5 hình thức lừa đảo phổ biến hacker dùng để vượt qua xác thực hai yếu tố

Xác thực hai yếu tố (2FA) từ lâu đã được coi là một phương pháp bảo vệ hữu hiệu, giúp người dùng tăng cường an ninh cho các tài khoản trực tuyến. Tuy nhiên, trong bối cảnh các cuộc tấn công mạng ngày càng phức tạp, sự an toàn của phương pháp này đang bị đe dọa bởi những kẻ tấn công với nhiều thủ đoạn tinh vi. Bài viết này sẽ tiết lộ 5 hình thức lừa đảo phổ biến mà tin tặc thường sử dụng để đánh bại xác thực hai yếu tố, từ đó, giúp bạn nâng cao cảnh giác và có cách phòng ngừa hiệu quả.

1. Tấn công bằng phương thức lừa đảo: Man-in-the-Middle (Người trung gian)

Kết nối giữa người dùng và tài khoản trực tuyến thường được bảo vệ bằng giao thức bảo mật Transport Layer Security (TLS) an toàn. Nó được thiết kế để đảm bảo không ai có thể tấn công vào kết nối này. Tuy vậy, bọn hacker vẫn có thể thực hiện các phương thức tấn công nguy hiểm như Man-in-the-Middle (MitM). Kỹ thuật tấn công này xảy ra khi người dùng kết nối đến mạng Wifi công cộng không bảo mật. Tin tặc có thể theo dõi, cài đặt phần mềm gián điệp để ghi lại mọi hoạt động trên thiết bị của nạn nhân và chặn thông tin trao đổi giữa người dùng với dịch vụ mà họ đang truy cập, bao gồm cả thông tin đăng nhập và mã xác thực hai yếu tố.

2. Lừa người dùng tải phần mềm độc hại

Một biến thể của kỹ thuật MitM là sử dụng phần mềm độc hại nhúng trực tiếp vào trình duyệt. Mã độc chờ cho đến khi người dùng đăng nhập vào ngân hàng, nhập 2FA, sau đó thao túng giao dịch chuyển tiền ở chế độ nền. 

Một số phần mềm độc hại dạng này có thể kể đến là Carberp, Emotet, Spyeye và Zeus, Malware.

3. Kỹ thuật Social Engineering (Tấn công phi kỹ thuật)

Kỹ thuật Social Engineering là phương pháp mà tin tặc sử dụng để thao túng tâm lý con người, nhằm thu thập thông tin cá nhân. Chúng có thể giả mạo là nhân viên hỗ trợ kỹ thuật, bạn bè hoặc đồng nghiệp để gọi điện, nhắn tin yêu cầu người dùng cung cấp mã xác thực 2FA hoặc thông tin nhạy cảm khác. Chúng sử dụng các chiến thuật tâm lý để tạo cảm giác khẩn cấp hoặc tin tưởng, khiến nạn nhân bị mất cảnh giác và lập tức làm theo lời của chúng. Khi có được thông tin đăng nhập và mã xác thực 2FA, chúng có thể đăng nhập vào tài khoản trái phép và thực hiện các hành vi đánh cắp tài sản hay thông tin cá nhân.

4. SIM Swapping (Hoán đổi SIM)

SIM swapping là một kỹ thuật mà tin tặc sử dụng để chiếm quyền kiểm soát số điện thoại của nạn nhân. Họ đánh cắp thông tin cá nhân, như số CMND, để yêu cầu nhà mạng chuyển đổi số điện thoại của nạn nhân sang thẻ SIM do chúng kiểm soát. Sau khi chiếm đoạt SIM, nếu tài khoản trực tuyến của bạn sử dụng phương thức xác thực 2FA qua số điện thoại bằng OTP, chúng có thể nhận mã xác thực gửi đến số điện thoại của nạn nhân và truy cập vào các tài khoản trực tuyến, đổi thông tin tài khoản đã đăng ký bao gồm tài khoản ngân hàng và email. 

5. Đánh cắp Cookie xác thực

Cookie xác thực là một tệp nhỏ được lưu trữ trên thiết bị của người dùng, thường chứa dữ liệu đăng nhập đã được mã hóa, giữ cho tài khoản luôn đăng nhập vào các trang web giúp người dùng không phải nhập lại thông tin mỗi lần truy cập. Hiện nay có nhiều dịch vụ cung cấp xác thực hai yếu tố (2FA) nhưng chỉ yêu cầu người dùng nhập mã xác thực trong lần đăng nhập đầu tiên và lưu thông tin cho các lần đăng nhập sau thông qua cookie xác thực. Điều này tuy mang lại sự tiện lợi và nhanh chóng trong xác thực, nhưng lại tiềm ẩn rủi ro bảo mật cao. Nếu tin tặc chiếm đoạt được những cookie này, chúng có thể giải mã và sử dụng để truy cập tài khoản mà không cần nhập mã xác thực lại.  

Giải pháp tăng cường bảo mật tối ưu

Mặc dù xác thực hai yếu tố vẫn là một lớp bảo vệ mạnh mẽ, rõ ràng các phương thức như OTP qua điện thoại hay phần mềm xác thực có thể không đủ an toàn trước những mối đe dọa ngày càng tinh vi. Để bảo vệ tài khoản của bạn trước những cuộc tấn công này, một lựa chọn đáng tin cậy hơn là sử dụng YubiKey – khóa bảo mật vật lý được phát triển bởi Yubico.

Khóa bảo mật Yubico YubiKey cung cấp một lớp bảo mật vững chắc bằng cách yêu cầu xác thực vật lý mỗi khi đăng nhập, gần như loại bỏ hoàn toàn nguy cơ bị tấn công qua các phương pháp như lừa đảo (phishing) hay đánh cắp cookie. Đặc biệt, YubiKey hoạt động tốt với nhiều dịch vụ trực tuyến, từ tài khoản cá nhân như Google, Facebook cho đến các dịch vụ tài chính.

Để tăng cường bảo mật cho tài khoản trực tuyến của mình, hãy cân nhắc tích hợp khóa bảo mật YubiKey vào quy trình xác thực hai yếu tố. Thiết bị này giúp bạn ngăn chặn hiệu quả các cuộc tấn công từ tin tặc, mang lại sự an toàn cao hơn trong quá trình sử dụng dịch vụ trực tuyến.