Ứng dụng giả mạo có thể khiến tài khoản ngân hàng gặp nguy

Một chiến dịch tấn công mạng mới đang khiến người dùng Android phải đặc biệt cảnh giác khi cài đặt ứng dụng theo hướng dẫn từ người lạ. Theo phân tích được dẫn lại từ Group-IB, kẻ gian đang kết hợp mã độc Android, kỹ thuật thao túng tâm lý và công nghệ NFC để tìm cách thu thập dữ liệu từ thẻ ngân hàng không tiếp xúc. Điểm đáng chú ý là nạn nhân không nhất thiết phải tải một ứng dụng có dấu hiệu rõ ràng là mã độc. Cuộc tấn công thường bắt đầu bằng một cuộc gọi hoặc tin nhắn giả danh nhân viên ngân hàng, điện lực hay một đơn vị quen thuộc. Sau khi tạo được lòng tin, kẻ gian yêu cầu nạn nhân cài một ứng dụng với lý do như xác minh tài khoản, xử lý giao dịch hoặc nâng cấp bảo mật. Khi ứng dụng được cài đặt và cấp các quyền cần thiết, kẻ tấn công có thể tiếp tục kiểm soát thiết bị và triển khai những thành phần phục vụ việc khai thác NFC.

Kẻ gian có thể lợi dụng ứng dụng độc hại để khai thác giao tiếp NFC giữa điện thoại và thẻ ngân hàng.

Điểm nguy hiểm của phương thức này nằm ở cách dữ liệu được xử lý. NFC vốn được sử dụng để tạo kết nối không dây tầm ngắn giữa các thiết bị, chẳng hạn khi người dùng đưa thẻ lại gần máy thanh toán. Theo Group-IB, các công cụ mà giới tội phạm mạng phát triển có thể tìm cách can thiệp vào quá trình giao tiếp này rồi chuyển tiếp dữ liệu đến một thiết bị khác. Nói cách khác, kẻ gian có thể thiết lập một mô hình trong đó một thiết bị ở gần thẻ của nạn nhân đóng vai trò thu nhận dữ liệu, trong khi một thiết bị khác ở địa điểm khác được sử dụng cho giao dịch. Hạ tầng trung gian của kẻ tấn công sẽ đảm nhiệm việc chuyển tiếp thông tin giữa hai đầu. Group-IB cho biết đã xác định hơn 54 tệp APK liên quan đến các chiến dịch mã độc NFC trong hệ sinh thái tội phạm mạng, cho thấy phương thức này không còn dừng ở những thử nghiệm đơn lẻ mà đang được phát triển thành các công cụ chuyên dụng.

Đáng chú ý, cuộc tấn công không nhất thiết bắt đầu bằng việc kẻ gian trực tiếp đánh cắp chiếc thẻ vật lý. Thay vào đó, chúng tìm cách biến chính điện thoại của nạn nhân thành một mắt xích trong quá trình khai thác. Trong một số kịch bản được mô tả, kẻ tấn công có thể sử dụng công cụ điều khiển từ xa như SpyNote sau khi người dùng cài phần mềm độc hại. Từ đó, chúng có thêm khả năng tương tác với thiết bị và hướng dẫn nạn nhân thực hiện những thao tác phục vụ cuộc tấn công. Đây cũng là lý do các chuyên gia luôn cảnh báo về những ứng dụng được cài đặt từ file APK gửi qua tin nhắn, email hoặc đường link không rõ nguồn gốc. Đặc biệt, người dùng cần cảnh giác nếu một người tự xưng là nhân viên ngân hàng yêu cầu cài ứng dụng để “xác minh tài khoản”, “hủy giao dịch”, “nâng cấp bảo mật” hoặc giải quyết một khoản vay. Một ngân hàng thực sự không nên được xác thực chỉ dựa trên lời nói của người gọi; người dùng cần chủ động kết thúc cuộc trò chuyện và liên hệ lại qua số điện thoại hoặc ứng dụng chính thức.

Người dùng không nên cài file APK được gửi qua tin nhắn hoặc làm theo yêu cầu cấp quyền từ người tự xưng là nhân viên ngân hàng.

Một dấu hiệu khác cần được đặc biệt lưu ý là quyền Trợ năng (Accessibility). Đây là tính năng hữu ích đối với người khuyết tật và nhiều ứng dụng hợp pháp, nhưng nếu một phần mềm không có lý do chính đáng lại yêu cầu quyền này, người dùng nên dừng lại để kiểm tra. Cùng với quyền đọc tin nhắn, hiển thị trên ứng dụng khác hoặc quyền quản trị thiết bị, Accessibility có thể trở thành công cụ bị lạm dụng để theo dõi thao tác hoặc hỗ trợ điều khiển điện thoại. Vì vậy, vấn đề không chỉ nằm ở việc ứng dụng có tên gì hay được quảng cáo ra sao, mà còn ở quyền mà ứng dụng yêu cầu và hoàn cảnh người dùng được thuyết phục cài đặt nó. Một ứng dụng được giới thiệu là công cụ hỗ trợ ngân hàng nhưng lại yêu cầu quyền kiểm soát sâu trên điện thoại là trường hợp cần được xem xét đặc biệt thận trọng.

Nếu đã lỡ cài ứng dụng đáng ngờ, người dùng nên ngừng ngay các thao tác liên quan đến ngân hàng và thanh toán trên thiết bị đó. Tiếp theo, kiểm tra danh sách quyền đã cấp và thu hồi những quyền bất thường, đặc biệt là Accessibility, quyền đọc tin nhắn, quyền hiển thị trên ứng dụng khác và quyền quản trị thiết bị. Nếu không thể gỡ ứng dụng theo cách thông thường, có thể cần sử dụng chế độ an toàn để loại bỏ phần mềm hoặc cân nhắc khôi phục thiết bị về trạng thái ban đầu. Trong trường hợp người dùng đã đăng nhập ngân hàng, cung cấp thông tin thẻ hoặc thực hiện giao dịch sau khi cài ứng dụng, việc quan trọng nhất là liên hệ ngay với ngân hàng qua kênh chính thức để được hỗ trợ khóa thẻ, tài khoản hoặc dịch vụ thanh toán có nguy cơ bị lợi dụng. Đồng thời, nên đổi mật khẩu những tài khoản quan trọng trên một thiết bị khác được xác định an toàn và theo dõi lịch sử giao dịch để phát hiện bất thường. Đặc biệt, đừng tiếp tục làm theo lời thúc giục của người đã yêu cầu cài ứng dụng, kể cả khi họ liên tục tạo cảm giác rằng tình huống đang “khẩn cấp”. Trong các vụ lừa đảo công nghệ hiện nay, chính khoảnh khắc người dùng vội vàng làm theo hướng dẫn của kẻ gian thường là lúc hàng rào bảo vệ quan trọng nhất bị phá vỡ.