Felix Krause, một lập trình viên iOS đồng thời cũng là nhà sáng lập Fastlane, đã phát hiện ra rằng các hacker có thể dễ dàng tạo ra những khung thông báo giả mạo để lừa người dùng cung cấp mật khẩu của họ cho bọn chúng.

“Điều này đơn giản đến mức chỉ cần chưa đến 30 dòng code là đã có thể thực hiện được rồi”, Krause chia sẻ trên trang blog của mình. Anh chàng lập trình viên này cũng thử tạo ra một ứng dụng tương tự, để cho tất cả mọi người thấy lỗ hổng bảo mật nghiêm trọng này. Tất nhiên vì lý do đạo đức, Krause đã không công bố mã nguồn của phương pháp đánh cắp mật khẩu Apple ID.

Tại sao phương pháp này hiệu quả?

Hệ điều hành iOS thường xuyên yêu cầu người dùng nhập mật khẩu Apple ID để thực hiện nhiều tác vụ khác nhau. Phổ biến nhất là khi cài đặt bản cập nhật hệ điều hành iOS hoặc trong khi cài đặt các ứng dụng iOS.

Do đó, người dùng hình thành thói quen nhập mật khẩu Apple ID của mình bất cứ khi nào hệ điều hành iOS yêu cầu. Sẽ có một cửa sổ popup hiện ra khi iOS yêu cầu bạn nhập mật khẩu. Tuy nhiên các popup không chỉ hiển thị trên màn hình khóa, màn hình trang chủ mà còn bên trong các ứng dụng. Ví dụ như khi họ muốn truy cập iCloud, Game Center hay thanh toán trong ứng dụng.

Dựa vào đó, các hacker dễ dàng tạo ra một popup giả mạo, được gọi là UIAlertController và trông giống hệt hộp thoại của hệ thống. Người dùng sẽ dễ dàng bị đánh lừa và nhập mật khẩu Apple ID vào hộp thoại này, mà không biết rằng nó sẽ được gửi tới tận tay hacker.

Phương pháp đánh cắp mật khẩu Apple ID mới nguy hiểm, nhưng lại dễ dàng thực hiện

Việc tạo ra một vài dòng code để có thể hiển thị cửa sổ popup giả mạo yêu cầu hệ thống là rất đơn giản. Lập trình viên Felix Krause cho biết anh mất chưa tới 30 dòng code để hoàn thiện, tất cả các lập trình viên iOS đều có thể làm được. Các ứng dụng iOS đều cho phép các lập trình viên thực hiện tùy chỉnh sau khi đã đăng ký.

Mặc dù người dùng có thể tự bảo vệ mình bằng cách kích hoạt tính năng xác thực hai bước (two-factor authentication) trên Apple ID. Nhưng điều đó cũng không đảm bảo 100%. Bởi hacker có thể tạo ra thêm một cửa sổ popup nữa và yêu cầu người dùng nhập luôn cả mã xác thực. Với những người không rành về công nghệ và thiếu cẩn trọng, họ có thể dễ dàng cung cấp mã xác thực mà không biết rằng đó là popup giả mạo.

Ngay cả khi Apple quản lý rất chặt chẽ các ứng dụng của bên thứ ba trên App Store. Việc tùy chỉnh và thêm một vài dòng code vào ứng dụng sau khi đã được Apple cấp phép là điều dễ dàng.

Ví dụ, các hacker có thể sử dụng một công cụ cấu hình từ xa để kích hoạt tính năng mới cho ứng dụng sau khi được Apple cấp phép. Hay sử dụng một trình kích hoạt theo thời gian, với các đoạn mã đặc biệt chỉ khởi chạy sau khi ứng dụng được cấp phép. Tất nhiên Apple có thể phát hiện và khóa tài khoản của các nhà phát triển thực hiện các hành vi này, nhưng có thể lúc đó đã quá muộn.

Làm thế nào để tự bảo vệ mình?

Lập trình viên Felix Krause đã chia sẻ một số mẹo nhỏ để người dùng có thể nhận biết các popup yêu cầu mật khẩu Apple ID giả mạo.

Đầu tiên, bạn có thể thử nhấn nút Home và xem ứng dụng có bị thoát ra hay không. Nếu như ứng dụng thoát ra cùng với cả popup, ứng dụng đó đã được cài mã đánh cắp mật khẩu của bạn.

Nếu như ứng dụng và hộp thoại vẫn hiển thị, thì đó là thông báo của hệ thống iOS. Lý do là vì hộp thoại của hệ thống được chạy trên một tiến trình riêng và không phải của bất kỳ ứng dụng nào, do đó bạn không thể thoát bằng cách ấn nút Home.

Bạn có thể không cần nhập mật khẩu vào cửa sổ popup, thay vào đó bạn có thể bỏ qua và mở Cài đặt ứng dụng theo cách thủ công. Cũng giống như việc bạn không nên bấm trực tiếp vào các đường link trong messenger hay email, mà bạn nên mở trang web một cách thủ công.

Nếu như bạn đã lỡ gõ mật khẩu trong cửa sổ popup, nhưng chưa gửi, ứng dụng vẫn có quyền truy cập vào nội dung của trường mật khẩu. Do đó, hacker vẫn có được mật khẩu dù bạn kịp thời bấm nút Cancel.

Lừa đảo đánh cắp mật khẩu thông qua ứng dụng di động vô cùng nguy hiểm

Ngay cả những người am hiểu về công nghệ cũng có thể dễ dàng dính phải cạm bẫy này. Nguyên nhân là do UI của hệ thống và của ứng dụng chưa được tách biệt, để người dùng dễ dàng nhận ra.

Theo lập trình viên Felix Krause, iOS cần phải tách biệt rõ ràng giữa giao diện hệ thống và các giao diện của ứng dụng. Nhờ đó, người dùng sẽ dễ dàng nhận ra đâu là yêu cầu của hệ thống iOS và đâu là yêu cầu từ ứng dụng của bên thứ 3.

Tất nhiên sự thay đổi này liên quan đến một số vấn đề lập trình rắc rối và bảo mật. Thậm chí ngay cả một số trang web cũng có thể tạo ra những cửa sổ popup với giao diện giống như thông báo của hệ thống macOS, khiến nhiều người dùng nghĩ rằng đó là thông báo của hệ điều hành.

Việc siết chặt quản lý ứng dụng, xem xét các đoạn mã cập nhật mới thường xuyên có thể giúp Apple ngăn chặn được phương pháp lừa đảo mới này. Tuy nhiên cho đến nay Apple vẫn chưa có bất kỳ bình luận gì, vì vậy chúng ta phải tự bảo vệ bản thân mình trước bằng cách nâng cao cảnh giác trước những yêu cầu đăng nhập mật khẩu trong ứng dụng một cách đáng ngờ.

Theo GenK

Cuối tuần vừa rồi, Lorenzo đã sử dụng Giallo Zafferano - một ứng dụng nấu ăn đáng tin cậy trên iPhone, để tra cứu công thức nấu ăn mà anh đang cần. Đột nhiên, một khung thông báo xuất hiện trên màn hình yêu cầu anh nhập mật khẩu Apple ID của mình. Cảm thấy không ổn, anh đã lập tức tắt khung thông báo đó đi.

Felix Krause, một lập trình viên iOS đồng thời cũng là nhà sáng lập Fastlane, đã phát hiện ra rằng các hacker có thể dễ dàng tạo ra những khung thông báo giả mạo để lừa người dùng cung cấp mật khẩu của họ cho bọn chúng.

“Điều này đơn giản đến mức chỉ cần chưa đến 30 dòng code là đã có thể thực hiện được rồi”, Krause chia sẻ trên trang blog của mình. Anh chàng lập trình viên này cũng thử tạo ra một ứng dụng tương tự, để cho tất cả mọi người thấy lỗ hổng bảo mật nghiêm trọng này. Tất nhiên vì lý do đạo đức, Krause đã không công bố mã nguồn của phương pháp đánh cắp mật khẩu Apple ID.

Tại sao phương pháp này hiệu quả?

Hệ điều hành iOS thường xuyên yêu cầu người dùng nhập mật khẩu Apple ID để thực hiện nhiều tác vụ khác nhau. Phổ biến nhất là khi cài đặt bản cập nhật hệ điều hành iOS hoặc trong khi cài đặt các ứng dụng iOS.

Do đó, người dùng hình thành thói quen nhập mật khẩu Apple ID của mình bất cứ khi nào hệ điều hành iOS yêu cầu. Sẽ có một cửa sổ popup hiện ra khi iOS yêu cầu bạn nhập mật khẩu. Tuy nhiên các popup không chỉ hiển thị trên màn hình khóa, màn hình trang chủ mà còn bên trong các ứng dụng. Ví dụ như khi họ muốn truy cập iCloud, Game Center hay thanh toán trong ứng dụng.

Dựa vào đó, các hacker dễ dàng tạo ra một popup giả mạo, được gọi là UIAlertController và trông giống hệt hộp thoại của hệ thống. Người dùng sẽ dễ dàng bị đánh lừa và nhập mật khẩu Apple ID vào hộp thoại này, mà không biết rằng nó sẽ được gửi tới tận tay hacker.

Phương pháp đánh cắp mật khẩu Apple ID mới nguy hiểm, nhưng lại dễ dàng thực hiện

Việc tạo ra một vài dòng code để có thể hiển thị cửa sổ popup giả mạo yêu cầu hệ thống là rất đơn giản. Lập trình viên Felix Krause cho biết anh mất chưa tới 30 dòng code để hoàn thiện, tất cả các lập trình viên iOS đều có thể làm được. Các ứng dụng iOS đều cho phép các lập trình viên thực hiện tùy chỉnh sau khi đã đăng ký.

Mặc dù người dùng có thể tự bảo vệ mình bằng cách kích hoạt tính năng xác thực hai bước (two-factor authentication) trên Apple ID. Nhưng điều đó cũng không đảm bảo 100%. Bởi hacker có thể tạo ra thêm một cửa sổ popup nữa và yêu cầu người dùng nhập luôn cả mã xác thực. Với những người không rành về công nghệ và thiếu cẩn trọng, họ có thể dễ dàng cung cấp mã xác thực mà không biết rằng đó là popup giả mạo.

Ngay cả khi Apple quản lý rất chặt chẽ các ứng dụng của bên thứ ba trên App Store. Việc tùy chỉnh và thêm một vài dòng code vào ứng dụng sau khi đã được Apple cấp phép là điều dễ dàng.

Ví dụ, các hacker có thể sử dụng một công cụ cấu hình từ xa để kích hoạt tính năng mới cho ứng dụng sau khi được Apple cấp phép. Hay sử dụng một trình kích hoạt theo thời gian, với các đoạn mã đặc biệt chỉ khởi chạy sau khi ứng dụng được cấp phép. Tất nhiên Apple có thể phát hiện và khóa tài khoản của các nhà phát triển thực hiện các hành vi này, nhưng có thể lúc đó đã quá muộn.

Làm thế nào để tự bảo vệ mình?

Lập trình viên Felix Krause đã chia sẻ một số mẹo nhỏ để người dùng có thể nhận biết các popup yêu cầu mật khẩu Apple ID giả mạo.

Đầu tiên, bạn có thể thử nhấn nút Home và xem ứng dụng có bị thoát ra hay không. Nếu như ứng dụng thoát ra cùng với cả popup, ứng dụng đó đã được cài mã đánh cắp mật khẩu của bạn.

Nếu như ứng dụng và hộp thoại vẫn hiển thị, thì đó là thông báo của hệ thống iOS. Lý do là vì hộp thoại của hệ thống được chạy trên một tiến trình riêng và không phải của bất kỳ ứng dụng nào, do đó bạn không thể thoát bằng cách ấn nút Home.

Bạn có thể không cần nhập mật khẩu vào cửa sổ popup, thay vào đó bạn có thể bỏ qua và mở Cài đặt ứng dụng theo cách thủ công. Cũng giống như việc bạn không nên bấm trực tiếp vào các đường link trong messenger hay email, mà bạn nên mở trang web một cách thủ công.

Nếu như bạn đã lỡ gõ mật khẩu trong cửa sổ popup, nhưng chưa gửi, ứng dụng vẫn có quyền truy cập vào nội dung của trường mật khẩu. Do đó, hacker vẫn có được mật khẩu dù bạn kịp thời bấm nút Cancel.

Lừa đảo đánh cắp mật khẩu thông qua ứng dụng di động vô cùng nguy hiểm

Ngay cả những người am hiểu về công nghệ cũng có thể dễ dàng dính phải cạm bẫy này. Nguyên nhân là do UI của hệ thống và của ứng dụng chưa được tách biệt, để người dùng dễ dàng nhận ra.

Theo lập trình viên Felix Krause, iOS cần phải tách biệt rõ ràng giữa giao diện hệ thống và các giao diện của ứng dụng. Nhờ đó, người dùng sẽ dễ dàng nhận ra đâu là yêu cầu của hệ thống iOS và đâu là yêu cầu từ ứng dụng của bên thứ 3.

Tất nhiên sự thay đổi này liên quan đến một số vấn đề lập trình rắc rối và bảo mật. Thậm chí ngay cả một số trang web cũng có thể tạo ra những cửa sổ popup với giao diện giống như thông báo của hệ thống macOS, khiến nhiều người dùng nghĩ rằng đó là thông báo của hệ điều hành.

Việc siết chặt quản lý ứng dụng, xem xét các đoạn mã cập nhật mới thường xuyên có thể giúp Apple ngăn chặn được phương pháp lừa đảo mới này. Tuy nhiên cho đến nay Apple vẫn chưa có bất kỳ bình luận gì, vì vậy chúng ta phải tự bảo vệ bản thân mình trước bằng cách nâng cao cảnh giác trước những yêu cầu đăng nhập mật khẩu trong ứng dụng một cách đáng ngờ.

Theo GenK

Lễ ký kết giữa đại diện Bảo hiểm PVI và eBaohiem.

Theo thỏa thuận hợp tác, Bảo hiểm PVI và eBaohiem cam kết hợp tác lâu dài, bền vững với mục tiêu “nắm tay mua lại rủi ro, bảo vệ sức khỏe của mọi nhà” để triển khai trên kênh trực tuyến hai sản phẩm có những ưu điểm vượt trội như: Chi trả 100% số tiền bảo hiểm khi có chuẩn đoán mắc bệnh (bao gồm cả giai đoạn sớm và giai đoạn trễ); Hỗ trợ toàn diện, bao gồm chi trả trợ cấp trong thời gian nằm viện điều trị và chi trả khi người được bảo hiểm tử vong; Thời gian bảo hiểm linh hoạt, khách hàng có thể lựa chọn các mức 1 năm, 5 năm, 10 năm; Phí bảo hiểm chỉ từ 80.000 đồng/ người/ năm cho sản phẩm Bảo hiểm Bệnh ung thư và 112.500 đồng/người/ năm cho sản phẩm Bảo hiểm Bệnh hiểm nghèo.

Apps ứng dụng eBaohiem kết nối hơn 1000 đại lý tại 64 tỉnh thành.

Ông Lưu Hùng Kiên, Tổng Giám đốc eBaohiem khẳng định: Với nền tảng kinh nghiệm triển khai bán hàng bảo hiểm trực tuyến hơn 05 qua, cũng như việc tiên phong ứng dụng nền tảng công nghệ cho việc kết nối khách hàng và hệ thống hơn 1.000 đại lý tại 64 tỉnh thành, eBaohiem sẽ triển khai việc phân phối sản phẩm bảo hiểm ung thư và bệnh hiểm nghèo của PVI một cách tốt nhất, eBaohiem hứa hẹn sẽ là một trong những kênh phân phối quan trọng trong tương lai của Bảo hiểm PVI.

Tổng công ty Bảo hiểm PVI là Nhà Bảo hiểm hàng đầu Việt Nam, dẫn đầu trong các lĩnh vực bảo hiểm công nghiệp trọng yếu như hàng không, năng lượng, hàng hải, tài sản kỹ thuật… và đang phát triển nhanh trong lĩnh vực bán lẻ với hệ thống 36 đơn vị thành viên, hơn 3.000 đại lý trên toàn quốc. Trung tâm Chăm sóc Khách hàng miền Bắc, miền Nam của Bảo hiểm PVI được đầu tư công nghệ tiên tiến, thiết bị hiện đại và đội ngũ nhân viên chuyên nghiệp, tổng đài hỗ trợ khách hàng hoạt động 24/7. Đối với sản phẩm bảo hiểm con người, Bảo hiểm PVI có hệ thống bệnh viện bảo lãnh viện phí trong nước cũng như quốc tế, tổng đài dịch vụ 24/7 bao gồm dịch vụ hỗ trợ y tế và bảo hiểm khẩn cấp toàn cầu.

Với việc cung cấp sản phẩm Bảo hiểm bệnh ung thư và Bảo hiểm bệnh hiểm nghèo trên một trong những kênh bán bảo hiểm trực tuyến lớn nhất hiện nay , đại diện Bảo hiểm PVI tin tưởng sẽ song hành và chia sẻ kịp thời những khó khăn với khách hàng, góp phần mang lại sự yên tâm phần nào về chi phí tài chính khi điều trị bệnh.

Ngoài ra, bên cạnh những sản phẩm bảo hiểm sẵn có, trong thời gian tới, hai doanh nghiệp sẽ phối hợp để xây dựng các gói sản phẩm phù hợp với nhu cầu riêng cho từng phân khúc khách hàng của thị trường, nhằm mang đến cho khách hàng sự bảo vệ toàn diện và giá trị vượt trội…

Lễ ký kết giữa đại diện Bảo hiểm PVI và eBaohiem.

Theo thỏa thuận hợp tác, Bảo hiểm PVI và eBaohiem cam kết hợp tác lâu dài, bền vững với mục tiêu “nắm tay mua lại rủi ro, bảo vệ sức khỏe của mọi nhà” để triển khai trên kênh trực tuyến hai sản phẩm có những ưu điểm vượt trội như: Chi trả 100% số tiền bảo hiểm khi có chuẩn đoán mắc bệnh (bao gồm cả giai đoạn sớm và giai đoạn trễ); Hỗ trợ toàn diện, bao gồm chi trả trợ cấp trong thời gian nằm viện điều trị và chi trả khi người được bảo hiểm tử vong; Thời gian bảo hiểm linh hoạt, khách hàng có thể lựa chọn các mức 1 năm, 5 năm, 10 năm; Phí bảo hiểm chỉ từ 80.000 đồng/ người/ năm cho sản phẩm Bảo hiểm Bệnh ung thư và 112.500 đồng/người/ năm cho sản phẩm Bảo hiểm Bệnh hiểm nghèo.

Apps ứng dụng eBaohiem kết nối hơn 1000 đại lý tại 64 tỉnh thành.

Ông Lưu Hùng Kiên, Tổng Giám đốc eBaohiem khẳng định: Với nền tảng kinh nghiệm triển khai bán hàng bảo hiểm trực tuyến hơn 05 qua, cũng như việc tiên phong ứng dụng nền tảng công nghệ cho việc kết nối khách hàng và hệ thống hơn 1.000 đại lý tại 64 tỉnh thành, eBaohiem sẽ triển khai việc phân phối sản phẩm bảo hiểm ung thư và bệnh hiểm nghèo của PVI một cách tốt nhất, eBaohiem hứa hẹn sẽ là một trong những kênh phân phối quan trọng trong tương lai của Bảo hiểm PVI.

Tổng công ty Bảo hiểm PVI là Nhà Bảo hiểm hàng đầu Việt Nam, dẫn đầu trong các lĩnh vực bảo hiểm công nghiệp trọng yếu như hàng không, năng lượng, hàng hải, tài sản kỹ thuật… và đang phát triển nhanh trong lĩnh vực bán lẻ với hệ thống 36 đơn vị thành viên, hơn 3.000 đại lý trên toàn quốc. Trung tâm Chăm sóc Khách hàng miền Bắc, miền Nam của Bảo hiểm PVI được đầu tư công nghệ tiên tiến, thiết bị hiện đại và đội ngũ nhân viên chuyên nghiệp, tổng đài hỗ trợ khách hàng hoạt động 24/7. Đối với sản phẩm bảo hiểm con người, Bảo hiểm PVI có hệ thống bệnh viện bảo lãnh viện phí trong nước cũng như quốc tế, tổng đài dịch vụ 24/7 bao gồm dịch vụ hỗ trợ y tế và bảo hiểm khẩn cấp toàn cầu.

Với việc cung cấp sản phẩm Bảo hiểm bệnh ung thư và Bảo hiểm bệnh hiểm nghèo trên một trong những kênh bán bảo hiểm trực tuyến lớn nhất hiện nay , đại diện Bảo hiểm PVI tin tưởng sẽ song hành và chia sẻ kịp thời những khó khăn với khách hàng, góp phần mang lại sự yên tâm phần nào về chi phí tài chính khi điều trị bệnh.

Ngoài ra, bên cạnh những sản phẩm bảo hiểm sẵn có, trong thời gian tới, hai doanh nghiệp sẽ phối hợp để xây dựng các gói sản phẩm phù hợp với nhu cầu riêng cho từng phân khúc khách hàng của thị trường, nhằm mang đến cho khách hàng sự bảo vệ toàn diện và giá trị vượt trội…

Vâng chúng ta có thể thấy rằng ông chủ quán net này đã 'tặng' cho các vị khách hàng ngổ ngáo những cái bạt tai cực chát chúa khiến cho họ phát sợ và chơi game một cách ngoan ngoãn hơn rất rất nhiều so với lúc trước.

Rõ ràng là phương pháp dạy dỗ này có phần bạo lực, tuy nhiên cũng đã một phần cho những game thủ trẻ trâu này hiểu được rằng mình đã sai khi gây gổ đánh nhau ngay tại quán net. Thực chất thì việc này cũng chẳng làm cho họ thắng game được mà đôi khi còn để lại hậu quả đáng tiếc không hay chút nào cả!

Góp ý về việc này, nhiều chủ quán net khác cho rằng việc dạy dỗ là cần thiết, song mạnh tay như thế này thì không hay lắm:"theo mình thì bác chủ quán không nên làm thế, vừa không hay lại vừa mất khách, nó phá quán thì khác, nếu nó đập máy hay đập gì đó thì bác xử lý như thế thì quá hay, nhưng đây thì mới chỉ bình thường thui, xử lý thế này không hay tẹo nào".

Nhìn chung, các chủ quán net nên chủ động xử lý linh hoạt và khôn khéo với các trường hợp như thế này sao cho vừa giữ được khách vừa cho những người trẻ tuổi còn nông nổi một bài học vừa đủ, tránh giận quá lại thành ra mất khôn!

Theo GameK

Có lẽ tình trạng các game thủ thuộc dạng 'trẻ trâu' thiếu suy nghĩ chơi game thua rồi thành ra mâu thuẫn, choảng nhau ngay tại quán net vốn chẳng phải là điều gì lạ lẫm tại Việt Nam. Đa phần các chủ kinh doanh thường chỉ nhắc nhở qua loa, can ngăn đơn giản cho xong chuyện. Thế nhưng ông chủ này thì vô cùng dữ dằn đã xông ra và dạy cho bọn nhóc một bài học nhớ đời:

Vâng chúng ta có thể thấy rằng ông chủ quán net này đã 'tặng' cho các vị khách hàng ngổ ngáo những cái bạt tai cực chát chúa khiến cho họ phát sợ và chơi game một cách ngoan ngoãn hơn rất rất nhiều so với lúc trước.

Rõ ràng là phương pháp dạy dỗ này có phần bạo lực, tuy nhiên cũng đã một phần cho những game thủ trẻ trâu này hiểu được rằng mình đã sai khi gây gổ đánh nhau ngay tại quán net. Thực chất thì việc này cũng chẳng làm cho họ thắng game được mà đôi khi còn để lại hậu quả đáng tiếc không hay chút nào cả!

Góp ý về việc này, nhiều chủ quán net khác cho rằng việc dạy dỗ là cần thiết, song mạnh tay như thế này thì không hay lắm:"theo mình thì bác chủ quán không nên làm thế, vừa không hay lại vừa mất khách, nó phá quán thì khác, nếu nó đập máy hay đập gì đó thì bác xử lý như thế thì quá hay, nhưng đây thì mới chỉ bình thường thui, xử lý thế này không hay tẹo nào".

Nhìn chung, các chủ quán net nên chủ động xử lý linh hoạt và khôn khéo với các trường hợp như thế này sao cho vừa giữ được khách vừa cho những người trẻ tuổi còn nông nổi một bài học vừa đủ, tránh giận quá lại thành ra mất khôn!

Theo GameK