Lỗ hổng vCard có thể cho phép kẻ tấn công 'hack' máy tính của bạn

Lỗ hổng này nằm trong quá trình xử lý các tập tin dạng vCard (một chuẩn lưu trữ nội dung là các danh thiếp điện tử). Theo nhà nghiên cứu, kẻ tấn công từ xa có thể tạo một loại tập tin vCard độc hại trong đó có trường URL sẽ được nhúng đến một script thực thi nội bộ trên máy tính. Nếu nạn nhân nhấp vào URL đó, hệ điều hành Windows sẽ chạy mã độc này mà không hiển thị bất kỳ cảnh báo nào, thay vì mở địa chỉ web trên trình duyệt.

"Dữ liệu được tạo ra trong tập tin vCard có thể khiến Windows tự chạy một đoạn mã nguy hiểm", nhà nghiên cứu viết. "Giao diện người dùng của Windows không cung cấp bất kỳ dấu hiệu nguy hiểm nào. Kẻ tấn công có thể tận dụng lỗ hổng này để thực thi mã ngay tại thời điểm hiện tại"

Mặc dù cuộc tấn công cần có sự tương tác của người dùng để khai thác lỗ hổng này trong đó mục tiêu phải nhấp vào liên kết truy cập độc hại nhưng việc không khắc phục được lỗ hổng sẽ tạo cơ hội cho những kẻ tấn công tinh vi nhắm mục tiêu vào người dùng Windows.

An Nhiên (theo The Hacker News)

Mã độc núp bóng selfie đánh cắp thông tin cá nhân người dùng

Hãng bảo mật McAfee đưa ra cảnh báo một loại phần mềm độc hại (malware) mới có khả năng lợi dụng thao tác chụp ảnh tự sướng để đánh cắp dữ liệu tài chính trên điện thoại Android.

Thực tế, nhiều mối nguy đã trở thành sự thực. Theo báo cáo an toàn thông tin (ATTT) của hệ thống Viettel Threat Intelligence, từ đầu năm 2023 đến nay, 126 chiến dịch tấn công có chủ đích nhắm các doanh nghiệp Việt được ghi nhận, tăng gần 60% so với 2022. 24 vụ lộ lọt dữ liệu với thông tin được rao bán công khai. Ở hình thức DDoS, hơn 111 nghìn các cuộc tấn công được ghi nhận với dung lượng trên 1Gbps, tức lớn hơn đường truyền Internet mà các doanh nghiệp đang sử dụng, gây tê liệt cho các hệ thống này trong hàng triệu phút. 

Dù đánh giá các doanh nghiệp Việt Nam đã quan tâm hơn đến ATTT, nhưng với những số liệu trên, ông Quảng cho rằng “có những thách thức khiến việc đầu tư ATTT chưa thực sự phát huy hiệu quả tối đa”. 

Nhận diện thách thức khi triển khai hệ thống ATTT 

Theo chuyên gia VCS, có 3 thách thức chính ảnh hưởng đến hiệu quả đầu tư về ATTT, đó là: con người, quy trình và công nghệ. 

Việt Nam đang trong tình trạng thiếu hụt trầm trọng nhân sự ATTT, trong khi đó, nhận thức ATTT với người dùng cuối còn chưa tương xứng với sự phát triển của thế giới mạng. Về công nghệ, doanh nghiệp dù đầu tư nhiều, nhưng vẫn thiếu giải pháp phòng chống lại các kỹ thuật tấn công tiên tiến, cũng như thiếu khả năng phòng chống tấn công DDoS băng thông lớn. 

Một thực trạng khác cũng được chỉ ra là quy trình ATTT của các đơn vị còn nhiều bất cập, khi thiếu biện pháp giám sát liên tục, chậm cập nhật với các nguy cơ ATTT toàn cầu và phản ứng không kịp thời trước tấn công mạng. “Sau khi một lỗ hổng được công bố, hacker chỉ cần từ 24-48 tiếng khai thác chúng, thế nhưng doanh nghiệp đôi khi mất nhiều tuần, nhiều tháng mới hoàn thành việc khắc phục xong một nguy cơ”, ông Quảng nói. 

Để giải quyết phần nào các thách thức, chuyên gia VCS khuyến nghị doanh nghiệp cần xây dựng được kiến trúc ATTT, đồng thời có phương án phòng thủ nhiều lớp để nâng cao năng lực ATTT theo cả chiều rộng lẫn chiều sâu. Trong đó, họ có thể áp dụng kiến trúc NIST Cybersecurity Framework cùng phòng thủ chiều sâu (Defense in Depth). Cách làm này giúp giảm xác suất của việc bị tấn công vào hệ thống xuống mức tối thiểu. 

Theo ông Nguyễn Anh Tuấn - Phó Giám đốc VCS, các doanh nghiệp Việt hiện nay vẫn chưa thực sự đầu tư một cách bài bản. Vì vậy cả khi đã có các tư vấn cụ thể về hướng đi, việc triển khai như thế nào cũng là vấn đề lớn. “Họ vẫn tập trung nhiều vào câu chuyện mua sắm mà không đầu tư nhiều vào con người và quá trình vận hành các giải pháp”, ông nói. Thực tế, tình trạng mất an toàn vẫn xảy ra ngay cả ở những doanh nghiệp có tiềm lực mạnh, đầu tư những công cụ đắt tiền. 

Hướng đi nào cho doanh nghiệp Việt?

Trước thực trạng triển khai ATTT tại Việt Nam, VCS khuyến nghị các tổ chức, doanh nghiệp cần tuân thủ các nguyên tắc như: Giám sát liên tục, Phòng thủ chủ động và Rà soát định kỳ. Trong trường hợp gặp khó khăn khi tuân thủ các giải pháp này, phương án tốt nhất là chọn một đối tác đồng hành chuyên về ATTT để triển khai. 

Theo ông Nguyễn Anh Tuấn, xu hướng tìm đối tác đồng hành ATTT cũng gia tăng tại Việt Nam, khi các doanh nghiệp ngày càng mong muốn đầu tư một cách bài bản về ATTT. “Họ cần có một đối tác đồng hành, có sự cam kết chứ không phải chỉ là mua bán dịch vụ, giải pháp đơn thuần”, ông Tuấn nói. Đây cũng là lý do VCS xây dựng chương trình Trưởng thành về An toàn thông tin (Cybersecurity Maturity Program - CSMP) nhằm đồng hành cùng các doanh nghiệp trong xu thế chuyển đổi số hiện nay. 

Khác với một nhà cung cấp giải pháp hoặc dịch vụ đơn thuần, đối tác đồng hành sẽ cùng giải quyết mọi vấn đề về ATTT, sẵn sàng ứng cứu khi có sự cố và có thể vượt qua các khuôn khổ hợp đồng vì mục tiêu chung. Họ cũng sẽ giúp nâng cao năng lực nội tại của doanh nghiệp, thông qua việc đào tạo nâng cao năng lực cho đội ngũ, chia sẻ tri thức. Kết quả sẽ được đo bằng việc cùng nâng cao mức độ trưởng thành về ATTT của tổ chức theo thời gian.

“Với vai trò nhà cung cấp dịch vụ ATTT hàng đầu tại Việt Nam, VCS sẵn sàng trở thành một đối tác đồng hành về ATTT, đi cùng doanh nghiệp trong hành trình dài, nhằm vượt qua thách thức từ các tổ chức tội phạm mạng ngày càng nguy hiểm, đồng thời giúp doanh nghiệp yên tâm vận hành, giảm chi phí đáng kể so với việc phải tự xây dựng hệ thống ATTT của riêng mình”, đại diện VCS khẳng định. 

Doãn Phong

Đạo luật tin tức trực tuyến nằm trong xu hướng chung của thế giới nhằm buộc những gã khổng lồ Internet trả tiền cho tin tức và được thông qua vào tháng 6. Chính phủ đang hoàn thiện các quy tắc trước hạn chót ngày 19/12.

Như một phần trong thỏa thuận với Canada, Google mỗi năm sẽ đóng góp 100 triệu C$ (khoảng 73 triệu USD) cho các tổ chức tin tức.

Công ty sẽ làm việc với một đơn vị duy nhất để phân phối quỹ. Trước đó, “ông lớn” công nghệ Mỹ dọa chặn tin tức trên công cụ tìm kiếm – nguồn truy cập lớn với gần như mọi website trên Internet – vì cho rằng luật của Canada khắc nghiệt hơn các nước châu Âu và Australia.

Thủ tướng Canada Justin Trudeau cho biết Google đã đồng ý hỗ trợ hợp lý các nhà báo, bao gồm báo chí địa phương. “Không may, Meta tiếp tục từ bỏ hoàn toàn mọi trách nhiệm đối với các thể chế dân chủ", ông nói.

Meta – một trong những mục tiêu khác của luật – đã chặn chia sẻ tin tức trên Facebook và Instagram. Động thái làm nảy sinh mâu thuẫn kéo dài nhiều tháng giữa Meta và các nhà xuất bản tin tức lớn của Canada, bóp nghẹt các ấn phẩm quy mô nhỏ.

Theo Bộ trưởng St-Onge, thỏa thuận với Google cho thấy luật mới có hiệu quả và kêu gọi Meta giải thích quyết định chặn chia sẻ tin tức tại Canada.

Bà nói thêm Canada có thể ngồi lại với Google trong tương lai nếu có những thỏa thuận khác tốt hơn trên thế giới. Tháng trước, Google đạt thỏa thuận trả cho một nhóm nhà xuất bản Đức 3,5 triệu USD mỗi năm.

Trong một tuyên bố, Meta khẳng định không thay đổi quyết định. “Khác với công cụ tìm kiếm, chúng tôi không chủ động kéo tin tức từ Internet để đặt vào bảng tin của người dùng, và từ lâu đã làm rõ rằng cách duy nhất mà chúng tôi có thể làm để tuân thủ Đạo luật tin tức trực tuyến là chấm dứt sự khả dụng của tin tức đối với mọi người tại Canada”, người phát ngôn Meta nói.

Đạo luật tin tức trực tuyến được đưa ra sau những khiếu nại của giới truyền thông Canada, muốn quản lý các hãng công nghệ chặt hơn để ngăn họ đẩy các doanh nghiệp tin tức ra khỏi thị trường quảng cáo trực tuyến.

Trước đây, Meta từng hành động tương tự khi chặn tin tức trên trên các nền tảng tại Australia năm 2021 sau khi nước này thông qua đạo luật buộc công ty công nghệ trả tiền cho tin tức.

Dù vậy, cuối cùng Meta đã ký thỏa thuận với các tờ báo Australia.

(Theo The Guardian)

Theo Cục Cảnh sát phòng chống tội phạm sử dụng công nghệ cao (C50), thủ đoạn của các đối tượng mạo danh lực lượng chức năng rất tinh vi khi dùng Internet thông qua phương thức VoIP để gọi điện nhằm tránh sự truy xét của cơ quan điều tra. Nếu bị hại ở miền Bắc thì chúng mạo danh là cán bộ các cơ quan pháp luật ở trong Nam và ngược lại. Mục đích để gây khó khăn cho việc xác minh. Thêm vào đó, tội phạm mạng còn sử dụng các phần mềm giả số điện thoại của cơ quan chức năng để lừa người dùng.

Để hạn chế các rủi ro có thể xảy ra, người dùng cần thận trọng khi chia sẻ thông tin cá nhân, tài khoản ngân hàng cho người khác, kể cả khi họ xưng là nhân viên ngân hàng, công an,... Phía ngân hàng cũng đã yêu cầu các tổ chức tín dụng thông báo về thủ đoạn lừa đảo này cho người dùng và nhân viên ngân hàng để tăng cường cảnh giác.

Trước đó, một số ngân hàng lớn tại Việt Nam như Techcombank, Vietcombank,... đều đồng loạt đưa ra thông báo về việc xuất hiện nhiều trang web giả mạo ngân hàng nhằm chiếm đoạt thông tin tài khoản của người dùng.

Giao diện trang web giả mạo tương tự như Vietcombank

Theo đó, kẻ gian sẽ gửi tin nhắn giả mạo ngân hàng đến điện thoại của người dùng với nội dung: “Khách hàng đã nhận được tiền từ dịch vụ chuyển tiền Western Union” hoặc các dịch vụ tương tự, sau đó yêu cầu người dùng đăng nhập vào trang web giả mạo để xác nhận. Nếu làm theo, kẻ gian sẽ ngay lập tức có được thông tin tài khoản ngân hàng, mã OTP và lấy tiền của bạn.

Phía ngân hàng khuyến cáo người dùng chỉ nên đăng nhập tài khoản trên website chính thức của ngân hàng, không nạp hay chuyển tiền theo yêu cầu của người lạ hoặc khi có dấu hiệu nghi vấn. Đồng thời không cung cấp thông tin thẻ (số thẻ, ngày hiệu lực, mã số PIN, địa chỉ, họ tên chủ thẻ,...) khi nhận được email, điện thoại yêu cầu xác nhận thông tin hoặc các cuộc gọi nghi ngờ khác.

Lừa người dùng nhập mã OTP được gửi về điện thoại

Ngoài ra, người dùng cần thay đổi mật khẩu theo định kỳ, sử dụng mật khẩu mạnh bao gồm chữ hoa, chữ thường, số và các ký tự đặc biệt để tăng độ phức tạp. Người dùng cũng nên đăng kí dịch vụ SMS banking để theo dõi biến động tài khoản (tiền vào/tiền ra) nhằm kịp thời phát hiện các dấu hiệu bất thường.

Người dùng cần phải cảnh giác hơn với những tin nhắn lừa đảo thông báo trúng thưởng qua SMS, Facebook, điện thoại,... Hành vi của kẻ gian ngày càng tinh vi và liều lĩnh hơn, nên cần nhớ một điều là tuyệt đối không cung cấp thông tin cá nhân, tài khoản ngân hàng hay địa chỉ email cho người khác.

Đồng thời, khi thực hiện các giao dịch chuyển tiền trực tuyến, hãy để ý đến liên kết trang xem có đúng hay chưa, thường thì các trang web của ngân hàng sẽ sử dụng giao thức bảo mật HTTPS nên ở phần đầu địa chỉ sẽ có biểu tượng ổ khóa màu xanh lá, nghĩa là an toàn.

Nhìn chung, trên đây chỉ là một trong số nhiều chiêu trò lừa đảo chiếm đoạt tài khoản ngân hàng. Tất nhiên, đằng sau đó vẫn còn rất nhiều hình thức và các trang web lừa đảo tương tự, người dùng phải thật sự tỉnh táo, tránh ham rẻ để rồi bị sập bẫy kẻ gian, đến khi mất tiền thì hối hận đã muộn.

Hoa Hoa

Đăng status kiểm soát thông tin cá nhân trên Facebook là trò lừa đảo

 Theo giải thích của Facebook Việt Nam, việc người dùng đăng thông báo trên trang cá nhân sẽ không có tác dụng trong việc kiểm soát thông tin cá nhân của họ trên Facebook.