Vì sao người dùng Gmail bị mất tài khoản dù đã bật xác thực hai yếu tố?

Người dùng mất tài khoản Gmail dù đã bật xác thực hai yếu tố (2FA)

Số lượng người dùng phàn nàn về việc tính năng xác thực hai yếu tố (2FA) bị xâm phạm đã gia tăng trong thời gian gần đây. Họ cho biết tin tặc đã xâm nhập vào tài khoản của họ, mặc dù họ đã kích hoạt xác thực hai yếu tố (2FA) và thay đổi mật khẩu cũng như chi tiết khôi phục.

“Tài khoản Google của tôi đã bị hack và bị chiếm đoạt kênh YouTube có 120.000 người đăng ký. Hacker đã thay đổi mật khẩu, số điện thoại, đồng thời chỉnh sửa cài đặt xác thực hai yếu tố (2FA) nên tôi không có cách nào để đăng nhập vào tài khoản đó." - Người dùng 9385175895309290528 cho biết.

“Một người đã đánh cắp tài khoản Gmail của tôi. Họ đã thay đổi xác thực hai yếu tố thành email và điện thoại khôi phục của riêng họ. Tôi là chủ sở hữu hợp pháp hơn 10 năm và có thông tin nhận dạng nếu cần thiết," tài khoản Daniel Salinas cho biết.

Forbes đã liên kết những sự cố này với một vụ lừa đảo nhằm thu hút người dùng bằng XRP (một loại tiền điện tử do Ripple phát triển). Kẻ gian đã tạo tài khoản giả mạo và các video deepfake về CEO Brad Garlinghouse của Ripple để lừa đảo người dùng.

Tuy nhiên, câu hỏi vẫn là làm thế nào những kẻ lừa đảo vượt qua được tính năng xác thực hai yếu tố? Theo các chuyên gia, có thể kẻ gian đã gửi email lừa đảo đến nạn nhân để dụ họ trải nghiệm thử phần mềm, game… tuy nhiên thực chất đây đều là phần mềm độc hại nhằm đánh cắp cookie. Tại Việt Nam, nhiều YouTuber nổi tiếng cũng đã trở thành nạn nhân của kẻ gian và bị chiếm kênh YouTube để livestream tiền ảo.

Cookie là gì?

Cookie thường được sử dụng để lưu trữ thông tin về phiên làm việc của bạn, đơn cử như các thông tin đăng nhập, cài đặt cá nhân, lịch sử duyệt web... cho phép người dùng đăng nhập tự động vào một dịch vụ, bỏ qua xác thực hai yếu tố (2FA) trong các lần đăng nhập sau.

Mặc dù cookie được sử dụng để cải thiện trải nghiệm người dùng, nhưng hacker có thể sử dụng phần mềm độc hại để đánh cắp cookie, chiếm đoạt tài khoản Facebook, YouTube… mà không cần phải biết mật khẩu hoặc mã xác thực hai lớp.

Google đã thừa nhận rằng việc chiếm quyền điều khiển session cookie từ lâu đã là một vấn đề. Công ty khuyến cáo người dùng nên thiết lập các biện pháp bổ sung để giữ an toàn cho tài khoản của mình.

Vừa qua, Google đã giới thiệu một tính năng mới trên trình duyệt Chrome có tên là Device Bound Session Credentials (DBSC), giúp bạn tránh bị mất Facebook, YouTube bằng cách liên kết cookie với một thiết bị cụ thể.

Sau khi bật DBSC, quy trình xác thực sẽ được liên kết với một cặp khóa công khai/riêng tư cụ thể được tạo bằng chip Trusted Platform Module (TPM) trên thiết bị của bạn. Chip này được lưu trữ an toàn trên thiết bị, vì vậy, ngay cả khi kẻ tấn công đánh cắp cookie, họ sẽ không thể truy cập vào tài khoản của bạn.

Kristian Monsen, kỹ sư phần mềm thuộc nhóm Chrome Counter Abuse của Google cho biết: “Bằng cách ràng buộc các phiên xác thực với thiết bị cụ thể, việc đánh cắp cookie sẽ không còn giá trị. Chúng tôi nghĩ rằng điều này sẽ làm giảm đáng kể tỉ lệ thành công của phần mềm độc hại đánh cắp cookie. Những kẻ tấn công sẽ buộc phải hành động trực tiếp trên thiết bị của nạn nhân, giúp việc phát hiện dễ dàng hơn”.

Mặc dù vẫn đang trong giai đoạn thử nghiệm nhưng bạn có thể bật tính năng DBSC trên trình duyệt Chrome bằng cách gõ vào thanh địa chỉ dòng lệnh chrome://flags/, nhập “enable-bound-session-credentials” và thiết lập thành Enabled, sau đó nhấn Relaunch để khởi động lại trình duyệt.