Buzz
Dù đã ngăn chặn hàng nghìn cuộc tấn công từ các trang web giả mạo sử dụng bot OTP, nhưng đó chỉ là phần nhỏ của một đường lối lừa đảo mới gần đây.
Mã OTP (Mật khẩu Dùng Một Lần) là một phương tiện trong việc xác thực 2 yếu tố (2FA) nhằm tăng cường bảo mật cho các tài khoản trực tuyến. Mã này thường được hệ thống gửi qua tin nhắn (qua số điện thoại đăng ký trước), email hoặc ứng dụng để người dùng có thêm một tầng bảo vệ cho tài khoản dù thông tin đăng nhập đã bị rò rỉ. Mã này chỉ dùng một lần và được cấp mới liên tục, có thời gian khả dụng rất ngắn (khoảng 60 giây hoặc vài phút tùy hệ thống).
Trước đây được xem là phương thức xác thực an toàn, nhưng gần đây, các chuyên gia bảo mật phát hiện ra một dạng bot OTP mới, khiến cho kẻ lừa đảo có thể sử dụng những phương tiện tinh vi để lừa người dùng tiết lộ mã OTP, từ đó vượt qua biện pháp bảo vệ 2FA.
Theo đó, bot OTP là một công cụ mà kẻ lừa đảo sử dụng để ngăn chặn mã OTP thông qua tấn công không kỹ thuật. Kẻ tấn công thường cố gắng đánh cắp thông tin đăng nhập, sau đó truy cập vào tài khoản và kích hoạt việc gửi mã OTP đến điện thoại của nạn nhân. Kế tiếp, bot OTP sẽ tự động gọi tới nạn nhân, giả vờ là nhân viên của một tổ chức đáng tin cậy, sử dụng kịch bản hội thoại đã được lập trình sẵn để thuyết phục 'con mồi' tiết lộ mã OTP. Khi kẻ tấn công nhận được mã OTP qua bot, họ có thể sử dụng để truy cập trái phép vào tài khoản của nạn nhân.
Với phương thức này, kẻ lừa đảo ưu tiên sử dụng cuộc gọi thoại hơn là tin nhắn vì nạn nhân thường phản hồi nhanh chóng hơn. Bot OTP được thiết lập sao chép giọng điệu và tính khẩn trương của con người trong cuộc gọi nhằm tạo ra sự đáng tin cậy và tăng tính thuyết phục.
Nghiên cứu từ hãng bảo mật Kaspersky đã chỉ ra sức ảnh hưởng đáng kể của các cuộc tấn công phishing và bot OTP. Trong thời gian từ ngày 1/3 đến ngày 31/5, các giải pháp bảo mật đã ngăn chặn 653.088 lượt truy cập vào các trang web được tạo bởi bộ công cụ phishing nhằm vào các ngân hàng. Dữ liệu đánh cắp từ những trang web này thường được sử dụng trong các cuộc tấn công bằng bot OTP. Trong cùng thời kỳ, Kaspersky cũng đã phát hiện ra 4.721 trang web phishing được tạo ra bởi các bộ công cụ nhằm mục đích vượt qua xác thực hai yếu tố theo thời gian thực.
Theo bà Olga Svistunova, một chuyên gia bảo mật của Kaspersky: 'Tấn công bằng kỹ thuật xã hội được xem là một hình thức lừa đảo vô cùng tinh vi, đặc biệt là với sự xuất hiện của bot OTP có khả năng mô phỏng các cuộc gọi từ các đại diện của các dịch vụ một cách hợp pháp. Để luôn đề phòng, điều quan trọng là phải duy trì sự cẩn trọng và tuân thủ các biện pháp bảo mật'.
Một trong những lý do khiến số lượng bot OTP tăng lên là do chúng được cung cấp dưới dạng dịch vụ và dễ dàng mua bán trên thị trường đen của các tin tặc. Chúng thường đi kèm với nhiều gói đăng ký có các tính năng khác nhau, bao gồm cả khả năng tùy chỉnh tính năng của bot để mạo danh tổ chức, sử dụng nhiều ngôn ngữ khác nhau, chọn giọng nam hoặc nữ... Thậm chí còn giả mạo số điện thoại của các tổ chức, doanh nghiệp uy tín để đánh lừa nạn nhân.
