Dropbox, Google Driver có thể bị tấn công không cần mật khẩu

Lỗ hổng bảo mật cho phép tin tặc truy cập vào nhiều dịch vụ điện toán đám mây mà không cần đánh cắp mật khẩu của người dùng.

Trong Hội thảo Black Hat tổ chức tại Las Vegas (Mỹ), hãng bảo mật Imperva đã trình bày về phương thức tấn công “man-in-the-cloud”, có thể lấy các tập tin lưu trên điện toán đám mây hoặc lây nhiễm các phần mềm độc hại, mà người dùng không hề biết.

Dropbox, một trong những dịch vụ có nguy cơ bị tấn công ‘man-in-the-cloud’. Ảnh minh họa.

Khác với kiểu tấn công truyền thống là “man-in-the-middle”, phương thức mới khai thác lỗ hổng trong quá trình đồng bộ tập tin, có trong thiết kế của nhiều dịch vụ gồm Google, Box, Microsoft hay Dropbox. Đây không chỉ là vấn đề với người dùng mà còn tác động đến nhiều doanh nghiệp, khi mà dịch vụ điện toán đám mây được tăng cường áp dụng để chia sẻ các dữ liệu quan trọng.

Các cuộc tấn công “man-in-the-cloud” thực hiện bằng cách lấy password token, một file nhỏ nằm trên thiết bị của người dùng, được lưu mỗi khi nhập mật khẩu. Khi đã lấy được token, hacker hoàn toàn có thể đánh lừa máy chủ rằng kẻ tấn công chính là chủ tài khoản. Như vậy, tin tặc dễ dàng có được quyền quản lý các file, thậm chí tải lên những phần mềm độc hại.

Nguy hiểm hơn, người dùng gần như không kiểm soát được và không có cách ngăn chặn cuộc tấn công này. Bởi vì token được gắn với thiết bị của người dùng nên việc đổi mật khẩu là vô nghĩa.

Dropbox từ chối bình luận về vấn đề này. Trong khi đó, Google cũng chưa phản hồi trước thông tin trên.

Đình Nam

Theo VNE