Vụ lừa đảo bằng quảng cáo lớn nhất lịch sử

Mỗi khi mở một ứng dụng hoặc trang web nào đó, một loạt các quy trình vô hình sẽ diễn ra mà người dùng không hề hay biết.

Đằng sau đó, hàng chục công ty quảng cáo đang chen lấn để thu hút sự chú ý của người dùng. Ai cũng muốn quảng cáo của họ xuất hiện trước mắt người dùng.

Quảng cáo bằng lập trình với thuật toán tự động khiến các quảng cáo phải "đấu giá" với nhau để được xuất hiện đầu tiên. Ảnh: Search Engine Journal.

Thuật toán sẽ tự động khiến các quảng cáo phải "đấu giá" với nhau để được xuất hiện đầu tiên, có tên quảng cáo tự động, hay còn được gọi là quảng cáo có lập trình.

"Mỏ vàng" cho tội phạm mạng

Bản chất của những quảng cáo xuất hiện trên các trang web hay ứng dụng di động là một ngành rất phức tạp và không rõ ràng. Mặc dù vậy, đây lại là nơi tạo ra nguồn doanh thu khổng lồ cho người tham gia.

Thống kê của Wired cho thấy mỗi ngày có tới hàng tỷ quảng cáo được đặt trên các trang web và trong ứng dụng.

Các thương hiệu hoặc mạng lưới tiếp thị sẵn sàng trả tiền để quảng cáo của họ được hiển thị và kiếm tiền khi người dùng nhấp hoặc xem chúng. Phần lớn việc này được thực hiện khi người dùng mở một trang web hoặc ứng dụng bất kỳ.

Cuộc tấn công Vastflux khiến 11 triệu điện thoại bị ảnh hưởng. Ảnh: PhoneArena.

Năm 2021, quảng cáo bằng lập trình là một công nghiệp trị giá 418 tỷ USD. Mặc dù vậy, đây cũng là "mỏ vàng" với những kẻ lừa đảo.

Wired dẫn nguồn tin từ các nhà nghiên cứu bảo mật, cho thấy một cuộc tấn công lan rộng mới nhắm vào hệ sinh thái quảng cáo trực tuyến.

Cuộc tấn công được cho là ảnh hưởng đến hàng triệu người, lừa đảo hàng trăm công ty và có khả năng mang lại cho những kẻ đứng sau lợi nhuận lớn.

Theo các nhà nghiên cứu tại Human Security, một công ty tập trung vào giám sát các hoạt động lừa đảo, cuộc tấn công có tên là Vastflux.

Khoảng 11 triệu điện thoại là nạn nhân của Vastflux, trong đó những kẻ tấn công đã giả mạo 1.700 ứng dụng và nhắm mục tiêu vào 120 Publisher - thuật ngữ chỉ các công ty chịu trách nhiệm kết nối phía quảng cáo với người dùng.

Lúc cao điểm, những kẻ tấn công được cho là đã buộc thiết bị người dùng thực hiện tới 12 tỷ lượt hiện quảng cáo ngầm mỗi ngày.

Lúc cao điểm, những kẻ tấn công được cho là đã buộc thiết bị người dùng thực hiện tới 12 tỷ lượt hiện quảng cáo ngầm mỗi ngày. Ảnh: PhoneArena.

Marion Habiby, nhà khoa học dữ liệu tại Human Security và cũng là trưởng nhóm nghiên cứu về vụ việc mô tả Vastflux là một trong những cuộc tấn công tinh vi nhất mà công ty từng thấy và cũng là cuộc tấn công lớn nhất.

"“Khi lần đầu tiên nhận được kết quả về quy mô của cuộc tấn công, tôi đã phải chạy các con số nhiều lần. Rõ ràng là những kẻ lừa đảo được tổ chức rất bài bản và cố gắng để tránh bị phát hiện. Họ muốn đảm bảo rằng cuộc tấn công sẽ diễn ra càng lâu càng tốt để kiếm được càng nhiều tiền nhất có thể”, Habiby nói.

Nhiều lớp ngụy trang

Vastflux lần đầu tiên được phát hiện bởi nhà nghiên cứu Vikas Parthasarathy vào mùa hè năm 2022 trong lúc đang điều tra một mối đe dọa khác.

Habiby cho biết việc cuộc tấn công bao gồm nhiều bước và những kẻ đứng sau Vastflux đã thực hiện một loạt các biện pháp để tránh bị phát hiện.

Đầu tiên, tổ chức đứng sau Vastflux sẽ nhắm mục tiêu vào các ứng dụng phổ biến và cố gắng mua một vị trí đặt quảng cáo trong đó.

Vastflux bằng cách nào đó sẽ chiến thắng "đấu giá" để quảng cáo của mình hiện đầu tiên. Sau đó, những kẻ lừa đảo sẽ chèn một số đoạn mã JavaScript độc hại vào quảng cáo đó để hiện nhiều quảng cáo video xếp chồng lên nhau.

Nói một cách đơn giản, những kẻ tấn công có thể chiếm quyền điều khiển hệ thống quảng cáo. Khi điện thoại người dùng hiển thị nó, thực tế sẽ có tới 25 quảng cáo được đặt chồng lên nhau.

Những kẻ tấn công sẽ được trả tiền cho mỗi quảng cáo ấy, trong khi người dùng không hề hay biết vì chỉ thấy duy nhất một quảng cáo trên màn hình điện thoại.

Hình ảnh minh họa cách tấn công bằng nhiều lớp quảng cáo chạy ẩn của Vastflux. Ảnh: Wired.

Hậu quả, pin điện thoại sẽ cạn nhanh hơn bình thường vì phải xử lý tất cả những quảng cáo gian lận được xếp chồng lên nhau dưới "vỏ bọc" là một quảng cáo thông thường.

Để tránh bị phát hiện, Vastflux sẽ ngưng toàn bộ quá trình tấn công ngay khi lớp quảng cáo "ngụy trang" bị dừng. Điều này khiến rất ít người dùng nhận ra thiết bị của mình đã bị lợi dụng.

Dù rất khó để phát hiện nhưng người dùng vẫn có thể nhận ra thiết bị đang bị ảnh hưởng nhờ vào một số dấu hiệu như thời lượng pin tụt quá nhanh, thống kế sử dụng dữ liệu tăng vọt hay màn hình bất ngờ bật vào thời điểm ngẫu nhiên.

Vào tháng 11/2018, cuộc điều tra gian lận quảng cáo lớn nhất của FBI đã buộc tội 8 người đàn ông chỉ đạo 2 kế hoạch lừa đảo bằng quảng cáo khét tiếng.

Đến năm 2020, Uber thắng một vụ kiện một công ty mà họ thuê để thu hút thêm người cài đặt ứng dụng đã lừa đảo bằng quảng cáo theo cách tương tự.

Trong trường hợp của Vastflux, nạn nhân chịu thiệt hại lớn nhất từ cuộc tấn công này là với những người tham gia vào ngành quảng cáo đang rất phát triển.

“Họ đang cố đánh lừa nhiều nhóm khác nhau trong chuỗi cung ứng, bằng các chiến thuật khác nhau đối phó với từng đối tượng cụ thể", Zach Edwards, quản lý cấp cao tại Human Security cho biết.

Anh Tuấn