Hiện nay, một chiến dịch lừa đảo smishing (phishing qua tin nhắn SMS) vô cùng nguy hiểm đang nhắm mục tiêu vào hàng triệu người dùng Apple iMessage. Kẻ tấn công sử dụng các kỹ thuật tấn công phi kỹ thuật (social engineering) tinh vi để vô hiệu hóa tính năng bảo vệ chống lừa đảo tích hợp sẵn của dịch vụ nhắn tin này. Mặc dù mối đe dọa là đáng kể, nhưng người dùng hoàn toàn có thể tự bảo vệ mình bằng cách hiểu rõ cách thức hoạt động của chúng và thực hiện một vài thay đổi đơn giản trong thói quen sử dụng. Bài viết này của thuthuat360.net sẽ giúp bạn nhận diện, phòng tránh và xử lý khi đối mặt với các cuộc tấn công smishing tinh vi này, đảm bảo an toàn cho thông tin cá nhân và tài chính.
Chiến Thuật Lừa Đảo Smishing Vô Hiệu Hóa Bảo Mật iMessage
Apple đã trang bị cho iMessage một lớp bảo mật quan trọng: các liên kết (link) trong tin nhắn từ người gửi không xác định sẽ bị chặn tự động. Tính năng này được thiết kế để bảo vệ người dùng khỏi việc tiếp xúc với các liên kết độc hại có thể dẫn đến lừa đảo (phishing) hoặc cài đặt phần mềm độc hại. Tuy nhiên, các tội phạm mạng đã tìm ra một lỗ hổng để vượt qua cơ chế bảo vệ này bằng cách lừa người dùng tự tay vô hiệu hóa tính năng chống lừa đảo.
Kẻ tấn công thường gửi các tin nhắn cảnh báo giả mạo yêu cầu người dùng iMessage phải trả lời. Những tin nhắn này thường xuất hiện dưới dạng thông báo giao hàng giả mạo, biên lai thanh toán phí cầu đường chưa thanh toán, hoặc các cảnh báo khẩn cấp khác. Nội dung tin nhắn sẽ yêu cầu người dùng trả lời bằng “Y” (có) hoặc “N” (không) để xác nhận việc chấp nhận hay từ chối một dịch vụ hoặc bưu kiện. Khi bạn trả lời, dù là “Y” hay “N”, iMessage sẽ tự động nhận diện số điện thoại đó là “đã biết” đối với bạn, từ đó vô hiệu hóa tính năng chặn liên kết, khiến các đường dẫn độc hại trở nên “kích hoạt”.
Theo báo cáo từ trang tin bảo mật uy tín Bleeping Computer, các tin nhắn lừa đảo này còn hướng dẫn người dùng “Thoát tin nhắn, mở lại liên kết kích hoạt tin nhắn, hoặc sao chép liên kết vào trình duyệt Safari” để kiểm tra trạng thái giao hàng hoặc thanh toán phí. Khi người dùng nhấp vào liên kết đó, họ sẽ bị chuyển hướng đến một trang web lừa đảo (phishing site) được thiết kế để đánh cắp thông tin cá nhân và tài chính. Dữ liệu bị đánh cắp sau đó sẽ được sử dụng cho các mục đích xấu như đánh cắp danh tính, gian lận thẻ tín dụng, hoặc các cuộc tấn công mạng khác.
Ví dụ tin nhắn lừa đảo smishing qua iMessage, mô phỏng cảnh báo giao hàng và phí cầu đường giả mạo, được báo cáo bởi Bleeping Computer.
Do thói quen phổ biến của người dùng là trả lời “STOP”, “YES”, hoặc “NO” để xác nhận hoặc hủy các cuộc hẹn, thông báo hợp pháp qua tin nhắn, kẻ tấn công đã lợi dụng điều này để khiến người dùng nghĩ rằng việc trả lời là vô hại. Ngay cả khi bạn không nhấp vào liên kết, hành động trả lời tin nhắn cũng đã báo hiệu cho kẻ tấn công biết rằng bạn là người có khả năng phản hồi các tin nhắn smishing, khiến bạn trở thành mục tiêu tiềm năng cho các cuộc tấn công trong tương lai.
Hướng Dẫn Bảo Vệ Bản Thân Khỏi Các Cuộc Tấn Công Smishing
Để đảm bảo an toàn cho mình trước các chiêu trò lừa đảo tinh vi, điều quan trọng nhất là bạn không nên trả lời bất kỳ tin nhắn nào từ các số điện thoại lạ mà bạn không nhận ra. Điều này đặc biệt đúng nếu bạn nhận được tin nhắn về một gói hàng không mong đợi hoặc một khoản phí mà bạn hoàn toàn không quen thuộc. Luôn coi tất cả các liên kết được gửi từ những nguồn không xác định là độc hại và tuyệt đối không nhấp vào chúng. Có nhiều cách khác để nhận diện một tin nhắn smishing và tránh các vụ lừa đảo.
Nếu bạn không chắc chắn về một gói hàng hay một khoản phí cần thanh toán nhưng vẫn muốn kiểm tra, hãy đóng ứng dụng iMessage và mở trang web chính thức của công ty liên quan bằng trình duyệt của bạn. Sau đó, liên hệ với dịch vụ chăm sóc khách hàng của họ để xác minh thông tin hoặc đăng nhập vào tài khoản của bạn thông qua trang web/ứng dụng chính thức. Tuyệt đối không truy cập trang web bằng liên kết được cung cấp trong tin nhắn lừa đảo.
Ngoài ra, hãy luôn cảnh giác với những tin nhắn thúc giục bạn hành động “ngay lập tức”, đưa ra “ưu đãi có giới hạn”, hoặc đe dọa bạn bằng những hậu quả tiêu cực nếu bạn không phản hồi ngay. Hầu hết các vụ lừa đảo phishing và smishing đều được thiết kế để khiến bạn hành động theo bản năng trước khi kịp suy nghĩ. Điều này khiến bạn vô tình cung cấp thông tin cá nhân cho kẻ lừa đảo trước khi nhận ra mình đã bị lừa.
Bạn Cần Làm Gì Nếu Đã Trở Thành Nạn Nhân Của Lừa Đảo Smishing?
Trong trường hợp bạn đã lỡ trả lời tin nhắn hoặc làm theo hướng dẫn của kẻ tấn công trước khi nhận ra đó là một vụ lừa đảo, vẫn có những bước bạn có thể thực hiện để giảm thiểu thiệt hại:
Đầu tiên và quan trọng nhất, hãy chặn ngay lập tức số điện thoại của kẻ lừa đảo để ngăn chúng gửi thêm tin nhắn cho bạn. Tiếp theo, thay đổi mật khẩu của tất cả các tài khoản trực tuyến quan trọng của bạn và ngay lập tức bật tính năng xác thực đa yếu tố (MFA) cho tất cả các dịch vụ hỗ trợ. MFA bổ sung một lớp bảo mật mạnh mẽ, ngay cả khi kẻ tấn công có được mật khẩu của bạn.
Nếu bạn đã cung cấp thông tin tài chính cá nhân như số thẻ tín dụng hoặc thông tin tài khoản ngân hàng, hãy gọi ngay cho ngân hàng của bạn. Ngân hàng có thể giúp bạn đóng băng tài khoản, hủy thẻ tín dụng hiện tại và phát hành thẻ mới để ngăn chặn các giao dịch gian lận.
Trường hợp bạn đã cung cấp thông tin nhận dạng cá nhân (PII) có thể được sử dụng để đánh cắp danh tính (ví dụ: số CMND/CCCD, ngày sinh), bạn nên liên hệ với các tổ chức tín dụng lớn để yêu cầu đóng băng tín dụng. Việc này sẽ ngăn chặn kẻ lừa đảo sử dụng thông tin của bạn để vay tiền hoặc đăng ký thẻ tín dụng mới dưới tên của bạn. Đồng thời, hãy thường xuyên theo dõi các sao kê thẻ tín dụng và ngân hàng của bạn để phát hiện bất kỳ giao dịch đáng ngờ nào. Bạn cũng có thể cân nhắc sử dụng các dịch vụ bảo vệ danh tính chuyên nghiệp, bao gồm giám sát tín dụng và PII. Một số dịch vụ nâng cao còn có tính năng giám sát các mạng xã hội để phát hiện hồ sơ được tạo dưới tên của bạn và hỗ trợ khôi phục dữ liệu bị đánh cắp hoặc quy trình khôi phục danh tính.
Cuối cùng, hãy luôn đảm bảo rằng thiết bị của bạn được cài đặt bản cập nhật phần mềm hoặc bản vá bảo mật mới nhất ngay khi chúng có sẵn. Các bản cập nhật này thường khắc phục các lỗ hổng bảo mật và giúp ngăn chặn các cuộc tấn công trong tương lai.
Hy vọng với những thông tin chi tiết và hướng dẫn cụ thể từ thuthuat360.net, bạn đọc đã có cái nhìn rõ ràng hơn về nguy cơ lừa đảo smishing trên iMessage và trang bị cho mình những kiến thức cần thiết để bảo vệ bản thân và dữ liệu cá nhân trên không gian mạng. Hãy luôn cảnh giác và hành động thông minh để tránh trở thành nạn nhân của các chiêu trò lừa đảo ngày càng tinh vi này.
