12 Cách để Hacker có thể Hack điện thoại của bạn

Từ những cuộc tấn công được lên kế hoạch sẵn, đến các cuộc đánh cắp dữ liệu từ nhà cung cấp phần mềm, phần cứng. Tất cả những thứ trên đều nhắm đến việc chiếm lấy dữ liệu của bạn, vậy nên nếu bạn thấy mình là một trong 12 cách hack điện thoại dưới đây thì nên cẩn thận đi nhé.

1. Phần mềm gián điệp (Spy apps)

Có rất nhiều ứng dụng giám sát điện thoại được thiết kế để bí mật theo dõi vị trí và liên lạc của ai đó. Những ứng dụng như vậy có thể được sử dụng để xem tin nhắn, email, lịch sử internet và ảnh từ xa; ghi nhật ký các cuộc gọi điện thoại và vị trí GPS; một số phần mềm thậm chí còn có thể chiếm đoạt micrô của điện thoại để ghi lại các cuộc trò chuyện. Về cơ bản, đây là hầu hết mọi thứ mà hacker có thể muốn làm với điện thoại của bạn.

Và đây không chỉ là lời nói suông. Khi pentester nghiên cứu các ứng dụng gián điệp trên điện thoại vào năm 2013, họ nhận thấy các ứng dụng đó có thể làm mọi thứ mà chúng muốn. Tệ hơn nữa, các ứng dụng này có thể được cài đặt dễ dàng bởi bất cứ ai, và mọi hành động của người dùng đều sẽ bị theo dõi.

Chester Wisniewski cho biết: “Không có quá nhiều dấu hiệu để nhận biết phần mềm gián điệp – bạn có thể thấy nhiều lưu lượng truy cập internet hơn trên hóa đơn của mình hoặc thời lượng pin của bạn có thể ngắn hơn bình thường vì các ứng dụng đó đang báo cáo lại cho bên thứ ba”.

Khả năng xảy ra

Các ứng dụng gián điệp có sẵn trên Google Play, cũng như các cửa hàng không chính thức dành cho ứng dụng iOS và Android, giúp bất kỳ ai có quyền truy cập vào điện thoại của bạn đều có thể tải chúng xuống một cách dễ dàng.

Cách bảo vệ bản thân

2. Tin nhắn lừa đảo (phishing messages)

Cho dù đó là một tin nhắn tự xưng là từ một trình theo dõi liên hệ coronavirus hay một người bạn khuyên bạn nên xem bức ảnh này trước khi ngủ, thì các tin nhắn SMS chứa các liên kết lừa đảo nhằm mục đích thu thập thông tin nhạy cảm (còn được gọi là phishing hoặc “smishing”) vẫn sẽ tấn công bạn.

Việc mọi người thường xuyên kiểm tra email cũng tạo ra cơ hội để những kẻ lừa đảo có thể tấn công bạn.

Điện thoại Android cũng có thể trở thành mồi ngon của các tin nhắn có link tải xuống ứng dụng độc hại (Cách lừa đảo tương tự không phổ biến đối với iPhone chưa được bẻ khoá, vì bạn không thể tải xuống ứng dụng từ bất kỳ đâu ngoại trừ App Store.). Tuy nhiên, Android sẽ cảnh báo bạn khi bạn cố tải xuống một ứng dụng không chính thức và yêu cầu bạn cho phép cài đặt ứng dụng đó – đừng bỏ qua cảnh báo này.

Các ứng dụng độc hại như vậy có thể tiết lộ dữ liệu điện thoại của người dùng hoặc được thiết kế để lấy cắp thông tin đăng nhập từ các ứng dụng mục tiêu – ví dụ: ngân hàng hoặc ứng dụng email của người dùng.

Khả năng xảy ra

Mặc dù mọi người đã học được cách đề phòng trước những email yêu cầu họ “nhấp để xem video vui nhộn này!”, Phòng thí nghiệm bảo mật Kaspersky lưu ý rằng người dùng có xu hướng ít cảnh giác hơn khi sử dụng điện thoại của mình.

Cách bảo vệ bản thân

3. Truy cập trái phép vào tài khoản iCloud hoặc Google

Tài khoản iCloud hoặc Google bị tấn công sẽ cung cấp cho hacker quyền truy cập vào một lượng lớn thông tin được sao lưu từ điện thoại của bạn – ảnh, danh bạ, vị trí hiện tại, tin nhắn, nhật ký cuộc gọi và trong trường hợp mật khẩu iCloud, hoặc mật khẩu đã lưu vào tài khoản email, trình duyệt và các ứng dụng khác.

Tội phạm mạng có thể không tìm thấy nhiều giá trị trong những bức ảnh thông thường – không giống như những bức ảnh k.hỏa t.hân của những người nổi tiếng, tuy nhiên sẽ có thể dẫn đến việc tài khoản và nội dung của bạn bị bắt làm “con tin kỹ thuật số” trừ khi nạn nhân phải trả tiền chuộc.

Ngoài ra, tài khoản Google bị lộ, cũng có nghĩa là Gmail bị bẻ khóa, tin tặc sẽ có được email chính của rất nhiều người dùng liên lạc với bạn.

Việc có quyền truy cập vào một email chính có thể dẫn đến việc tấn công theo hiệu ứng domino đối với tất cả các tài khoản được liên kết – từ tài khoản Facebook đến tài khoản nhà cung cấp dịch vụ di động của bạn, mở đường cho hành vi phishing bằng danh tính của bạn sẽ ảnh hưởng đến những người xung quanh bạn.

Khả năng xảy ra

“Đây là một rủi ro lớn. Tất cả những gì kẻ tấn công cần là một địa chỉ email, chứ không phải là truy cập vào điện thoại cũng như số điện thoại của bạn”. Nếu bạn tình cờ sử dụng tên của bạn trong email chính để đăng ký iCloud / Google và một mật khẩu yếu kết hợp thông tin nhận dạng cá nhân, thì sẽ không khó cho một hacker có thể dễ dàng thu thập những thông tin đó từ mạng xã hội hoặc công cụ tìm kiếm.

Cách bảo vệ bản thân

4. Hack Bluetooth

Bất kỳ kết nối không dây nào cũng có thể dễ bị tấn công – và vào đầu năm nay, các nhà nghiên cứu bảo mật đã tìm thấy một lỗ hổng trong các thiết bị Android 9 trở lên cho phép tin tặc bí mật kết nối qua Bluetooth, sau đó thu thập dữ liệu trên thiết bị. (Trong các thiết bị Android 10, cuộc tấn công sẽ làm hỏng Bluetooth, khiến kết nối không thể thực hiện được.)

Mặc dù lỗ hổng bảo mật đã được vá trong các bản cập nhật bảo mật ngay sau đó, nhưng những kẻ tấn công có thể hack kết nối Bluetooth của bạn thông qua các lỗ hổng khác – hoặc bằng cách lừa bạn ghép nối với thiết bị của họ bằng cách đặt tên khác cho bluetooth (như ‘AirPods’ hoặc một cái tên phổ biến khác ). Và một khi được kết nối, thông tin cá nhân của bạn sẽ gặp rủi ro.

Khả năng xảy ra

Dmitry Galov, nhà nghiên cứu bảo mật tại Kaspersky cho biết: “Khá thấp, trừ khi đó là một cuộc tấn công có chủ đích”. “Ngay cả như vậy, thì cũng cần rất nhiều yếu tố phải kết hợp với nhau để có thể thực hiện được.”

Cách bảo vệ bản thân

5. Đổi SIM

Tội phạm mạng có thể yêu cầu các nhà cung cấp dịch vụ di động đóng giả là khách hàng hợp pháp đã bị khóa tài khoản. Bằng cách cung cấp thông tin cá nhân bị đánh cắp, họ có thể chuyển số điện thoại sang thiết bị của riêng họ và sử dụng số điện thoại đó để chiếm đoạt tài khoản trực tuyến củdùnga người . Chẳng hạn, trong một loạt các vụ hack của Instagram, tin tặc đã sử dụng tên đăng nhập đã biết để yêu cầu thay đổi mật khẩu và chặn các xác thực đa yếu tố được gửi đến số điện thoại bị đánh cắp. Mục đích của lũ tội phạm này là đòi tiền chuộc hoặc, trong trường hợp là những tài khoản có giá trị cao, sẽ bị bán trên các thị trường ngầm.

Trên hết, các nhà nghiên cứu phát hiện ra rằng 5 đại diện của các nhà cung cấp dịch vụ lớn đã xác nhận tỉ lệ người dùng đưa ra thông tin sai là rất cao (chẳng hạn như địa chỉ thanh toán hoặc mã zip).

Khả năng xảy ra

Galov cho biết: “Hiện nay, việc hoán đổi SIM đặc biệt phổ biến ở Châu Phi và Châu Mỹ Latinh. “Nhưng chúng tôi cũng biết về các trường hợp này từ các quốc gia khác nhau trên toàn thế giới.”

Cách bảo vệ bản thân

6. Hack camera điện thoại

Khi cuộc gọi điện video ngày càng trở nên phổ biến đối với công việc và kết nối gia đình, thứ gì càng nổi tiếng thì càng thu hút người khác, camera chính là ví dụ điển hình nhất. Một lỗi nhỏ ứng dụng Camera trên Android sẽ cho phép những kẻ tấn công quay video, đánh cắp ảnh và dữ liệu định vị địa lý của hình ảnh, trong khi các ứng dụng độc hại có quyền truy cập vào ứng dụng máy ảnh của bạn cũng có thể cho phép tội phạm mạng chiếm đoạt máy ảnh của bạn.

Khả năng xảy ra

Hack camera điện thoại ít phổ biến hơn so với hack webcam trên máy tính. Cách đơn giản nhất là dùng saycheese chờ người dùng click vào cho phép.

Cách bảo vệ bản thân

7. Ứng dụng yêu cầu quá nhiều quyền

Trong khi nhiều ứng dụng yêu cầu quá nhiều quyền cho mục đích thu thập dữ liệu, thì một số ứng dụng còn nguy hiểm hơn – đặc biệt nếu chúng được tải xuống từ các cửa hàng không chính thức, chúng có thể yêu cầu quyền truy cập xâm nhập vào bất kỳ thứ gì từ dữ liệu vị trí đến thư viện ảnh của bạn.

Theo nghiên cứu của Kaspersky, nhiều ứng dụng độc hại vào năm 2020 lợi dụng quyền truy cập Accessibility Service, một chế độ nhằm tạo điều kiện sử dụng điện thoại thông minh cho người khuyết tật. Galov nói: “Với quyền sử dụng này, các ứng dụng độc hại có khả năng tương tác vô hạn với giao diện hệ thống. Ví dụ: một số ứng dụng phần mềm theo dõi sẽ tận dụng quyền này.

Các ứng dụng VPN miễn phí cũng có thể là thủ phạm của việc yêu cầu quá nhiều quyền. Vào năm 2019, các nhà nghiên cứu phát hiện ra rằng 2/3 trong số 150 ứng dụng VPN miễn phí được tải xuống nhiều nhất trên Android đã đưa ra các yêu cầu dữ liệu nhạy cảm như vị trí của người dùng.

Khả năng xảy ra

Galov nói rằng việc yêu cầu quá nhiều quyền thường xảy ra.

Cách bảo vệ bản thân

8. Snooping qua Wi-Fi mở

Lần tới khi bạn bắt gặp một mạng Wi-Fi không có mật khẩu ở nơi công cộng, tốt nhất là bạn không nên kết nối vào wifi đó. Hacker có thể lợi dụng Wi-Fi không an toàn để xem tất cả lưu lượng truy cập không được mã hóa. Và các điểm truy cập công khai bất chính có thể chuyển hướng bạn đến các trang web giao dịch ngân hàng hoặc email được thiết kế để lấy username và mật khẩu của bạn. Ví dụ: ai đó có thể thiết lập mạng Wi-Fi miễn phí được đặt tên theo quán cà phê, với hy vọng các bạn sẽ truy cập vào mạng đó và chịu sự kiểm soát của người thiết lập wifi đó.

Khả năng xảy ra

Bất kỳ người nào hiểu biết về công nghệ đều có thể tải xuống các phần mềm cần thiết để chặn và phân tích lưu lượng truy cập Wi-Fi.

Cách bảo vệ bản thân

9. Ứng dụng có mã hóa yếu

Ngay cả những ứng dụng không độc hại cũng có thể khiến thiết bị di động của bạn dễ bị tấn công. Theo Viện InfoSec, các ứng dụng sử dụng thuật toán mã hóa yếu có thể làm rò rỉ dữ liệu của bạn. Hoặc, những người có các thuật toán mạnh được triển khai không đúng cách có thể tạo ra backdoors để tin tặc khai thác, cho phép truy cập vào tất cả dữ liệu cá nhân trên điện thoại của bạn.

khả năng xảy ra

Galov nói: “Đây là nguy cơ tiềm ẩn ít có khả năng xảy ra hơn những mối đe dọa khác như Wi-Fi không an toàn hoặc lừa đảo”.

Cách bảo vệ bản thân

10. Hack điện thoại qua giao thức SS7

Giao thức liên lạc dành cho các mạng di động trên toàn thế giới. Hệ thống báo hiệu số 7 (SS7), tồn tại một lỗ hổng bảo mật cho phép tin tặc theo dõi tin nhắn văn bản, cuộc gọi điện thoại và vị trí của người khác.

Vấn đề bảo mật này đã nổi tiếng trong nhiều năm qua và tin tặc đã khai thác lỗ hổng này để chặn mã xác thực hai yếu tố (2FA) được gửi qua SMS từ các ngân hàng, trong đó tội phạm mạng ở Đức rút sạch tài khoản ngân hàng của nạn nhân. Ngân hàng Metro của Vương quốc Anh cũng trở thành con mồi của một cuộc tấn công tương tự.

Phương pháp này cũng có thể được sử dụng để hack các tài khoản trực tuyến khác, từ email đến mạng xã hội, phá hoại tài chính và cá nhân.

Theo nhà nghiên cứu bảo mật Karsten Nohl, các cơ quan thực thi pháp luật và tình báo sử dụng cách khai thác này để chặn dữ liệu điện thoại di động, do đó không nhất thiết phải vá lỗ hổng này.

Khả năng xảy ra

Các cuộc tấn công của lỗ hổng này ngày càng tăng lên, vì càng có nhiều người cần sử dụng cách khai thác này để tấn công các nhà chính trị, CEO, hoặc đánh cấp mã xác thực 2 yếu tố của các tài khoản trực tuyến.

Cách bảo vệ bản thân

11. Trạm sạc độc hại

Các chuyên gia mạng đã phát đi một cảnh báo an ninh về nguy cơ bị chiếm đoạt bằng trạm sạc điện USB công cộng ở các địa điểm như sân bay và khách sạn.

Các trạm sạc độc hại – bao gồm cả các máy tính được tải phần mềm độc hại – tận dụng lợi thế của cáp USB tiêu chuẩn để truyền dữ liệu cũng như sạc pin. Điện thoại Android cũ hơn thậm chí có thể tự động mở ổ cứng khi kết nối với bất kỳ máy tính nào, để lộ dữ liệu của nó cho các tin tặc.

Các nhà nghiên cứu bảo mật cũng đã chỉ ra rằng tin tặc có thể chiếm quyền điều khiển tính năng phát video để khi được cắm vào một trạm sạc độc hại, tin tặc có thể theo dõi mọi thao tác gõ phím, bao gồm cả mật khẩu và dữ liệu nhạy cảm.

Khă năng xảy ra

Thường khá thấp. Không có trường hợp nào được biết đến rộng rãi về các điểm sạc bị tấn công, vì khi điện thoại Android mới hơn yêu cầu quyền tải ổ cứng của họ khi được cắm vào máy tính mới; iPhone yêu cầu mã PIN. Tuy nhiên, các lỗ hổng mới có thể được phát hiện.

Cách bảo vệ bản thân

12. Tháp di động giả, như FBI’s Stingray

FBI, IRS, ICE, DEA, Vệ binh Quốc gia Hoa Kỳ, Quân đội và Hải quân là một trong số các cơ quan chính phủ được biết là sử dụng các thiết bị giám sát di động (StingRays) để bắt chước các tháp mạng chân chính.

StingRays, và các tháp của nhà cung cấp dịch vụ không dây giả danh tương tự, buộc các điện thoại di động gần đó phải bỏ kết nối mạng hiện có của họ để kết nối với StingRay, cho phép người vận hành thiết bị giám sát các cuộc gọi và tin nhắn được thực hiện bởi những điện thoại này.

Vì StingRays có bán kính khoảng 1km, nên các nỗ lực theo dõi điện thoại của kẻ tình nghi ở trung tâm thành phố đông đúc có thể khiến hàng chục nghìn điện thoại bị nghe trộm.

Khả năng xảy ra

Mặc dù công dân bình thường không phải là mục tiêu của hoạt động StingRay, nhưng chúng ta không thể biết được dữ liệu không liên quan được thu thập từ những người không phải là mục tiêu sẽ bị xử lý như thế nào.

Cách bảo vệ bản thân

 

Đánh giá post
Exit mobile version