Chỉ cần một lần lỡ nhấp chuột vào đường dẫn được tạo có chủ đích, người dùng có thể bị tin tặc tấn công và chiếm tài khoản Facebook mà không vướng thêm trở ngại nào.
 |
| Một loạt lệnh thực thi tự động sau cú nhấp chuột sẽ khiến người dùng mất tài khoản Facebook |
Mới đây, một nhà nghiên cứu đã phát hiện ra lỗ hổng bảo mật nghiêm trọng giả mạo yêu cầu liên trang (CSRF) ở hầu hết các nền tảng truyền thông xã hội phổ biến hiện nay, cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản Facebook bằng cách lừa nạn nhân nhấp chuột vào một đường dẫn.
Nhà nghiên cứu sử dụng nickname Samm0uda trên mạng đã phát hiện lỗ hổng sau khi nhận thấy một lỗi ở điểm cuối kết nối (endpoint - phần kết thúc của đường dẫn) có thể được sử dụng để bỏ qua bảo vệ CSRF rồi lấy tài khoản của nạn nhân.
Tất cả những gì kẻ tấn công cần là lừa nạn nhân nhấp chuột vào một đường dẫn đặc biệt được tạo ra từ link của Facebook. Đường dẫn này được thiết kế để thực hiện nhiều lệnh khác nhau như đăng bất kỳ điều gì lên dòng thời gian Facebook, thay đổi hoặc xóa ảnh đại diện, thậm chí xóa luôn tài khoản.
Việc chiếm trọn quyền kiểm soát tài khoản của nạn nhân hay lừa họ xóa account Facebook đòi hỏi nỗ lực từ phía kẻ tấn công bởi cơ chế bảo mật yêu cầu nhập mật khẩu.
Để làm được điều này, nhà nghiên cứu ẩn danh cho rằng tin tặc cần lừa cho nạn nhân nhấp chuột vào hai đường dẫn khác nhau, một trong số đó yêu cầu nhập email, số điện thoại và link còn lại để xác thực. “Vì các endpoint thông thường được sử dụng để thêm email hay số điện thoại không có tham số ‘tiếp theo’ để chuyển hướng người dùng sau một lệnh yêu cầu thành công”, người này cho biết.
Tuy vậy, nhà nghiên cứu vẫn chiếm quyền toàn bộ một tài khoản với đường dẫn duy nhất khi tìm được endpoint chứa tham số “Tiếp theo” (Next) rồi ủy quyền cho một ứng dụng khả nghi thay mặt nạn nhân, đoạt lấy token truy cập Facebook.
Với token truy cập này, một chuỗi lệnh tự động thêm email của kẻ tấn công vào tài khoản Facebook nạn nhân, mang về quyền kiểm soát đầy đủ sau khi cài lại mật khẩu và “đá” chủ nhân đích thực khỏi đăng nhập.
Quá trình chiếm tài khoản được thực hiện qua nhiều bước, nhưng với một cú nhấp chuột vào đường link tấn công có thể mở đường cho bất kỳ ai tấn công “chỉ trong nháy mắt”.
Tất nhiên, tỷ lệ thành công sẽ giảm xuống nếu người dùng sử dụng phương thức xác thực hai lớp, ngăn tin tặc đăng nhập được vào tài khoản nếu không nhập đúng mã 6 số hiển thị trên thiết bị di động cá nhân.
Theo THN, Samm0uda đã báo cáo chi tiết về phát hiện của mình với Facebook từ ngày 26.1 và hãng nhanh chóng xử lý vấn đề, đồng thời trao cho người này 25.000 USD theo đúng điều khoản trong chương trình Săn lỗi nhận thưởng của hãng.
Anh Quân (thanhnien)
