Email độc hại đội lốt thông báo bảo mật từ Google và Microsoft
Thói quen nhận biết email lừa đảo dựa trên các địa chỉ gửi thư kỳ lạ hay tên miền sai chính tả đang dần trở nên lỗi thời. Gần đây, các chiến dịch tấn công giả mạo tinh vi đã chuyển hướng sang khai thác chính hạ tầng, máy chủ và các tính năng nội bộ của hai nền tảng công nghệ phổ biến nhất thế giới: Google và Microsoft. Kết quả là những bức thư độc hại xuất hiện trong hộp thư đến với đầy đủ chữ ký số xác thực và xuất phát từ hệ thống chính danh, khiến người nhận rất khó đề phòng.
Chiêu trò cài cắm nội dung qua thông báo bảo mật Google
Một thủ đoạn vừa được ghi nhận trên nền tảng Gmail cho thấy kẻ gian có thể mượn tay Google để gửi đi các đường dẫn đánh cắp thông tin. Cụ thể, đối tượng lừa đảo sử dụng một tài khoản Gmail do chúng kiểm soát, sau đó điền địa chỉ email của nạn nhân vào mục email khôi phục (recovery email). Dù người nhận không hề đồng ý xác minh mối liên kết này, hệ thống của Google theo cơ chế tự động vẫn có thể gửi một số cảnh báo an ninh về địa chỉ email được chỉ định.
Lỗ hổng nằm ở khâu tương tác tiếp theo: Kẻ tấn công tạo một mật khẩu ứng dụng (App Password) trên tài khoản của chúng. Do tính năng này cho phép tự đặt tên gợi nhớ, kẻ gian cố tình gõ vào đó những thông điệp cảnh báo nguy cấp giả tạo kèm một liên kết lừa đảo. Ngay sau đó, Google gửi đi một email thông báo bảo mật chính thống đến hòm thư của nạn nhân, trong đó trích xuất nguyên vẹn cái tên mà kẻ gian vừa đặt.
Vì lá thư được phát hành từ máy chủ của Google và mang chứng thực kỹ thuật hợp lệ, người nhận rất dễ tin rằng tài khoản của mình đang gặp nguy hiểm. Nếu mất bình tĩnh và nhấn vào liên kết, họ sẽ bị chuyển tiếp đến trang giả mạo để nhập mật khẩu hoặc mã bảo mật, dâng toàn bộ quyền kiểm soát cho kẻ tấn công.
Hơn 31.000 thư độc hại và bẫy chuyển hướng trên nền tảng Microsoft
Không chỉ dừng lại ở các tài khoản cá nhân, môi trường dịch vụ doanh nghiệp của Microsoft cũng trở thành mục tiêu bị lạm dụng. Hãng an ninh mạng Kaspersky vừa ghi nhận một chiến dịch quy mô lớn khi phát hiện và ngăn chặn hơn 31.000 email lừa đảo trong khoảng thời gian từ ngày 1/8 đến 18/9. Các đối tượng không dùng tên miền giả mà lợi dụng trực tiếp các đường dẫn và quy trình xác thực chính thống của Microsoft.
Nội dung email thường được ngụy trang dưới dạng thông báo mang tính hối thúc từ hệ thống, chẳng hạn như yêu cầu cập nhật thông tin đăng nhập hoặc ký duyệt tài liệu điện tử khẩn cấp. Để thực hiện điều này, tin tặc đăng ký tài khoản và truy cập vào trung tâm quản trị Microsoft Entra. Tại phần đăng ký ứng dụng, chúng chèn sẵn địa chỉ trang web độc hại vào ô thiết lập "URI chuyển hướng" (Redirect URI) – vốn là tính năng dùng để điều hướng người dùng sau khi đăng nhập thành công. Khi người nhận nhấp vào liên kết mang tên miền chuẩn của Microsoft trong thư, hệ thống sẽ tự động dẫn họ sang trang web đen để thu thập thông tin hoặc tải mã độc trực tiếp về máy tính.
Bên cạnh đó, các đối tượng còn tận dụng các gói dịch vụ dùng thử hoặc giá rẻ của Microsoft để kích hoạt tính năng gửi thư xác nhận. Chúng chèn thông điệp lừa đảo vào các trường hiển thị, tiêu đề hoặc chữ ký, rồi nhập email của nạn nhân vào phần hộp thư khôi phục. Email được gửi đi hoàn toàn xuất phát từ máy chủ Microsoft, chứa liên kết hợp pháp, khiến các bộ lọc an ninh khó phát hiện điểm bất thường.
Vì sao thói quen kiểm tra người gửi không còn an toàn?
Điểm nguy hiểm nhất trong các chiến dịch tấn công này là ranh giới giữa thư thật và thư giả đã bị xóa nhòa. Cả địa chỉ gửi thư lẫn tên miền hiển thị đều thuộc về Google hoặc Microsoft, vượt qua các bước kiểm tra nguồn gốc thông thường.
Chính vì vậy, chỉ dựa vào việc người gửi là một thương hiệu uy tín không còn là tiêu chí đủ để bảo đảm an toàn. Người dùng cần đặt thông điệp nhận được vào ngữ cảnh thực tế: Liệu mình có vừa thực hiện yêu cầu đặt lại mật khẩu, đăng ký tài khoản hay yêu cầu nhận mã xác thực hay không? Những email thông báo khẩn cấp nhưng bất thường về mặt thời điểm hay nội dung đều cần được đặt dưới sự nghi ngờ cao độ.
Các biện pháp phòng vệ tài khoản
Trước các thủ đoạn lợi dụng dịch vụ chính thống, các chuyên gia an ninh mạng khuyến cáo người dùng cá nhân lẫn tổ chức cần tuân thủ những nguyên tắc phòng ngừa:
Không nhấp vào bất kỳ đường dẫn nào trong email yêu cầu xác thực, cập nhật mật khẩu hay ký duyệt giấy tờ khẩn cấp, kể cả khi bức thư được gửi từ các hệ thống đáng tin cậy.
Tuyệt đối không sử dụng mã xác nhận và không truy cập vào các đường dẫn gửi kèm nếu bản thân không chủ động tạo yêu cầu trên hệ thống trước đó.
Khi cần kiểm tra tình trạng an toàn của tài khoản, hãy tự mở trình duyệt, gõ trực tiếp địa chỉ chính thức của dịch vụ hoặc thao tác qua ứng dụng độc lập thay vì thao tác thông qua liên kết trong email.
Luôn rà soát kỹ ngữ cảnh, mục đích của bức thư và đặc biệt cảnh giác với các yêu cầu giục giã xử lý ngay lập tức.
Thiết lập xác thực nhiều yếu tố (MFA) bằng các phương thức có độ an toàn cao để bảo vệ tài khoản trong trường hợp thông tin đăng nhập bị lộ.
Trang bị các giải pháp bảo mật chuyên dụng có khả năng phân tích hành vi bất thường, nhận diện email lừa đảo và ngăn chặn việc tải mã độc cho thiết bị của cá nhân cũng như hệ thống doanh nghiệp.
Một bức thư phát đi từ máy chủ chính hãng không đồng nghĩa với việc nội dung hiển thị bên trong luôn vô hại. Sự thận trọng đối với từng yêu cầu thao tác và việc chủ động kiểm tra độc lập trên nền tảng chính là lớp phòng thủ quan trọng nhất để bảo vệ dữ liệu cá nhân.
Đối với môi trường doanh nghiệp, việc chỉ dựa vào sự cảnh giác của nhân viên là chưa đủ trước những chiến dịch tấn công mượn danh hạ tầng lớn như Google hay Microsoft. Để chủ động rà soát lỗ hổng và thiết lập hệ thống phòng thủ đa tầng cho hạ tầng đám mây lẫn hệ thống email, doanh nghiệp có thể tham khảo các giải pháp quản trị CNTT và an ninh mạng chuyên sâu từ IPSIP Việt Nam, giúp phát hiện sớm các hành vi bất thường và bảo vệ toàn vẹn tài sản số của tổ chức.
