Vn-Z.vn Ngày 26 tháng 07 năm 2023, Sự việc xảy ra tại Trung Quốc cho thấy kẻ xấu có thể lợi dụng kẽ hở để lừa chiếm tài khoản Apple ID dù nạn nhân có bật bảo mật 2 lớp.
Trên diễn đàn cộng đồng lập trình viên V2EX của trung Quốc xuất hiện một bài viết nổi bật đang thu hút được sự chú ý của nhiều thành viên, người dùng trên diễn đàn này cho biết rằng tài khoản Apple ID của gia đình mình đã bị lừa đảo và mất tiền dù đã được kích hoạt tính năng xác thực hai lớp.
Người ta nói rằng các thành viên trong gia đình họ đã tải xuống một ứng dụng công thức nấu ăn trên App Store và ủy quyền đăng nhập của họ bằng ID Apple. Sau đó, ứng dụng này hiện ra hộp nhập mật khẩu. Sau khi nhập mật khẩu, họ đã bị lừa lấy thông tin tài khoản nhưng có không có xác thực kép trong toàn bộ quá trình.
Trước đó, tôi luôn nghĩ rằng khi kích hoạt tính năng xác thực hai lớp thì sẽ không bị mất an toàn. Sau khi kiểm tra, tôi khá chắc chắn rằng tôi đã bị lừa đảo:
- Mẹ chồng tôi đã từng mua một sản phẩm ảo trên một ứng dụng nào đó và kết nối thanh toán bằng WeChat trên App Store.
- Vào chiều ngày 11 tháng 7, mẹ chồng tôi đã tải xuống một ứng dụng có tên "Công thức nấu ăn toàn bộ" trên App Store, cách đăng nhập của nó là thông qua Apple ID. Nếu không bật ẩn địa chỉ email của iCloud+ thì tài khoản Apple ID sẽ bị rò rỉ như hình ảnh dưới đây:
Tiếp theo, sẽ xuất hiện một ô nhập mật khẩu giống hệt với App Store. Nếu bạn thường xuyên cài đặt ứng dụng, bạn sẽ thấy ô nhập mật khẩu này khi nhận diện khuôn mặt hoặc dấu vân tay không thành công. Nếu không quen với quy trình đăng nhập của App Store, bạn rất dễ bị lừa, như hình ảnh dưới đây:
Với tài khoản và mật khẩu của Apple ID, kẻ lừa đảo sẽ đăng nhập vào tài khoản và thêm số điện thoại của mình vào danh sách số điện thoại đáng tin cậy, mà theo miêu tả là tính năng xác thực hai lớp. mục đích của việc này là để kẻ lừa đảo có thể xác thực bằng chính số điện thoại của hắn khi đăng nhập vào tài khoản Apple ID trong các lần sau, như hình ảnh dưới đây:
Sau khi kẻ lừa đảo đã chiếm được toàn quyền truy cập vào tài khoản Apple ID của nạn nhân.
Tiếp theo, thay vì trực tiếp sử dụng tài khoản Apple ID để thanh toán đơn hàng, kẻ lừa đảo sẽ tạo một nhóm gia đình và thêm một tài khoản khác vào nhóm gia đình đó. Sau đó kẻ lừa đảo sẽ sử dụng tài khoản đó để mua các sản phẩm ảo trong ứng dụng, như hình ảnh dưới đây:
Nạn nhân đã thử các biện pháp để cố gắng thu hồi tiền và giảm thiệt hại
Theo bài kiểm tra của nhóm kỹ thuật viên của @BugOS, ứng dụng trên thiết bị đáng tin cậy có thể truy cập vào trang web appleid.apple.com mà không cần xác thực hai lớp, thông qua việc kích hoạt một WebView ẩn. Điều này cho phép kẻ tấn công đăng nhập vào tài khoản Apple ID chỉ bằng cách quét khuôn mặt. Ứng dụng cũng sử dụng các hộp thoại giả để lừa đảo người dùng cung cấp mật khẩu, sau đó thêm số điện thoại của kẻ tấn công vào danh sách số điện thoại đáng tin cậy của tính năng xác thực hai lớp. Kẻ tấn công có thể xa hội hóa thiết bị của nạn nhân và gây ra các giao dịch mua hàng và lừa đảo tiền.
Từ cả quá trình và nguyên lý, phương pháp lừa đảo này thực sự rất tinh vi và khó phòng chống. Hiện tại, chúng ta chưa biết khi nào Apple sẽ vá lỗi này. Nhóm kỹ thuật viên của @BugOS cho biết, khi bạn một cửa sổ yêu cầu nhập mật khẩu Apple ID xuất hiện trên iPhone, bạn có thể thử nhấn nút Home hoặc vuốt lên để thoát khỏi nó. Nếu cửa sổ đó biến mất, thì đó là hành động lừa đảo. Đây có thể là một biện pháp tạm thời để ứng phó với các cuộc tấn công lừa đảo trên Apple ID.
Trên diễn đàn cộng đồng lập trình viên V2EX của trung Quốc xuất hiện một bài viết nổi bật đang thu hút được sự chú ý của nhiều thành viên, người dùng trên diễn đàn này cho biết rằng tài khoản Apple ID của gia đình mình đã bị lừa đảo và mất tiền dù đã được kích hoạt tính năng xác thực hai lớp.
Người ta nói rằng các thành viên trong gia đình họ đã tải xuống một ứng dụng công thức nấu ăn trên App Store và ủy quyền đăng nhập của họ bằng ID Apple. Sau đó, ứng dụng này hiện ra hộp nhập mật khẩu. Sau khi nhập mật khẩu, họ đã bị lừa lấy thông tin tài khoản nhưng có không có xác thực kép trong toàn bộ quá trình.
Chi tiết thêm câu chuyện của người dùng tại Trung Quốc
Trước đó, tôi luôn nghĩ rằng khi kích hoạt tính năng xác thực hai lớp thì sẽ không bị mất an toàn. Sau khi kiểm tra, tôi khá chắc chắn rằng tôi đã bị lừa đảo:
- Mẹ chồng tôi đã từng mua một sản phẩm ảo trên một ứng dụng nào đó và kết nối thanh toán bằng WeChat trên App Store.
- Vào chiều ngày 11 tháng 7, mẹ chồng tôi đã tải xuống một ứng dụng có tên "Công thức nấu ăn toàn bộ" trên App Store, cách đăng nhập của nó là thông qua Apple ID. Nếu không bật ẩn địa chỉ email của iCloud+ thì tài khoản Apple ID sẽ bị rò rỉ như hình ảnh dưới đây:
Tiếp theo, sẽ xuất hiện một ô nhập mật khẩu giống hệt với App Store. Nếu bạn thường xuyên cài đặt ứng dụng, bạn sẽ thấy ô nhập mật khẩu này khi nhận diện khuôn mặt hoặc dấu vân tay không thành công. Nếu không quen với quy trình đăng nhập của App Store, bạn rất dễ bị lừa, như hình ảnh dưới đây:
Với tài khoản và mật khẩu của Apple ID, kẻ lừa đảo sẽ đăng nhập vào tài khoản và thêm số điện thoại của mình vào danh sách số điện thoại đáng tin cậy, mà theo miêu tả là tính năng xác thực hai lớp. mục đích của việc này là để kẻ lừa đảo có thể xác thực bằng chính số điện thoại của hắn khi đăng nhập vào tài khoản Apple ID trong các lần sau, như hình ảnh dưới đây:
Sau khi kẻ lừa đảo đã chiếm được toàn quyền truy cập vào tài khoản Apple ID của nạn nhân.
Tiếp theo, thay vì trực tiếp sử dụng tài khoản Apple ID để thanh toán đơn hàng, kẻ lừa đảo sẽ tạo một nhóm gia đình và thêm một tài khoản khác vào nhóm gia đình đó. Sau đó kẻ lừa đảo sẽ sử dụng tài khoản đó để mua các sản phẩm ảo trong ứng dụng, như hình ảnh dưới đây:
Nạn nhân đã thử các biện pháp để cố gắng thu hồi tiền và giảm thiệt hại
Theo bài kiểm tra của nhóm kỹ thuật viên của @BugOS, ứng dụng trên thiết bị đáng tin cậy có thể truy cập vào trang web appleid.apple.com mà không cần xác thực hai lớp, thông qua việc kích hoạt một WebView ẩn. Điều này cho phép kẻ tấn công đăng nhập vào tài khoản Apple ID chỉ bằng cách quét khuôn mặt. Ứng dụng cũng sử dụng các hộp thoại giả để lừa đảo người dùng cung cấp mật khẩu, sau đó thêm số điện thoại của kẻ tấn công vào danh sách số điện thoại đáng tin cậy của tính năng xác thực hai lớp. Kẻ tấn công có thể xa hội hóa thiết bị của nạn nhân và gây ra các giao dịch mua hàng và lừa đảo tiền.
Từ cả quá trình và nguyên lý, phương pháp lừa đảo này thực sự rất tinh vi và khó phòng chống. Hiện tại, chúng ta chưa biết khi nào Apple sẽ vá lỗi này. Nhóm kỹ thuật viên của @BugOS cho biết, khi bạn một cửa sổ yêu cầu nhập mật khẩu Apple ID xuất hiện trên iPhone, bạn có thể thử nhấn nút Home hoặc vuốt lên để thoát khỏi nó. Nếu cửa sổ đó biến mất, thì đó là hành động lừa đảo. Đây có thể là một biện pháp tạm thời để ứng phó với các cuộc tấn công lừa đảo trên Apple ID.
