Dùng trạm phát sóng giả gửi tin nhắn mạo danh ngân hàng

Tin nhắn lừa đảo mạo danh ngân hàng được phát tán thông qua các thiết bị phát sóng di động giả mạo, không phải từ nhà mạng.

Theo xác minh của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), các thiết bị được kẻ xấu sử dụng là IMSI Catcher và SMS Broadcaster. Chúng được dùng để gửi tin nhắn rác tới điện thoại người dùng mà không thông qua mạng di động.

Tin nhắn xuất hiện chung luồng với tin nhắn của ngân hàng, nhưng dẫn tới đường link lừa đảo (bên phải).

IMSI Catcher là một dạng trạm phát sóng giả, lợi dụng cơ chế của hệ thống thông tin di động GSM. Theo các chuyên gia, điện thoại sẽ luôn có xu hướng tìm trạm phát sóng nào mạnh nhất để kết nối. Khi kết nối với trạm, thiết bị đó phải cung cấp mã định danh di động (IMSI) cho trạm đó để xác thực, nhưng trạm đó không cần xác thực lại. Vì vậy, kẻ xấu có thể sử dụng một trạm phát giả, phát tín hiệu mạnh để đánh lừa điện thoại kết nối với trạm này.

Sau khi kết nối, kẻ xấu tiếp tục dùng các thiết bị SMS Broadcaster để gửi tin nhắn đến hàng loạt điện thoại. Nhiều thiết bị SMS Broadcaster có các tính năng, như gửi theo brandname, gửi số lượng lớn, lên tới hàng chục nghìn tin nhắn mỗi giờ. Các hệ thống giả mạo này được quảng cáo có thể tiếp cận điện thoại trong bán kính 5 km, hoặc thậm chí đặt trong ôtô di chuyển.

Các thiết bị như IMSI Catcher, SMS Broadcaster được rao bán nhiều trên Internet. Giá của một hệ thống IMSI Catcher 3G, có khả năng tấn công mục tiêu theo số IMEI, giá khoảng 50 nghìn USD (1,1 tỷ đồng); một thiết bị SMS Broadcaster có khả năng hoạt động trên bán kính 2km, có giá khoảng 7,5 nghìn USD (170 triệu đồng).

Theo Cục An toàn thông tin, các thiết bị phát sóng giả mạo này có nguồn gốc từ nước ngoài, được mua bán và sử dụng trái phép tại Việt Nam. Người dùng di động tại các đô thị là mục tiêu mà hình thức tấn công lừa đảo bằng tin nhắn nhắm đến thời gian qua.

Lừa đảo mạo danh ngân hàng vốn đã có từ lâu, nhưng ngày càng tinh vi. Điểm mới trong thời gian gần đây là tin nhắn lừa đảo xuất hiện chung luồng với SMS của ngân hàng. Người dùng không có cách nào kiểm tra tin nhắn từ số nào gửi tới nên dễ tin tưởng và làm theo. Các chuyên gia cũng cảnh báo về một số kịch bản có thể dẫn đến tin nhắn lừa đảo nằm chung luồng với tin nhắn brandname SMS của ngân hàng, như: kẻ xấu sử dụng dịch vụ từ nước ngoài, giả mạo “brandname” và lợi dụng cơ chế nhóm các brandname giống nhau vào làm một của smartphone; hay hacker khai thác được lỗ hổng trong các dịch vụ cung cấp tin nhắn “brandname” và chèn nội dung lừa đảo vào. Ngoài ra, có thể điện thoại của nạn nhân bị cài mã độc.

Trước nguy cơ này, các chuyên gia khuyên người dùng không nên bấm vào những link bất thường, kiểm tra kỹ trang web trước khi điền mật khẩu, thiết lập bảo mật OTP cho các tài khoản và nên trang bị phần mềm bảo mật để bảo vệ máy tính và điện thoại.

Các ngân hàng gần đây đã đưa ra cảnh báo, đề nghị người dùng tuyệt đối không cung cấp Tên đăng nhập/Mật khẩu đăng nhập/Mã xác thực OTP của dịch vụ Ngân hàng điện tử cho bất kỳ ai. Người dùng cũng được khuyên đăng ký nhận thông báo biến động số dư để kịp thời cập nhật các thông tin thay đổi của tài khoản; đồng thời ưu tiên sử dụng Smart OTP thay cho SMS OTP.

Mới đây, công ty bảo mật CyRadar cũng phát hiện hai “ổ” tấn công lừa đảo trực tuyến, chuyên tạo ra các website mạo danh, nhằm dụ lấy thông tin thẻ ngân hàng của người dùng. Kẻ xấu đăng ký tên miền và tạo ra các website lừa đảo mạo danh khoảng 27 ngân hàng, và các ví điện tử ở Việt Nam.