Lỗ hổng trên Safari khiến người dùng dễ "sập bẫy" tin tặc

Lỗ hổng toàn màn hình bị khai thác tinh vi

Trong khi các trình duyệt phổ biến như Chrome hay Firefox đã trang bị hệ thống cảnh báo trực quan mỗi khi chuyển sang chế độ toàn màn hình thì trình duyệt mặc định trên các thiết bị Apple là Safari lại đang tồn tại một lỗ hổng nghiêm trọng. Chính điểm yếu này đang bị tin tặc khai thác để thực hiện các cuộc tấn công lừa đảo ngày càng tinh vi, khiến người dùng mất quyền kiểm soát tài khoản cá nhân, mã xác thực hai yếu tố và nhiều dữ liệu quan trọng khác.

Lỗ hổng trên Safari khiến người dùng dễ "sập bẫy" tin tặc . Ảnh: Internet

Theo cảnh báo mới đây từ công ty an ninh mạng SquareX, lỗ hổng nằm ở Fullscreen API là tính năng cho phép trang web hiển thị ở chế độ toàn màn hình. Khi sử dụng tính năng này trong Safari, các thành phần quan trọng như: Thanh địa chỉ, biểu tượng ổ khóa, cảnh báo hệ thống... đều bị ẩn hoàn toàn. Điều này tạo ra môi trường lý tưởng để tin tặc thực hiện kỹ thuật tấn công “Browser-in-the-Middle” (BitM), đây là một hình thức lừa đảo tinh vi đang gia tăng nhanh chóng.

Cụ thể, bằng cách điều khiển một trình duyệt giả mạo ở chế độ toàn màn hình, tin tặc đánh lừa nạn nhân tưởng rằng họ đang tương tác với một trang web thật. Người dùng không thể phân biệt giữa thật - giả, vì mọi tín hiệu nhận diện đều bị ẩn và thường vô tình nhập thông tin đăng nhập, mã OTP, cookie xác thực... vào các biểu mẫu do hacker dựng lên.

Mặc dù lỗ hổng này đã được SquareX báo cáo chi tiết nhưng phản hồi từ Apple khiến giới chuyên gia an ninh mạng thất vọng. “Táo khuyết” cho rằng hiệu ứng vuốt nhẹ khi chuyển sang toàn màn hình là đủ để cảnh báo người dùng, và không có kế hoạch khắc phục thêm.

Theo giới chuyên môn, đây là lập luận thiếu trách nhiệm, bởi hiệu ứng vuốt đó quá nhẹ và dễ bị bỏ qua, nhất là trong môi trường người dùng đang tập trung vào nội dung trang web. “Chỉ một cú click nhầm, bạn có thể mất toàn bộ quyền kiểm soát tài khoản”, SquareX nhấn mạnh trong báo cáo của mình.

Trong khi đó, các trình duyệt khác như Chrome, Edge hay Firefox đều hiển thị thông báo rõ ràng, yêu cầu người dùng xác nhận khi bật toàn màn hình – một bước ngăn chặn tối thiểu nhưng cực kỳ quan trọng để tránh bị lừa.

Người dùng Safari đối mặt với nguy cơ lớn

Lỗ hổng của Safari khiến các cuộc tấn công BitM trở nên thuyết phục và nguy hiểm hơn bao giờ hết. Trong bối cảnh các chiến dịch lừa đảo trực tuyến ngày càng được “đầu tư công phu” và khó nhận diện, sự thiếu cảnh báo rõ ràng lại càng làm gia tăng rủi ro.

Đáng nói hơn, số lượng người dùng Safari toàn cầu đang ở mức rất cao, đặc biệt tại các thị trường như Mỹ, châu Âu và châu Á – Thái Bình Dương. Điều này đồng nghĩa với việc hàng triệu người đang nằm trong tầm ngắm của tin tặc, chỉ vì một tính năng tưởng chừng đơn giản.

Trước khi Apple có bất kỳ động thái chính thức nào để khắc phục triệt để lỗ hổng này, các chuyên gia an ninh mạng đưa ra nhiều khuyến cáo dành cho người dùng Safari như: Không nên tùy tiện chấp nhận chế độ toàn màn hình, đặc biệt nếu ngay sau đó trình duyệt yêu cầu đăng nhập hoặc nhập thông tin nhạy cảm; luôn kiểm tra lại địa chỉ URL, nếu có thể, thoát chế độ toàn màn hình để đối chiếu tính xác thực của trang; cài đặt các tiện ích bảo mật hoặc phần mềm diệt virus hỗ trợ nhận diện cuộc tấn công giả mạo; ưu tiên sử dụng trình duyệt có cảnh báo rõ ràng, như: Chrome hay Firefox trong các giao dịch quan trọng như ngân hàng, email, tài khoản mạng xã hội…

An ninh mạng không phải là chuyện của riêng các chuyên gia, mà là ý thức tự vệ của mỗi cá nhân trong kỷ nguyên số. Một lỗ hổng nhỏ nếu bị xem nhẹ sẽ hoàn toàn có thể dẫn đến những hậu quả nghiêm trọng.