Thực hư lỗ hổng chiếm đoạt tài khoản Zalo khiến 99% nạn nhân bị lừa

"Lỗ hổng này không để lại bất kỳ dấu vết nào, không cảnh báo… Nạn nhân có thể là bất kỳ ai bạn muốn", tin tặc cho biết trong một bài đăng thu hút sự chú ý của cộng đồng mạng.

Những ngày gần đây, người dùng Zalo lo lắng trước sự việc một hacker công khai rao bán cách chiếm đoạt tài khoản Zalo chỉ bằng một đường link.

Cụ thể, trên diễn đàn trao đổi dữ liệu của hacker tên Raid***, một tài khoản mới lập vào tháng 8/2021 mang tên ilovevng đã đăng bài chào bán lỗ hổng 0-day (Zero day) giúp chiếm quyền kiểm soát bất kỳ tài khoản Zalo Chat hay Zalo Pay nào.

Người này tiết lộ rằng bản thân từng quan sát nhóm bảo mật của VNG (công ty mẹ đang sở hữu Zalo) tại các sự kiện an ninh mạng toàn cầu nên quyết định "thử làm gì đó với Zalo".

Mô tả về lỗ hổng, tin tặc cho biết cần phải gửi một đường link tới nạn nhân thông qua ứng dụng Zalo. "Chỉ cần nạn nhân nhấn vào đường link đó, tài khoản của họ sẽ thuộc về bạn mà không cần phải làm thêm bất kỳ thao tác nào khác", người bán khẳng định.

Nhân vật này cũng cam kết cung cấp mẹo để khi gửi link thì 99% nạn nhân sẽ nhấn vào mà không nghi ngờ gì. "Lỗ hổng này không để lại bất kỳ dấu vết nào, không cảnh báo… Nạn nhân có thể là bất kỳ ai bạn muốn", tin tặc cho biết.

Người mua cũng được hứa hẹn cung cấp video bằng chứng quá trình khai thác lỗ hổng bảo mật nói trên thành công trước khi thanh toán cho tin tặc. Phương thức thanh toán duy nhất được chấp nhận là tiền điện tử.

Những dấu hiệu đáng ngờ

Cũng giống như nhiều bài rao bán dữ liệu khác được đăng tải trên diễn đàn này, chủ đề của thành viên nói trên được khá nhiều người quan tâm chỉ sau một ngày xuất hiện. Trong số này đã có những người liên hệ và nhận được bằng chứng từ người bán.

Tuy nhiên, một thành viên diễn đàn từ năm 2019 lập tức phản hồi rằng quá trình khai thác lỗ hổng đó giống y hệt với lỗi từng được một hacker khác công khai trước đó.

Phản hồi lại yêu cầu công khai bằng chứng, hacker khẳng định chỉ bán cách khai thác lỗ hổng, không phải dữ liệu rò rỉ, vì vậy nếu đưa quá nhiều thông tin lên, phía Zalo có thể vá lỗi trước khi khách hàng của người này kịp đạt được mục đích.

"Lỗ hổng 0-day (Zero day) là những lỗi an ninh của phần mềm mà nhà phát triển chưa phát hiện hoặc bị khai thác khi chưa kịp có phương án khắc phục", người bán lý giải.

Trao đổi với phóng viên Dân trí, bà Vũ Huệ - Đại diện Hãng bảo mật F-Secure tại Việt Nam cho biết cách mà hacker đăng tải bài rao bán này rất "lạ".

"Thông thường, người bán trong diễn đàn sẽ cung cấp thông tin về lỗ hổng bảo mật hoặc ảnh chụp màn hình như một cách để đảm bảo với người mua về mặt hàng rao bán của mình là chính xác. Tuy nhiên trường hợp này không có", bà Huệ cho biết. "Cũng cần cảnh giác vì trên những diễn đàn này có rất nhiều các bài viết lừa đảo hoặc nhằm mục đích lợi ích khác".

Theo chuyên gia này, ở ngay đoạn đầu quảng cáo của tin tặc, ta có thể thấy tin tặc viết là "3-4 lỗ hổng khác nhau", trong khi nếu là lỗ hổng được xác định thì phải nêu cụ thể là 3 hoặc 4.

Đồng thời trong bài viết có tiết lộ những thông tin không cần thiết như "Tôi biết nhiều kỹ sư bảo mật của VNG chơi CTF,…" Điều này có thể cho thấy người rao bán này tuổi còn trẻ và không có kinh nghiệm.

Ở gần cuối bài đăng, người bán này nói rằng chuỗi khai thác đó không phải là lỗ hổng, ngược lại hoàn toàn nội dung ở đầu bài viết là điều còn khó hiểu hơn.

"Những thông tin trên dẫn tới phán đoán của chúng tôi về người bán là người mới và không tự tin về những phát hiện của mình", bà Huệ chia sẻ.

Dẫu có nhiều điểm bất thường, song theo cảnh báo từ nhiều chuyên gia bảo mật, hiện chưa thể phủ nhận thông tin mà hacker đưa ra là đúng hay sai, cũng như sự tồn tại của lỗ hổng bảo mật được kẻ này nhắc tới.

Có cần lo lắng trước lỗ hổng khiến 99% người dùng bị đánh lừa?

Trong khi chủ đề rao bán này vẫn đang tồn tại và được các thành viên của diễn đàn hacker quan tâm, phóng viên Dân trí đã cố gắng liên lạc với Zalo để tìm hiểu thực hư vấn đề. Tuy nhiên, đại diện truyền thông của đơn vị cho rằng đây chỉ là tin đồn, và từ chối đưa ra bình luận.

Tham khảo ý kiến từ một hacker mũ trắng giấu tên, chúng tôi được biết phương pháp được tin tặc sử dụng để chiếm quyền điều khiển thiết bị có thể được mô tả như sau:

Đầu tiên, tin tặc thường nhắm tới mục tiêu là hệ điều hành trên thiết bị di động, như lấy quyền truy cập root trên Android, rồi sau đó mới khai thác payload có thể ăn cắp thông tin đăng nhập (cookie) của ứng dụng trò chuyện Zalo.

Điều này có thể được thực hiện trên cả Facebook và gần như bất kỳ ứng dụng nào nếu bạn có quyền truy cập vào thiết bị dưới dạng root, như một ứng dụng gián điệp (trojan) để gửi thông tin đăng nhập cho kẻ tấn công.

Chuyên gia này cảnh báo nếu nội dung rao bán của tin tặc này là có thật, thì nó sẽ chỉ ảnh hưởng tới người dùng Zalo trên điện thoại chạy hệ điều hành Android.

Còn đối với hệ điều hành iOS phiên bản mới nhất thì hiện chưa có lỗ hổng nào được biết đến có khả năng "bẻ khóa và giành quyền truy cập root", trừ khi người dùng chủ động jailbreak thiết bị của mình (PV: jailbreak - thuật ngữ chỉ cách mang đến khả năng truy cập từ gốc cho người dùng và thực hiện những thay đổi mà vốn dĩ chỉ nhà sản xuất mới làm được).

Để phòng tránh các nguy cơ dính lỗ hổng bảo mật gây mất dữ liệu cá nhân, chuyên gia bảo mật khuyến cáo người dùng cần đặc biệt lưu ý nâng cấp phiên bản hệ điều hành mới nhất cho thiết bị.

Ngoài ra, cũng nên sử dụng Firewall (tường lửa) để giám sát nguồn gốc và điểm đến của các kết nối ứng dụng. Song song với đó là cài đặt phần mềm bảo mật thiết bị trên máy tính hoặc máy điện thoại của mình, cũng như sử dụng dịch vụ Internet an toàn để bảo vệ các truy cập ra Internet.