy số tài khoản ngân hàng, mật khẩu hay mã OTP mà kẻ lừa đảo biết được không nhất thiết xuất phát từ một vụ đánh cắp duy nhất. Chúng có thể là kết quả của nhiều mắt xích gồm lỗ hổng bảo mật, rò rỉ dữ liệu, thu thập thông tin và kỹ thuật thao túng tâm lý. Vì vậy, việc bảo vệ tài khoản không thể chỉ dựa vào một lớp mật khẩu. Người dùng cần hạn chế sử dụng chung mật khẩu giữa các dịch vụ, thận trọng với tệp và ứng dụng được gửi từ nguồn không rõ ràng, đồng thời không cung cấp mã xác thực khi chưa xác minh chính xác người yêu cầu. Trong thế giới mà dữ liệu cá nhân có thể được ghép thành một “bức tranh” hoàn chỉnh về nạn nhân, càng nhiều thông tin bị lộ, kẻ lừa đảo càng dễ khiến một cuộc gọi hay tin nhắn giả mạo trở nên đáng tin.

Thiên Trang (th)