Chúng ta có thể làm được rất nhiều việc với chiếc điện thoại thông minh của mình như gọi taxi, gởi và nhận tiền, mua hàng qua mạng, gởi tin nhắn và chia sẻ các tập tin, điều khiển các thiết bị khác (như khóa cửa thông minh hay camera an ninh)... Tuy nhiên, những tính năng và sự tiện dụng này cũng đã tạo ra một không gian rất lớn cho tội phạm mạng lợi dụng. Do đó, người dùng cần tăng cường an ninh cho chiếc điện thoại thông minh của mình, nhất là vào dịp cuối năm.

Ảnh: Digital Trends

Hiểm họa từ đâu?

Với chiếc điện thoại thông minh của người dùng, vấn đề có thể ở mọi nơi: trong mạng nội bộ, kết nối qua Bluetooth hay cáp USB, khai thác lỗ hổng từ xa. Các tin tặc thậm chí có thể sử dụng loa của điện thoại thông minh của người dùng, chẳng hạn, 1 ứng dụng độc hại có thể ra lệnh cho trợ lý ảo Google Assistant trên điện thoại của người dùng.

Các ứng dụng di động có 2 phần cơ bản: 1 ứng dụng phần khách (client side) là những gì người dùng nhìn thấy và tương tác (trên thiết bị Android hay iPhone) và 1 ứng dụng phần máy chủ chạy từ xa (thường dưới dạng máy chủ web). Ứng dụng phần khách liên lạc với ứng dụng phần máy chủ qua giao thức HTTP, giống như trình duyệt web của người dùng.

Theo mặc định, đa số ứng dụng không thể chia sẻ bộ nhớ hay dữ liệu riêng với nhau. Tuy nhiên, một số ứng dụng phức tạp như chỉnh sửa ảnh, nhắn tin hay mạng xã hội, có thể cần liên lạc với các ứng dụng khác trên điện thoại của người dùng, hay có quyền truy cập tập tin, camera hoặc tin nhắn của người dùng. Do đó, những ứng dụng này có “mặt bằng” tấn công lớn hơn. 

Phương thức tấn công

Cách phổ biến nhất mà người dùng điện thoại thông minh bị tấn công là qua các mã độc trojan ẩn nấp trong các ứng dụng. Các nạn nhân thường vô tư tải về những ứng dụng độc hại này và cho phép chúng truy cập các tin nhắn, các ứng dụng và những tính năng khác.

Nếu người dùng cài đặt 1 trong những ứng dụng có chứa trojan này, các tin tặc sẽ có thể theo dõi người dùng qua camera, micrô, cũng như truy cập danh bạ, tin nhắn và các dữ liệu khác của người dùng. Trojan không chỉ âm thầm thu thập dữ liệu riêng tư mà còn giả dạng giao diện ứng dụng ngân hàng của người dùng để ăn cắp tiền, thông tin tài khoản đăng nhập và thậm chí cài đặt các ứng dụng độc hại khác. Những trojan này cũng thường ép người dùng đi đến mức phải cấp cho chúng tất cả quyền truy cập mà chúng cần. Chẳng hạn, 1 ứng dụng có chứa trojan có tên “Virus Cleaner” sẽ chỉ cung cấp các tính năng mà nó hứa hẹn khi người dùng đồng ý cấp một số quyền nguy hiểm.

Thậm chí không có nhiều quyền truy cập, một số ứng dụng độc hại vẫn có thể gây ra thiệt hại lớn. Nếu người dùng sử dụng 1 phiên bản đã bị “khai tử” hay đã cũ của hệ điều hành di động, người dùng sẽ gặp phải một số lỗi an ninh có thể bị ứng dụng độc hại âm thầm khai thác để cho phép ứng dụng có quyền truy cập cả hệ thống điện thoại. Từ đó, ứng dụng có thể ăn cắp tất cả dữ liệu được lưu trên điện thoại như tài khoản đăng nhập, mật khẩu, dữ liệu ngân hàng... Đối với những người dùng đã bẻ khóa điện thoại, nguy cơ bị tấn công cũng tương tự bởi vì các quyền truy cập cao nhất của điện thoại đã được mở cho bất kỳ ứng dụng nào trên điện thoại.

Nhiều người dùng thích kiểm tra các ứng dụng mạng xã hội và nhắn tin, khi ngồi trong các quán cà phê và nhiều người dùng làm việc từ xa trên thiết bị di động. Tuy nhiên, điều gì sẽ xảy ra nếu router WiFi của quán cà phê bị tấn công? Theo khảo sát của công ty an ninh thông tin toàn cầu Positive Technologies, có đến 43% số ứng dụng ngân hàng di động không được bảo vệ trong trường hợp này. Nếu người dùng sử dụng 1 kết nối Internet không tin cậy, tất cả thông tin trên điện thoại của người dùng có nguy cơ bị đọc và thậm chí chỉnh sửa bởi các tin tặc, như tài khoản đăng nhập, mật khẩu, thông tin ngân hàng, tin nhắn...

Các tin tặc cũng có thể gởi các liên kết web được thiết kế đặc biệt tới trình duyệt web di động hay ứng dụng nhắn tin của người dùng, để giăng bẫy và tìm một chỗ trú ẩn trên điện thoại của người dùng. Bằng cách này, 36% ứng dụng ngân hàng di động có thể bị tấn công.

Trong một số trường hợp, yếu tố duy nhất dẫn đến bị tấn công là ứng dụng bị lỗi. Kiểu tấn công “không cú nhấn” này không cần bất kỳ thao tác nào của người dùng. Chẳng hạn, 1 lỗi “không cú nhấn” của ứng dụng Whatsapp được phát hiện hồi năm ngoái, đã cho phép các tin tặc tấn công điện thoại của người dùng bằng cách sử dụng tính năng gọi điện thoại để cài đặt các ứng dụng độc hại.  

Cách đảm bảo an toàn

- Luôn cài đặt ứng dụng từ các nguồn tin cậy như cửa hàng ứng dụng Google Play hay Apple App Store. Tuy nhiên, các cửa hàng ứng dụng chính thống này không phải là an toàn tuyệt đối trước các trojan di động, nó chỉ giúp hạn chế tối đa nguy cơ. Ngay cả trên các cửa hàng ứng dụng chính thống, người dùng cũng cần cẩn trọng với các ứng dụng như “Super Battery”, “Turbo Browser” hay “Virus Cleaner 2019”.

- Thận trọng với các quyền mà người dùng cấp cho ứng dụng khi cài đặt hay mở. Chẳng hạn, các ứng dụng trò chơi có thể không cần truy cập micrô, vị trí hay tin nhắn. Một số quyền truy cập nguy hiểm mà các trojan di động thường yêu cầu: Danh bạ; Micrô; Đọc tin nhắn SMS (chỉ thiết bị Android); Quản trị viên thiết bị (chỉ thiết bị Android); Xuất hiện trên cùng (chỉ thiết bị Android); Các dịch vụ hỗ trợ (chỉ thiết bị Android).

LÊ PHI (Theo Security Boulevard)