Chuyên gia cảnh báo 2 thủ thuật tấn công ứng dụng ngân hàng, thương mại của hacker

BShield

Tại Hội thảo và Triển lãm an toàn không gian mạng Việt Nam 2024, BShield đưa ra báo cáo với hơn 17.400 phản ánh từ người dùng internet về trường hợp lừa đảo trực tuyến trong năm 2023. Trong đó, 91% các vụ lừa đảo trên không gian mạng là lừa đảo tài chính và 60% các nạn nhân đều bị lấy thông tin, đánh cắp tài sản qua điện thoại cá nhân.

Ông Nguyễn Hữu Giáp, Giám đốc sản phẩm BShield, cho biết ngày càng nhiều doanh nghiệp, nhất là khối ngành tài chính ngân hàng cung cấp dịch vụ đến người dùng thông qua ứng dụng di động. Đây là mắt xích quan trọng song chưa được quan tâm, bảo vệ đúng mực. “Các đối tượng lợi dụng người dùng chưa đủ hiểu biết, hàng rào bảo vệ ở ứng dụng còn lỏng lẻo và các công cụ tấn công được rao bán tràn lan để tấn công vào ứng dụng”, ông Giáp cho hay.

Tại sự kiện, đại diện BShield mô phỏng 2 hình thức phổ biến mà người dùng có thể bị hacker “gài bẫy”, điển hình là việc sử dụng phần mềm can thiệp từ xa bằng cách lừa người dùng cài đặt mã độc khai thác lỗ hổng bảo mật. Ứng dụng mã độc theo dõi toàn bộ hoạt động của người dùng, khi người dùng nhập thông tin cũng là lúc tài sản đã nằm trong diện nguy hiểm. Đồng thời mã độc này có khả năng chiếm quyền kiểm soát thiết bị từ xa, dẫn đến các trường hợp hacker tự chuyển tiền ra khỏi tài khoản khi người dùng không để ý.

BShield

BShield cũng cảnh báo một phương thức kỹ thuật khác được dùng để qua mặt hàng rào bảo mật bằng định danh, cũng như các kỹ thuật khác để lấy thông tin định danh. Hai dữ liệu quan trọng nhất trong eKYC là ảnh giấy tờ và khuôn mặt. Theo ông Giáp, kẻ tấn công thường thực hiện cuộc tấn công trung gian MitM, can thiệp vào giữa giao tiếp của người dùng (thường là trên điện thoại) và máy chủ, để đưa dữ liệu deepfake vào xác thực.

Ông Giáp nhận định tại sự kiện Hội thảo và Triển lãm an toàn không gian mạng Việt Nam 2024 rằng việc các doanh nghiệp sử dụng các biện pháp tăng cường lớp bảo mật cho các ứng dụng kinh doanh, thương mại, có liên quan trực tiếp đến dữ liệu, tài sản người dùng là cần thiết.

“Đây cũng có thể được xem là một trong những chiến lược bảo vệ danh tiếng, uy tín và thương hiệu cho doanh nghiệp. Qua đó, giảm thiểu rủi ro tấn công ứng dụng gây tổn thất tài chính, bảo vệ lợi ích cho doanh nghiệp và người dùng”, ông Giáp cho hay.