Cướp tài khoản Facebook chỉ bằng một cú nhấp chuột

Theo dõi Báo Gia Lai trên Google News

Chỉ cần một lần lỡ nhấp chuột vào đường dẫn được tạo có chủ đích, người dùng có thể bị tin tặc tấn công và chiếm tài khoản Facebook mà không vướng thêm trở ngại nào.


 

Một loạt lệnh thực thi tự động sau cú nhấp chuột sẽ khiến người dùng mất tài khoản Facebook
Một loạt lệnh thực thi tự động sau cú nhấp chuột sẽ khiến người dùng mất tài khoản Facebook



Mới đây, một nhà nghiên cứu đã phát hiện ra lỗ hổng bảo mật nghiêm trọng giả mạo yêu cầu liên trang (CSRF) ở hầu hết các nền tảng truyền thông xã hội phổ biến hiện nay, cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản Facebook bằng cách lừa nạn nhân nhấp chuột vào một đường dẫn.

Nhà nghiên cứu sử dụng nickname Samm0uda trên mạng đã phát hiện lỗ hổng sau khi nhận thấy một lỗi ở điểm cuối kết nối (endpoint - phần kết thúc của đường dẫn) có thể được sử dụng để bỏ qua bảo vệ CSRF rồi lấy tài khoản của nạn nhân.

Tất cả những gì kẻ tấn công cần là lừa nạn nhân nhấp chuột vào một đường dẫn đặc biệt được tạo ra từ link của Facebook. Đường dẫn này được thiết kế để thực hiện nhiều lệnh khác nhau như đăng bất kỳ điều gì lên dòng thời gian Facebook, thay đổi hoặc xóa ảnh đại diện, thậm chí xóa luôn tài khoản.

Việc chiếm trọn quyền kiểm soát tài khoản của nạn nhân hay lừa họ xóa account Facebook đòi hỏi nỗ lực từ phía kẻ tấn công bởi cơ chế bảo mật yêu cầu nhập mật khẩu.

Để làm được điều này, nhà nghiên cứu ẩn danh cho rằng tin tặc cần lừa cho nạn nhân nhấp chuột vào hai đường dẫn khác nhau, một trong số đó yêu cầu nhập email, số điện thoại và link còn lại để xác thực. “Vì các endpoint thông thường được sử dụng để thêm email hay số điện thoại không có tham số ‘tiếp theo’ để chuyển hướng người dùng sau một lệnh yêu cầu thành công”, người này cho biết.

Tuy vậy, nhà nghiên cứu vẫn chiếm quyền toàn bộ một tài khoản với đường dẫn duy nhất khi tìm được endpoint chứa tham số “Tiếp theo” (Next) rồi ủy quyền cho một ứng dụng khả nghi thay mặt nạn nhân, đoạt lấy token truy cập Facebook.

Với token truy cập này, một chuỗi lệnh tự động thêm email của kẻ tấn công vào tài khoản Facebook nạn nhân, mang về quyền kiểm soát đầy đủ sau khi cài lại mật khẩu và “đá” chủ nhân đích thực khỏi đăng nhập.

Quá trình chiếm tài khoản được thực hiện qua nhiều bước, nhưng với một cú nhấp chuột vào đường link tấn công có thể mở đường cho bất kỳ ai tấn công “chỉ trong nháy mắt”.

Tất nhiên, tỷ lệ thành công sẽ giảm xuống nếu người dùng sử dụng phương thức xác thực hai lớp, ngăn tin tặc đăng nhập được vào tài khoản nếu không nhập đúng mã 6 số hiển thị trên thiết bị di động cá nhân.

Theo THN, Samm0uda đã báo cáo chi tiết về phát hiện của mình với Facebook từ ngày 26.1 và hãng nhanh chóng xử lý vấn đề, đồng thời trao cho người này 25.000 USD theo đúng điều khoản trong chương trình Săn lỗi nhận thưởng của hãng.

Anh Quân (thanhnien)

Có thể bạn quan tâm

Anh điều tra Meta về điều khoản sử dụng nội dung phát triển AI

Anh điều tra Meta về điều khoản sử dụng nội dung phát triển AI

(GLO)- Ngày 30-10, Anh thông báo mở cuộc điều tra đối với Meta, liên quan đến các điều khoản có thể cho phép tập đoàn này thu thập nội dung từ website của các nhà xuất bản để phát triển sản phẩm trong đó có trí tuệ nhân tạo (AI), mà không bảo đảm quyền lựa chọn của bên cung cấp nội dung.

iPhone Duo bị phàn nàn: Màn hình nứt, bản lề kẹt, phần mềm chưa tối ưu

iPhone Duo bị phàn nàn: Màn hình nứt, bản lề kẹt, phần mềm chưa tối ưu

(GLO)- Chỉ vài ngày sau khi lên kệ, iPhone Duo - mẫu điện thoại gập đầu tiên của Apple - đã nhận nhiều phản ánh về màn hình nứt gần bản lề, lỗi hiển thị và khả năng chống bụi. Thiết bị còn bị đánh giá là khá nặng, camera thiếu ống kính tele và phần mềm chưa tương thích tốt với nhiều ứng dụng.

Lý do iPhone Duo có giá cao tại Việt Nam

Lý do iPhone Duo có giá cao tại Việt Nam

Với mức giá khởi điểm lên tới 65 triệu đồng, chiếc điện thoại màn hình gập đầu tiên của Apple thiết lập mặt bằng giá kỷ lục tại thị trường trong nước, phù hợp chiến lược định vị phân khúc siêu cao cấp của hãng.

Lỗ hổng PHP do AI phát hiện khiến nhiều website trên thế giới tạm ngừng hoạt động

Lỗ hổng PHP do AI phát hiện khiến nhiều website trên thế giới tạm ngừng hoạt động

(GLO)- Nhiều website chính phủ và doanh nghiệp trên thế giới đã tạm ngừng hoạt động để phòng ngừa nguy cơ tấn công mạng, sau khi các nhà nghiên cứu sử dụng trí tuệ nhân tạo (AI) phát hiện những lỗ hổng PHP nghiêm trọng. Ngôn ngữ lập trình này được sử dụng rộng rãi trong các dịch vụ trực tuyến.

null