Người dùng Apple đang được cảnh báo về một hình thức Social Engineering trong đó tội phạm giả làm nhân viên ngân hàng và sử dụng FaceTime để thuyết phục nạn nhân làm lộ thông tin tài chính nhạy cảm.
- Lừa đảo thường bắt đầu bằng cảnh báo fraud giả
- Biết thông tin cá nhân không chứng minh người gọi là thật
- Cuộc trò chuyện được chuyển sang FaceTime
- Chia sẻ màn hình là bước nguy hiểm nhất
- Mã một lần có thể phá vỡ lớp bảo mật quan trọng
- Tính khẩn cấp là dấu hiệu cảnh báo lớn
- Không gọi số điện thoại trong tin nhắn đáng ngờ
- Không chia sẻ màn hình ngân hàng với người gọi bất ngờ
- Apple nói thông tin bảo mật phải luôn được giữ kín
- Cuộc gọi FaceTime đáng ngờ có thể được báo cho Apple
- Nếu thông tin đã bị lộ, cần hành động nhanh
- FaceTime là kênh liên lạc, không phải lỗ hổng
Cuộc tấn công không yêu cầu kẻ xấu phá vỡ bảo mật FaceTime, vượt qua Encryption của Apple hay Hack iPhone từ xa.
Thay vào đó, mục tiêu là niềm tin của người dùng.
Kẻ lừa đảo cố làm cho chủ tài khoản tin rằng tài khoản ngân hàng hoặc thẻ tín dụng đang bị đe dọa và họ phải hợp tác ngay lập tức.
Khi nạn nhân tin rằng mình đang nói chuyện với nhân viên ngân hàng thật, kẻ lừa đảo có thể chuyển cuộc trò chuyện sang FaceTime rồi yêu cầu chia sẻ màn hình.
Nếu nạn nhân mở Online Banking trong khi màn hình đang được chia sẻ, Password, số tài khoản và One-Time Security Code có thể bị lộ.
Đọc thêm
Hình thức này cho thấy Cybersecurity hiện đại không chỉ phải bảo vệ người dùng trước Malware và lỗ hổng Software mà còn trước thao túng tâm lý.
Lừa đảo thường bắt đầu bằng cảnh báo fraud giả
Giai đoạn đầu thường diễn ra qua tin nhắn hoặc điện thoại.
Nạn nhân có thể nhận được thông báo nói rằng tài khoản ngân hàng hoặc thẻ tín dụng xuất hiện hoạt động đáng ngờ.
Tin nhắn có thể đề cập đến một Transaction được cho là chưa được khách hàng cho phép và yêu cầu gọi ngay đến một số điện thoại.
Không nên tự động tin số điện thoại đó.
Nếu tin nhắn do tội phạm tạo ra, số này có thể kết nối trực tiếp với nhóm đang thực hiện vụ lừa đảo.
Trong những trường hợp khác, kẻ lừa đảo chủ động gọi trước và tự nhận là nhân viên bộ phận Fraud hoặc bảo mật của ngân hàng.
Người này có thể nói rằng cần xác minh bổ sung trước khi ngân hàng có thể chặn giao dịch, bảo vệ tài khoản hoặc đảo ngược hoạt động trái phép.
Mục tiêu là tạo nỗi sợ trước khi nạn nhân có thời gian tự kiểm tra tình hình.
Biết thông tin cá nhân không chứng minh người gọi là thật
Một kẻ lừa đảo tinh vi có thể đã biết một số thông tin về mục tiêu.
Đó có thể là tên, số điện thoại, địa chỉ, nơi làm việc hoặc những dữ liệu trông có vẻ riêng tư.
Biết những chi tiết đó không chứng minh người gọi thực sự làm việc cho ngân hàng.
Thông tin cá nhân có thể đến từ Data Breach, cơ sở dữ liệu công khai, Social Media, các vụ lừa đảo trước đó hoặc nhiều nguồn khác.
Kẻ tấn công sử dụng thông tin này để tăng độ tin cậy.
Nếu một người tự nhận là đại diện ngân hàng đã biết tên và nhiều thông tin riêng của nạn nhân, cuộc trò chuyện ban đầu có thể nghe rất thuyết phục.
Apple cũng cảnh báo rằng những kẻ Social Engineering thường sử dụng thông tin cá nhân để xây dựng niềm tin trước khi yêu cầu thông tin đăng nhập nhạy cảm hoặc tiền.
Cuộc trò chuyện được chuyển sang FaceTime
Sau khi thiết lập liên lạc, tội phạm có thể đề nghị chuyển từ cuộc gọi thoại thông thường sang FaceTime.
Việc chuyển đổi có thể làm tương tác có vẻ đáng tin hơn vì FaceTime là dịch vụ quen thuộc mà chủ sở hữu iPhone, iPad và Mac thường dùng để liên lạc với gia đình, bạn bè và đồng nghiệp.
Cuộc trò chuyện trực tiếp cũng cho kẻ lừa đảo nhiều cơ hội phản ứng với những nghi ngờ của nạn nhân.
Nếu nạn nhân bắt đầu đặt câu hỏi, kẻ tấn công có thể lập tức trấn an, nhắc lại rằng tài khoản đang gặp nguy hiểm và tiếp tục gây áp lực.
Kẻ lừa đảo có thể tuyên bố FaceTime cần thiết cho xác minh danh tính, điều tra Fraud hoặc một quy trình bảo mật ngân hàng khác.
Tuy nhiên, việc sử dụng FaceTime không xác minh rằng người bên kia thực sự là nhân viên của tổ chức tài chính mà họ tuyên bố đại diện.
Chia sẻ màn hình là bước nguy hiểm nhất
Giai đoạn nguy hiểm nhất xảy ra khi người tự nhận là đại diện ngân hàng yêu cầu nạn nhân chia sẻ màn hình.
Screen Sharing là chức năng hợp pháp của FaceTime và hữu ích khi dùng với những người quen biết và tin tưởng.
Nhưng cùng tính năng đó trở nên nguy hiểm khi một người lạ đang xem màn hình.
Kẻ lừa đảo có thể hướng dẫn nạn nhân mở trang web ngân hàng hoặc ứng dụng Mobile Banking rồi Login trong khi Screen Sharing vẫn hoạt động.
Lúc này, thông tin tài chính mà ngân hàng hiển thị có thể trở nên nhìn thấy được đối với kẻ tấn công.
Tùy dịch vụ, dữ liệu đó có thể bao gồm số tài khoản, số dư, giao dịch gần đây, thông tin Login và mã bảo mật tạm thời.
CBS News cho biết những kẻ sử dụng kỹ thuật này có thể quan sát Real-Time khi nạn nhân làm lộ Password, số tài khoản và thậm chí One-Time Security Code.
Mã một lần có thể phá vỡ lớp bảo mật quan trọng
Nhiều tổ chức tài chính sử dụng Multi-Factor Authentication để bảo vệ tài khoản Online.
Vì vậy, chỉ có Password có thể vẫn chưa đủ để tội phạm đăng nhập.
Kẻ tấn công còn có thể cần One-Time Verification Code được gửi đến thiết bị tin cậy của khách hàng.
Đó là lý do mã tạm thời đặc biệt có giá trị.
Mô hình bảo mật giả định rằng chỉ chủ tài khoản hợp pháp có thể nhìn thấy và sử dụng mã.
Nếu mã xuất hiện trong Screen Sharing hoặc nạn nhân bị thuyết phục đọc mã ra, kẻ tấn công có thể có thêm thông tin cần thiết để hoàn thành Login hoặc Transaction trái phép.
Người dùng nên bảo vệ One-Time Verification Code với mức độ bí mật tương đương Password.
Người tự nhận là nhân viên ngân hàng không cần yêu cầu khách hàng làm lộ thông tin Authentication qua FaceTime.
Tính khẩn cấp là dấu hiệu cảnh báo lớn
Một trong những đặc điểm phổ biến nhất của Social Engineering là gây áp lực.
Người gọi có thể tuyên bố tiền đang bị đánh cắp ngay lúc đó, thẻ đã bị xâm phạm, tài khoản sắp bị khóa hoặc một Transfer phải được dừng trong vài phút.
Sự khẩn cấp này được tạo ra có chủ đích.
Kẻ tấn công không muốn nạn nhân kết thúc cuộc gọi, tự liên hệ ngân hàng hoặc hỏi ý kiến người khác.
Apple cảnh báo rằng những kẻ lừa đảo thường tạo cảm giác cực kỳ khẩn cấp để người dùng không có thời gian suy nghĩ.
Một tổ chức tài chính hợp pháp không nên phản đối việc khách hàng kết thúc một cuộc gọi bất ngờ rồi liên hệ lại qua số chính thức.
Nếu người gọi khăng khăng rằng nạn nhân phải tiếp tục ở trên đường dây, hành vi đó tự nó đã đáng ngờ.
Không gọi số điện thoại trong tin nhắn đáng ngờ
Nếu một tin nhắn bất ngờ tuyên bố đến từ ngân hàng và cung cấp số điện thoại, khách hàng không nên tự động sử dụng số đó.
Cách an toàn hơn là tự tìm thông tin liên hệ của ngân hàng.
Số điện thoại in ở mặt sau Debit Card hoặc Credit Card là một lựa chọn.
Khách hàng cũng có thể sử dụng App chính thức hoặc Website chính thức của tổ chức tài chính.
Nguyên tắc quan trọng là tạo một kênh liên lạc mới không do người gọi hoặc tin nhắn đáng ngờ cung cấp.
Điều này ngăn cùng một tội phạm kiểm soát cả “cảnh báo” và “giải pháp”.
Không chia sẻ màn hình ngân hàng với người gọi bất ngờ
Một yêu cầu không được đề nghị trước về việc chia sẻ màn hình iPhone, iPad, Mac hoặc máy tính trong cuộc trò chuyện ngân hàng nên được xem là Red Flag lớn.
Ngân hàng hợp pháp không cần nhìn khách hàng nhập Password Online Banking.
Người dùng cũng nên cảnh giác nếu ai đó yêu cầu mở Payment App, tài khoản đầu tư, Cryptocurrency Wallet hoặc dịch vụ tài chính khác trong khi Screen Sharing.
Từ chối chia sẻ màn hình có thể ngăn một phần trọng tâm của cuộc tấn công.
Nếu người tự nhận là nhân viên ngân hàng nói rằng không thể bảo vệ tài khoản nếu không Screen Sharing, người dùng nên kết thúc cuộc gọi và tự liên hệ ngân hàng.
Apple nói thông tin bảo mật phải luôn được giữ kín
Hướng dẫn chính thức của Apple cảnh báo không bao giờ chia sẻ Password, Security Code hoặc các thông tin Account Security khác.
Apple cho biết công ty sẽ không yêu cầu Apple Account Password hoặc Verification Code để cung cấp Support.
Apple cũng khuyến cáo không nhập thông tin đăng nhập vào một Website chỉ vì ai đó trong cuộc gọi yêu cầu.
Nguyên tắc tương tự nên áp dụng cho tài khoản ngân hàng.
Password, One-Time Code và Recovery Information tồn tại để chứng minh rằng chủ tài khoản thật đang cho phép truy cập.
Cung cấp chúng cho người khác có thể làm suy yếu lớp bảo vệ vốn được thiết kế để bảo vệ tài khoản.
Cuộc gọi FaceTime đáng ngờ có thể được báo cho Apple
Apple cung cấp quy trình riêng để báo cáo các cuộc gọi FaceTime đáng ngờ.
Người dùng nhận cuộc gọi FaceTime có vẻ đến từ ngân hàng hoặc tổ chức tài chính có thể chụp Screenshot thông tin cuộc gọi và báo cáo cho Apple.
Các FaceTime Link đáng ngờ nhận qua Messages hoặc Mail cũng có thể được báo cáo.
Apple khuyến nghị Screenshot của liên kết phải hiển thị số điện thoại hoặc Email Address của người gửi.
Lưu lại các thông tin này giúp ghi nhận nỗ lực lừa đảo mà không cần nạn nhân tiếp tục giao tiếp với kẻ gian.
Nếu thông tin đã bị lộ, cần hành động nhanh
Bất kỳ ai nghi ngờ Password hoặc Verification Code đã bị lộ nên hành động ngay.
Password ngân hàng cần được đổi lập tức.
Nếu Password đó cũng được dùng trên các Website hoặc Service khác, từng tài khoản nên được đổi sang mật khẩu riêng và duy nhất.
Khách hàng nên kiểm tra hoạt động ngân hàng gần đây để tìm những Transaction không nhận ra.
Nếu tiền đã được chuyển hoặc xuất hiện hoạt động đáng ngờ, bộ phận Fraud của ngân hàng nên được liên hệ càng sớm càng tốt bằng số điện thoại đã xác minh.
Việc báo cáo nhanh cho ngân hàng nhiều thời gian hơn để điều tra, bảo vệ tài khoản và xác định xem có thể thu hồi tiền hay không.
FaceTime là kênh liên lạc, không phải lỗ hổng
Việc có lừa đảo ngân hàng qua FaceTime không đồng nghĩa FaceTime đã bị xâm phạm về kỹ thuật.
Tội phạm đang dùng một công cụ giao tiếp hợp pháp để thực hiện Social Engineering.
Sự khác biệt này rất quan trọng.
Một nền tảng bảo mật cao vẫn không thể bảo vệ hoàn toàn người dùng nếu họ bị thuyết phục tự nguyện làm lộ thông tin.
Vì vậy, người dùng cần đánh giá điều mà người gọi đang yêu cầu thay vì tự động tin tưởng chỉ vì cuộc trò chuyện diễn ra trên một dịch vụ Apple quen thuộc.
Các yêu cầu bất ngờ về Password, One-Time Code, Screen Sharing hoặc chuyển tiền ngay lập tức đều nên được coi là dấu hiệu cảnh báo, bất kể chúng đến qua FaceTime, cuộc gọi thông thường, Email hay SMS.
