Làm thế nào để tự bảo vệ trước hacker?

TS. Nguyễn Ngọc Thành, giảng viên khoa khoa học và công nghệ thuộc Trường đại học RMIT Việt Nam cho rằng, tấn công mạng không phải là chủ đề mới. Phần đông chúng ta đều từng gặp phải tình huống tương tự cho đến bị mất tài khoản, bị lừa gửi tiền cho người quen. Khá lý thú là có lần tôi yêu cầu sinh viên kể về kinh nghiệm của họ về tấn công mạng, có đến 80 - 90% sinh viên kể lại câu chuyện mà chính họ là nạn nhân. Như các loại tội phạm khác, tội phạm mạng diễn ra hàng giờ, hàng phút và mỗi chúng ta đều có thể là nạn nhân.

Do danh tiếng của mình, những người nổi tiếng thường bị tội phạm mạng nhắm đến nhiều hơn. Trong an ninh mạng, đối tượng này thường được xem là những mục tiêu có giá trị cao. Người nổi tiếng thường giao tiếp, gặp gỡ nhiều người cả ngoài đời thực lẫn trên mạng, nên sẽ để lộ nhiều sơ hở hơn người bình thường. Do đó, ngày càng nhiều người nổi tiếng bị tin tặc tấn công là điều dễ hiểu.

Tin tặc tấn công tài khoản của những người này như thế nào? TS. Crelin trả lời: “Đây là một câu hỏi khá khó. Thực tế không có đáp án duy nhất và tuyệt đối. Điều này phụ thuộc vào rất nhiều yếu tố. Trong nhiều trường hợp, nạn nhân không báo cáo và công khai chuyện của họ nên chúng ta chỉ có thể phỏng đoán”.

Hiện nay, các nhà cung cấp dịch vụ mạng cũng đã tăng cường bảo mật trên nền tảng của họ nên tin tặc khó có thể dùng các kỹ thuật truyền thống như SQL Injection, Cross Site Scripting, Cross Request Forgery... để tấn công tài khoản người dùng. Do đó, nhiều tội phạm hiện sử dụng một kỹ thuật có tên Social Engineering (tạm hiểu là lừa đảo qua giao tiếp xã hội chứ không qua kỹ thuật). Phần lớn những trường hợp tấn công tài khoản thành công ở Việt Nam đều dùng kỹ thuật này.

TS. Crelin giải thích: “Nghe phức tạp nhưng kỹ thuật này cực kỳ đơn giản. Ví dụ, tội phạm gửi cho nạn nhân tin nhắn đại loại như: Anh đẹp trai ơi, mật khẩu facebook của anh là gì vậy? Hẳn nhiên, tội phạm không gửi khơi khơi như vậy, chúng sẽ gửi cho bạn một trang web hứa hẹn chứa đựng nhiều thông tin hấp dẫn. Đại loại như bạn được tặng trọn gói một chuyến du lịch châu Âu nghỉ dưỡng ở resort 5 sao hay thông tin tương tự như vậy và bạn phải đăng nhập để nhận thưởng. Trang đăng nhập này thực chất là trang giả và khi đăng nhập vào, mật khẩu của bạn sẽ chuyển thẳng vào email hay tin nhắn của tin tặc”.

Các kỹ thuật hiện tại như Single Sign On thông qua OAuth2 trên Google hay Facebook cũng góp phần củng cố niềm tin khiến nạn nhân nghĩ rằng mình đã đăng nhập và không nghi ngờ.

Kỹ thuật này còn được dùng rất nhiều trên các phương tiện khác như gọi điện thoại báo trúng thưởng, hay giả danh cơ quan điều tra đe dọa rằng nạn nhân đang bị vướng vào một vụ rửa tiền và cần phải chuyển tiền vào tài khoản cơ quan điều tra để tránh bị bắt. Cũng có thể bị tấn công theo hình thức kết bạn, chuyển quà tặng có giá trị nhưng bị tắc ở hải quan và cần phải nộp tiền để lấy hàng ra.

Giả sử rằng người nổi tiếng rất cảnh giác và không dễ bị lừa bởi những kỹ thuật tấn công qua giao tiếp xã hội này, tin tặc có thể dùng cách nào khác? TS. Crelin cho biết: “Chúng ta chỉ có ít thời gian mỗi ngày để nghĩ về an ninh và bảo mật, trong khi tội phạm mạng có hẳn 24 giờ/ngày để làm việc đó. Khi tới khách sạn, quán ăn, nhà hàng hay quán cà phê, hàng loạt camera an ninh có thể bị tội phạm lợi dụng để ăn cắp mã PIN điện thoại hay mã vẽ hình để mở điện thoại của bạn. Đối với vận động viên hay diễn viên, phần lớn thời gian (khi tập luyện, thi đấu, hay diễn xuất) họ sẽ không giữ điện thoại bên mình. Họ có thể để điện thoại trong giỏ, trong tủ của phòng thay đồ, hay gửi cho trợ lý giữ giùm. Đây là cơ hội cho các cuộc tấn công”.

Mang điện thoại đi sửa hay cài phần mềm cũng hết sức nguy hiểm. Đã có nhiều trường hợp ảnh nóng hay những đoạn phim nhạy cảm bị rò rỉ ra ngoài theo những cách không thể đơn giản hơn.

Tuy hơi cực đoan nhưng có lẽ người nổi tiếng, là “những mục tiêu có giá trị cao”, khi điện thoại đã hư hỏng nhiều, nên cân nhắc mua điện thoại mới thay vì mang đi sửa. Dĩ nhiên là những thông tin quan trọng trên điện thoại như danh bạ nên được sao lưu định kỳ. Điện thoại cũ nên được khôi phục cài đặt gốc hoặc vô hiệu hóa hoàn toàn.

Nếu những người này luôn giữ điện thoại bên mình và không đưa cho ai hết, họ vẫn có thể bị tin tặc tấn công. TS. Nguyễn Ngọc Thành cho biết thêm, hiện tại, việc dùng một mật khẩu cho các trang web khác nhau là khá phổ biến, nên tin tặc biết một mật khẩu và qua đó suy đoán ra các mật khẩu còn lại. Việc bạn tạo tài khoản trên nhiều trang web khác nhau và dùng cùng một mật khẩu là yếu điểm rất lớn. Bạn hiếm khi nghĩ rằng tài khoản bạn tạo từ 5 hay thậm chí 10 năm trước nay được rao bán đầy trên thị trường web chợ đen. Việc tin tặc lục lại những dữ liệu này và tìm thấy email hay mật khẩu của người nổi tiếng, rồi đăng nhập thử vào tài khoản Gmail hay Facebook hiện nay của họ là điều hoàn toàn có thể xảy ra.