Hơn 31.000 email độc hại mượn danh cơ chế xác thực từ Microsoft đã bị phát hiện và ngăn chặn - Ảnh: KASPERSKY
Một chiến dịch tấn công giả mạo (phishing) quy mô lớn với hơn 31.000 email độc hại mượn danh cơ chế xác thực từ Microsoft đã bị hãng bảo mật Kaspersky phát hiện và ngăn chặn trong khoảng thời gian từ ngày 1-8 đến 18-9 vừa qua.
Biến dịch vụ chính thống thành “mồi nhử”
Trước đây, tội phạm mạng thường lập các tên miền giả gần giống với thương hiệu lớn để đánh lừa. Tuy nhiên, trong chiến dịch lần này, kẻ tấn công đã nâng cấp thủ đoạn lên một mức độ tinh vi hơn: sử dụng trực tiếp các dịch vụ và đường dẫn chính thống từ Microsoft để chuyển hướng nạn nhân sang trang web độc hại hoặc tự động cài cắm mã độc.
Email lừa đảo được ngụy trang dưới dạng thông báo chính thức từ hệ thống, hối thúc người nhận “ký duyệt tài liệu điện tử” hoặc “cập nhật thông tin đăng nhập khẩn cấp”.
Theo phân tích của chuyên gia, kẻ gian đã đăng ký tài khoản và truy cập vào trung tâm quản trị Microsoft Entra. Tại mục đăng ký ứng dụng, chúng chèn sẵn địa chỉ trang web độc hại vào ô thiết lập “URI chuyển hướng” (Redirect URI) - vốn là tính năng điều hướng người dùng sau khi hoàn tất đăng nhập.
Khi người dùng mở email và bấm vào đường link chính chủ của Microsoft, hệ thống sẽ tự động chuyển hướng họ đến thẳng trang web thu thập thông tin cá nhân hoặc tải mã độc xuống thiết bị.
Gài bẫy ngay trong mã xác thực thật
Chưa dừng lại ở đó, tin tặc còn khai thác tính năng gửi thư xác nhận của Microsoft để gửi thông điệp lừa đảo. Bằng cách đăng ký tài khoản (thậm chí chỉ cần dùng gói dùng thử hoặc gói giá rẻ nhất), kẻ xấu chèn nội dung khiêu khích hoặc mời gọi vào trường thông tin hiển thị.
Sau đó chúng điền địa chỉ email thật của nạn nhân vào mục “hộp thư khôi phục”. Kết quả là nạn nhân nhận được mã xác thực do chính máy chủ Microsoft gửi về một cách hợp pháp, nhưng phần tiêu đề và chữ ký lại chứa thông điệp dẫn dụ độc hại.
Ông Andrey Kovtun, quản lý Nhóm Bảo vệ mối đe dọa qua email tại Kaspersky, nhận định: “Kẻ lừa đảo không chỉ dừng lại ở việc mạo danh doanh nghiệp mà dùng luôn dịch vụ chính chủ làm bàn đạp phát tán mã độc.
Điều này tạo nên lớp vỏ bọc uy tín, khiến các dấu hiệu nhận biết lừa đảo truyền thống gần như vô hiệu, việc tự phòng vệ bằng mắt thường của người dùng trở nên vô cùng khó khăn”.
Người dùng nên làm gì?
Các chuyên gia an ninh mạng khuyến cáo người dùng luôn kiểm tra kỹ ngữ cảnh dù nhận được email từ hệ thống uy tín hay chứa đường dẫn tên miền chính thống. Nếu không thực hiện thao tác đăng ký hay yêu cầu đặt lại mật khẩu, tuyệt đối không bấm vào các đường link xác thực.
Đặc biệt, người dùng hãy cảnh giác trước mọi email hối thúc “xác minh tài khoản”, “ký tài liệu khẩn” kèm đường dẫn trực tiếp. Hãy chủ động truy cập dịch vụ bằng cách gõ địa chỉ trên trình duyệt thay vì bấm link trong thư.
Do thủ đoạn núp bóng chính chủ rất khó phát hiện thủ công, người dùng và doanh nghiệp nên kích hoạt xác thực đa yếu tố an toàn, đồng thời sử dụng các giải pháp bảo mật có tính năng chống lừa đảo ứng dụng AI và máy học để tự động phân tích hành vi bất thường của luồng dữ liệu.
Microsoft vô hiệu hóa nền tảng dùng AI chiếm hơn 12.000 hộp thưMicrosoft vừa vô hiệu hóa hạ tầng EvilTokens, nền tảng dùng AI phân tích email và dựng kịch bản lừa đảo, sau khi hơn 12.000 hộp thư tại trên 10.000 tổ chức bị xâm nhập.