-
09/04/2020
-
99
-
828 bài viết
Safari dính lỗ hổng toàn màn hình, người dùng dễ bị lấy cắp thông tin đăng nhập
Một lỗ hổng bảo mật vừa được phát hiện trong trình duyệt Safari của Apple, liên quan đến cơ chế hiển thị toàn màn hình, đang làm dấy lên lo ngại trong cộng đồng an ninh mạng. Lỗ hổng này cho phép tin tặc khai thác kỹ thuật có tên Browser-in-the-Middle (BitM) nhằm tạo ra các giao diện đăng nhập giả mạo, để đánh cắp thông tin cá nhân và tài khoản người dùng.
Với kỹ thuật tấn công "Browser-in-the-Middle" (BitM), tin tặc sẽ đánh lừa nạn nhân tương tác với một trình duyệt từ xa do chúng kiểm soát. Khi trình duyệt được chuyển sang chế độ toàn màn hình trong Safari, các thành phần giao diện quan trọng như thanh địa chỉ và cảnh báo hệ thống sẽ bị ẩn hoàn toàn, khiến nạn nhân khó phát hiện dấu hiệu bất thường. Đáng lo ngại hơn, hiện Apple không coi đây là vấn đề cần được ưu tiên khắc phục.
Hệ quả là, người dùng vô tình đăng nhập vào các dịch vụ trên trình duyệt giả mạo, tạo điều kiện cho tin tặc dễ dàng chiếm đoạt thông tin đăng nhập, mã xác thực hai yếu tố (2FA), cookie xác thực và nhiều dữ liệu quan trọng khác.
Theo các chuyên gia, điểm yếu mang tính "chí mạng" của Safari nằm ở việc không hiển thị cảnh báo rõ ràng khi trình duyệt chuyển sang chế độ toàn màn hình. Trong khi đó, các trình duyệt phổ biến như Chrome (và các trình duyệt nền tảng Chromium) hay Firefox đều cung cấp cảnh báo trực quan rõ ràng, Safari chỉ hiển thị một hiệu ứng vuốt nhẹ, dễ bị người dùng bỏ qua. Chính sự thiếu hụt tín hiệu cảnh báo này khiến các cuộc tấn công BitM trên Safari trở nên đặc biệt thuyết phục và nguy hiểm.
Sau khi phát hiện và ghi nhận nhiều trường hợp khai thác lỗ hổng, nhóm các chuyên gia nghiên cứu đã gửi cảnh báo đến Apple. Tuy nhiên, phản hồi từ phía "Táo khuyết" cho thấy hãng không có kế hoạch xử lý thêm, với lập luận rằng hiệu ứng vuốt hiện tại đã đủ để cảnh báo người dùng khi trình duyệt chuyển sang chế độ toàn màn hình.
Lập trường này đang vấp phải làn sóng chỉ trích từ giới chuyên gia an ninh mạng, khi lỗ hổng vẫn chưa được khắc phục, đặt hàng triệu người dùng Safari vào tình thế dễ bị tấn công. Trong bối cảnh các chiến dịch lừa đảo ngày càng tinh vi và khó nhận diện như hiện nay, việc Safari thiếu cảnh báo rõ ràng càng khiến người dùng dễ bị "sập bẫy".
Các chuyên gia cảnh báo người dùng Safari cần đặc biệt cảnh giác khi trình duyệt yêu cầu chuyển sang chế độ toàn màn hình, nhất là nếu ngay sau đó xuất hiện các biểu mẫu đăng nhập hoặc yêu cầu cung cấp thông tin nhạy cảm. Việc nhận diện các dấu hiệu bất thường và thói quen kiểm tra kỹ càng là tuyến phòng thủ quan trọng để bảo vệ dữ liệu cá nhân.
Với kỹ thuật tấn công "Browser-in-the-Middle" (BitM), tin tặc sẽ đánh lừa nạn nhân tương tác với một trình duyệt từ xa do chúng kiểm soát. Khi trình duyệt được chuyển sang chế độ toàn màn hình trong Safari, các thành phần giao diện quan trọng như thanh địa chỉ và cảnh báo hệ thống sẽ bị ẩn hoàn toàn, khiến nạn nhân khó phát hiện dấu hiệu bất thường. Đáng lo ngại hơn, hiện Apple không coi đây là vấn đề cần được ưu tiên khắc phục.
Hệ quả là, người dùng vô tình đăng nhập vào các dịch vụ trên trình duyệt giả mạo, tạo điều kiện cho tin tặc dễ dàng chiếm đoạt thông tin đăng nhập, mã xác thực hai yếu tố (2FA), cookie xác thực và nhiều dữ liệu quan trọng khác.
Theo các chuyên gia, điểm yếu mang tính "chí mạng" của Safari nằm ở việc không hiển thị cảnh báo rõ ràng khi trình duyệt chuyển sang chế độ toàn màn hình. Trong khi đó, các trình duyệt phổ biến như Chrome (và các trình duyệt nền tảng Chromium) hay Firefox đều cung cấp cảnh báo trực quan rõ ràng, Safari chỉ hiển thị một hiệu ứng vuốt nhẹ, dễ bị người dùng bỏ qua. Chính sự thiếu hụt tín hiệu cảnh báo này khiến các cuộc tấn công BitM trên Safari trở nên đặc biệt thuyết phục và nguy hiểm.
Sau khi phát hiện và ghi nhận nhiều trường hợp khai thác lỗ hổng, nhóm các chuyên gia nghiên cứu đã gửi cảnh báo đến Apple. Tuy nhiên, phản hồi từ phía "Táo khuyết" cho thấy hãng không có kế hoạch xử lý thêm, với lập luận rằng hiệu ứng vuốt hiện tại đã đủ để cảnh báo người dùng khi trình duyệt chuyển sang chế độ toàn màn hình.
Lập trường này đang vấp phải làn sóng chỉ trích từ giới chuyên gia an ninh mạng, khi lỗ hổng vẫn chưa được khắc phục, đặt hàng triệu người dùng Safari vào tình thế dễ bị tấn công. Trong bối cảnh các chiến dịch lừa đảo ngày càng tinh vi và khó nhận diện như hiện nay, việc Safari thiếu cảnh báo rõ ràng càng khiến người dùng dễ bị "sập bẫy".
Các chuyên gia cảnh báo người dùng Safari cần đặc biệt cảnh giác khi trình duyệt yêu cầu chuyển sang chế độ toàn màn hình, nhất là nếu ngay sau đó xuất hiện các biểu mẫu đăng nhập hoặc yêu cầu cung cấp thông tin nhạy cảm. Việc nhận diện các dấu hiệu bất thường và thói quen kiểm tra kỹ càng là tuyến phòng thủ quan trọng để bảo vệ dữ liệu cá nhân.
Theo Bleeping Computer