Ngày hôm qua có một vụ lừa đảo rất lớn nhờ giả mạo thành Google Docs và lừa người dùng bấm vào link của bạn bè gửi. Google cho biết rằng có 1 triệu tài khoản đã bị dính "quả lừa" trong chỉ 1 giờ đồng hồ, chiếm 0,1% lượng người dùng Gmail. Họ cũng đã ngăn chặn được app giả mạo trong 1 giờ đó, đồng thời xóa bỏ trang web cũng như app để nó không còn tiếp tục lừa người ta. Hãng nói thêm: "Ngoài thông tin danh bạ bị truy cập và sử dụng bởi app lừa đảo này thì không có dữ liệu nào khác bị lộ hay sử dụng trái phép". Hiện người dùng không cần làm gì thêm vì Google đã thực hiện ở phía họ rồi, nhưng nếu bạn vẫn muốn chắc ăn hơn về những app bên thứ ba đang có quyền truy cập vào tài khoản của mình thì hãy vào link này: https://myaccount.google.com/secureaccount.
Vụ việc này cho thấy một lỗ hổng nghiêm trọng khi Google dễ dàng để cho ứng dụng bên thứ ba giả mạo làm các dịch vụ của mình, từ đó lấy được sự tin tưởng của người dùng. Nó cũng là một cách thức thông minh để đánh cắp thông tin mà không cần đoán mò password và email của người dùng, bởi vì chính người dùng đã cho phép app làm như vậy rồi nên hacker khỏe hơn nhiều. Trước đây có nhóm hacker Nga Fancy Bear từng dùng cách thức tấn công tương tự nhưng các nhà nghiên cứu bảo mật không tin rằng nhóm là đơn vị đứng sau đợt giả mạo Google Docs hôm qua.
Chi tiết vụ lừa đảo:
Rất nhiều người nhận được một thư mời edit tài liệu trên Google Docs nhưng thực chất ứng dụng gửi ra email này chỉ là một app giả mạo với tên gọi cũng là "Google Docs" và dùng icon y hệt dịch vụ chính chủ Google. Khi bấm vào đường link trong email, người dùng sẽ được dẫn đến một trang đăng nhập Google thật, sau đó là màn hình yêu cầu cấp quyền quản lý hộp thư và đọc danh bạ cho app. Nếu không để ý thì ai cũng tưởng là đang cấp phép cho Google Docs / Drive, nhưng khi rê chuột lên mũi tên nhỏ nhỏ thì mọi thứ được tiết lộ: app thuộc quyền sở hữu của một cá nhân nào đó, và trang web redirect sau khi cấp quyền cũng không thuộc tên miền Google.
Khi bạn lỡ cho phép app này tất cả các quyền mà nó yêu cầu, ngay lập tức nó sẽ gửi tiếp email spam tới những người khác trong sổ liên lạc dưới tên và địa chỉ email của bạn. Vậy nên không lạ khi những người kia lại tiếp tục bị lừa và càng làm gia tăng độ "phủ sóng" của dịch vụ giả mạo này.
Vụ việc này cho thấy một lỗ hổng nghiêm trọng khi Google dễ dàng để cho ứng dụng bên thứ ba giả mạo làm các dịch vụ của mình, từ đó lấy được sự tin tưởng của người dùng. Nó cũng là một cách thức thông minh để đánh cắp thông tin mà không cần đoán mò password và email của người dùng, bởi vì chính người dùng đã cho phép app làm như vậy rồi nên hacker khỏe hơn nhiều. Trước đây có nhóm hacker Nga Fancy Bear từng dùng cách thức tấn công tương tự nhưng các nhà nghiên cứu bảo mật không tin rằng nhóm là đơn vị đứng sau đợt giả mạo Google Docs hôm qua.
Chi tiết vụ lừa đảo:
Rất nhiều người nhận được một thư mời edit tài liệu trên Google Docs nhưng thực chất ứng dụng gửi ra email này chỉ là một app giả mạo với tên gọi cũng là "Google Docs" và dùng icon y hệt dịch vụ chính chủ Google. Khi bấm vào đường link trong email, người dùng sẽ được dẫn đến một trang đăng nhập Google thật, sau đó là màn hình yêu cầu cấp quyền quản lý hộp thư và đọc danh bạ cho app. Nếu không để ý thì ai cũng tưởng là đang cấp phép cho Google Docs / Drive, nhưng khi rê chuột lên mũi tên nhỏ nhỏ thì mọi thứ được tiết lộ: app thuộc quyền sở hữu của một cá nhân nào đó, và trang web redirect sau khi cấp quyền cũng không thuộc tên miền Google.
Khi bạn lỡ cho phép app này tất cả các quyền mà nó yêu cầu, ngay lập tức nó sẽ gửi tiếp email spam tới những người khác trong sổ liên lạc dưới tên và địa chỉ email của bạn. Vậy nên không lạ khi những người kia lại tiếp tục bị lừa và càng làm gia tăng độ "phủ sóng" của dịch vụ giả mạo này.