Người dùng iPhone và Android toàn cầu bị hacker tấn công

Cảnh báo khẩn cấp cho người dùng iPhone và Android trên toàn cầu, khi các nhà nghiên cứu bảo mật vừa phát hiện ra một nền tảng lừa đảo "khủng" mang tên "Lucid", đang được tội phạm mạng sử dụng để tấn công người dùng tại 88 quốc gia. Điều đáng báo động là "Lucid" lợi dụng các lỗ hổng bảo mật của iMessage và RCS để gửi tin nhắn lừa đảo, vượt mặt cả các bộ lọc SMS truyền thống.

"Lucid" hoạt động theo mô hình Phishing-as-a-Service (PhaaS), được điều hành bởi một nhóm tin tặc người Trung Quốc có tên XinXin. Chúng sử dụng các "trang trại" thiết bị iPhone và Android quy mô lớn để phát tán tin nhắn lừa đảo. Theo ước tính, mỗi ngày có hơn 100.000 tin nhắn độc hại được gửi đi.

Một "trang trại" điện thoại được nền tảng Lucid dùng để tấn công qua tin nhắn.

Điểm đặc biệt nguy hiểm của "Lucid" là khả năng khai thác các lỗ hổng trong giao thức mã hóa đầu cuối (E2EE) của iMessage và RCS. Điều này giúp tin nhắn lừa đảo dễ dàng "lọt lưới" hơn so với SMS thông thường. Các tin nhắn này thường dẫn dụ người dùng truy cập vào các trang web lừa đảo giả mạo, nơi chúng thu thập thông tin cá nhân và tài chính, bao gồm cả số thẻ tín dụng.

Để tăng độ tin cậy, các tin nhắn lừa đảo thường giả mạo các thông báo thanh toán phí đường bộ hoặc các dịch vụ khác. Trên iMessage, chúng thậm chí yêu cầu người nhận trả lời tin nhắn, nhằm vượt qua các biện pháp bảo mật của Apple.

Trước sự tinh vi của các chiến dịch lừa đảo này, các chuyên gia bảo mật đưa ra lời khuyên quan trọng cho người dùng:

- Tuyệt đối KHÔNG nhấp vào các đường dẫn lạ, đáng ngờ nhận được qua tin nhắn (iMessage, RCS, SMS, Zalo, Messenger...) từ những người gửi không xác định hoặc không rõ danh tính.

- Cẩn trọng với các tin nhắn yêu cầu hành động gấp: Nếu nhận được tin nhắn thông báo nợ cước, yêu cầu thanh toán phí, xác minh tài khoản, thông báo trúng thưởng... hãy luôn kiểm tra lại thông tin một cách độc lập.

- Thay vì làm theo hướng dẫn trong tin nhắn lạ, hãy chủ động liên hệ với ngân hàng, nhà mạng, tổ chức được đề cập qua số điện thoại hoặc trang web chính thức của họ. Hoặc tự đăng nhập vào tài khoản dịch vụ của mình để kiểm tra thông tin.

Sự xuất hiện của các nền tảng như "Lucid" cho thấy tội phạm mạng đang ngày càng chuyên nghiệp hóa và không ngừng tìm cách lợi dụng các công nghệ mới để thực hiện hành vi lừa đảo.