Microsoft vừa đưa ra cảnh báo xác thực bằng SMS và cuộc gọi thoại ngày càng dễ dàng bị khai thác trong các chiến dịch lừa đảo có sự hỗ trợ của AI. Hãng sẽ bắt đầu buộc người dùng doanh nghiệp chuyển sang passkey từ tháng 9 và chính thức ngừng các phương thức xác thực này trên Entra ID từ ngày 1-2-2027.

Ảnh: Windows Latest

Theo Microsoft, sự phát triển của AI đang giúp những kẻ tấn công, kể cả các nhóm có nguồn lực hạn chế, dễ dàng thực hiện các chiến dịch lừa đảo nhằm đánh cắp mật khẩu và mã xác thực đa yếu tố (MFA).

“Thời đại AI đòi hỏi phương thức xác thực phải mạnh hơn, có khả năng chống lừa đảo tốt hơn”, Microsoft nêu trong thông báo gửi tới các khách hàng sử dụng dịch vụ Microsoft Entra ID.

SMS và cuộc gọi thoại ngày càng kém an toàn

Microsoft cho biết vấn đề không nằm ở việc AI có thể trực tiếp đọc tin nhắn SMS trên điện thoại của người dùng. Thay vào đó, AI giúp kẻ tấn công dễ dàng thao túng các kênh liên lạc như SMS và cuộc gọi thoại để lừa người dùng tự cung cấp thông tin xác thực.

Một trong những nguy cơ đáng chú ý là SIM swapping (đổi SIM). Kẻ tấn công có thể sử dụng các kỹ thuật được hỗ trợ bởi AI để dễ dàng chuyển số điện thoại di động của nạn nhân sang một thẻ SIM do chúng kiểm soát. Khi đó, mã OTP gửi qua SMS có thể rơi vào tay kẻ tấn công.

Microsoft cũng ghi nhận sự gia tăng mạnh của các cuộc tấn công sử dụng AI để đánh lừa người dùng cung cấp mật khẩu và mã MFA. Những chiến dịch này lại có tỷ lệ người dùng nhấp vào nội dung lừa đảo cao hơn so với các chiến dịch cũ trước thời kỳ AI.

Nói cách khác, AI không giúp kẻ tấn công tự động xâm nhập điện thoại hay SIM của người dùng, nhưng khiến việc đánh lừa người dùng để lấy thông tin đăng nhập trở nên dễ dàng và hiệu quả hơn.

Microsoft đánh giá SMS và cuộc gọi thoại thuộc nhóm phương thức xác thực dễ bị tấn công nhất hiện nay, đặc biệt trước các hình thức như lừa đảo, SIM swapping và tấn công phát lại (replay attack). Trong khi đó, passkey được thiết kế để chống lại các hình thức lừa đảo này.

Microsoft đưa ra lộ trình loại bỏ xác thực bằng SMS và cuộc gọi thoại

Microsoft đã công bố lộ trình chuyển đổi đối với người dùng Microsoft Entra ID:

- Từ ngày 1-9-2026, những người dùng vẫn sử dụng SMS hoặc cuộc gọi thoại để xác thực sẽ bắt đầu được yêu cầu đăng ký passkey. Khi đăng nhập bằng MFA, người dùng sẽ được hướng dẫn thiết lập phương thức xác thực mới.

- Từ ngày 1-2-2027, Microsoft sẽ chính thức ngừng hỗ trợ xác thực bằng SMS và cuộc gọi thoại trên Entra ID. Người dùng sẽ phải chuyển sang phương thức xác thực mạnh hơn, chẳng hạn như passkey.

Đáng chú ý, Microsoft cho biết không có tùy chọn từ chối áp dụng thay đổi này. Quy định sẽ được triển khai đối với tất cả phiên bản Microsoft Entra ID.

Ảnh: Windows Latest

Tài khoản Microsoft cá nhân cũng sẽ bị ảnh hưởng

Không chỉ người dùng doanh nghiệp, Microsoft cũng đang từng bước loại bỏ SMS khỏi hệ thống xác thực và khôi phục tài khoản Microsoft cá nhân.

Theo tài liệu hỗ trợ của Microsoft, hãng xem xác thực bằng SMS là một trong những nguồn hàng đầu gây ra các vụ lừa đảo và đã bắt đầu quá trình loại bỏ phương thức này đối với tài khoản cá nhân.

Thay vì SMS, Microsoft định hướng người dùng chuyển sang phương thức xác thực không cần mật khẩu, trong đó passkey được xem là một lựa chọn quan trọng.

Điều này có thể ảnh hưởng đến lượng người dùng rất lớn bởi tài khoản Microsoft cá nhân được sử dụng để đăng nhập vào Windows 11, Xbox, Outlook.com và nhiều dịch vụ khác của Microsoft.

Tuy nhiên, khác với khách hàng doanh nghiệp sử dụng Entra ID, Microsoft chưa đưa ra thời hạn cụ thể cho việc chấm dứt SMS đối với tài khoản Microsoft cá nhân.

Người dùng nên chuyển sang passkey

Microsoft khuyến nghị người dùng không nên chờ đến khi SMS bị vô hiệu hóa mới thay đổi phương thức xác thực. Việc thiết lập passkey từ sớm sẽ giúp tài khoản có khả năng chống lừa đảo tốt hơn.

Người dùng cũng có thể sử dụng Microsoft Authenticator như một lựa chọn thay thế.

Mật khẩu truyền thống chưa hoàn toàn biến mất và vẫn có thể được sử dụng trong một số trường hợp. Tuy nhiên, mật khẩu cũng dễ dàng bị đánh cắp thông qua lừa đảo, nhất là đối với những chiến dịch được hỗ trợ bởi AI.

Vì vậy, xu hướng Microsoft đang thúc đẩy là chuyển từ mô hình “mật khẩu + SMS” sang các phương thức xác thực có khả năng chống lừa đảo tốt hơn, trong đó passkey là một trong những giải pháp được kỳ vọng sẽ trở thành tiêu chuẩn mới.

LÊ PHI (Theo Windows Latest)