Google cho biết gần 40% vụ xâm nhập thành công bắt nguồn từ chiêu trò lừa đảo đánh cắp tên đăng nhập và mật khẩu. Mới đây, các chuyên gia đã phát hiện một chiến dịch phishing tinh vi nhắm vào người dùng Gmail, tận dụng nền tảng hợp pháp Microsoft Dynamics để qua mặt hệ thống bảo mật.
Cụ thể, nạn nhân sẽ nhận email có tiêu đề “New Voice Notification” kèm nút “Listen to Voicemail”. Khi bấm vào, người dùng sẽ bị dẫn tới trang Microsoft Dynamics hợp pháp, nhưng ngay sau đó lại bị chuyển hướng qua một captcha trên tên miền horkyrown.com.
Email lừa đảo nhằm đánh cắp tài khoản Google. (Ảnh: Reddit)
Đây là bước tạo cảm giác an toàn giả, trước khi lừa nạn nhân nhập thông tin trên một trang đăng nhập Gmail giả mạo. Giao diện được làm y hệt bản gốc, đủ sức đánh lừa cả người cảnh giác.
Tất cả dữ liệu từ mật khẩu, mã 2FA, mã dự phòng cho đến email khôi phục đều bị gửi thẳng về máy chủ kẻ gian trong vài giây. Thậm chí mã JavaScript còn được mã hóa kỹ lưỡng, tự động chuyển hướng về Google thật nếu phát hiện người dùng đang kiểm tra bằng công cụ lập trình.
Khi chiếm quyền kiểm soát, tin tặc có thể đổi mật khẩu, khóa tài khoản hoặc khai thác thông tin cá nhân để giao dịch bất hợp pháp. Không chỉ Gmail, toàn bộ hệ sinh thái Google của bạn như Drive, Photos, YouTube cho tới ứng dụng bên thứ ba liên kết đều có thể bị xâm nhập. Điều này đồng nghĩa với việc dữ liệu cá nhân, hình ảnh, video, tài liệu quan trọng hay thậm chí tài khoản tài chính tích hợp đều có nguy cơ bị đánh cắp.
Google cảnh báo các thủ đoạn phổ biến hiện nay gồm email, tin nhắn hay cuộc gọi giả mạo, yêu cầu xác nhận thông tin đăng nhập hoặc dẫn tới trang web giả có giao diện giống hệt Google.
Để tự bảo vệ, người dùng cần cảnh giác với mọi thông báo khẩn cấp, chỉ đăng nhập qua trang chính thức, không nhấp vào liên kết lạ và tuyệt đối không chia sẻ mật khẩu. Google cũng khuyến nghị nên bật xác thực hai bước, thường xuyên kiểm tra lịch sử đăng nhập và thiết bị truy cập để kịp thời phát hiện bất thường.
