Hơn 130 công ty công nghệ lớn là mục tiêu của chiến dịch lừa đảo khổng lồ này

Nhiều cái tên lớn trong ngành như Twilio, Signal, DoorDash, Best Buy và AT&T đều nằm trong tầm ngắm của chiến dịch lừa đảo.

Theo The Verge, hơn 130 tổ chức lớn trong ngành công nghệ, trong đó có Twilio, DoorDash và Cloudflare, đã bị tin tặc xâm nhập và tấn công trong chiến dịch lừa đảo 0ktapus kéo dài nhiều tháng. Theo đó, thông tin đăng nhập của gần 10.000 cá nhân đã bị đánh cắp bằng một dịch vụ giả mạo được tạo ra bởi các tác nhân gây hại nhằm “nhái” lại dịch vụ đăng nhập một lần Okta, theo một báo cáo từ tổ chức an ninh mạng Group-IB.

Những kẻ tấn công đã sử dụng quyền truy cập đó để lặp lại hành động tấn công những tài khoản trên các dịch vụ khác.

Vào ngày 15/8, dịch vụ nhắn tin Signal đã cảnh báo người dùng rằng việc xâm phạm Twilio của những kẻ tấn công cho phép chúng đánh cắp được 1.900 tài khoản Signal và xác nhận rằng những kẻ này có thể đăng ký thiết bị bổ sung vào tài khoản, điều này sẽ cho phép chúng gửi và nhận tin nhắn từ tài khoản đó.

Tuần này Twilio cũng đã cập nhật thông báo bị vi phạm của công ty, lưu ý rằng 163 khách hàng đã bị truy cập dữ liệu trái phép. Ngoài ra còn có 93 người dùng Authy, dịch vụ đám mây của Twilio dùng để xác thực đa yếu tố, bị truy cập tài khoản và đăng ký các thiết bị bổ sung.

Các nạn nhân của chiến dịch lừa đảo đã nhận được tin nhắn văn bản chuyển hướng họ đến một trang web lừa đảo. Như báo cáo từ Group-IB cho biết: “Theo nạn nhân, trang web lừa đảo này trông khá thuyết phục vì nó rất giống với trang xác thực mà họ thường thấy”. Nạn nhân được yêu cầu cung cấp tên người dùng, mật khẩu và mã xác thực hai yếu tố.

Quy mô của cuộc tấn công là rất lớn, Group-IB đã phát hiện ra 169 tên miền cụ thể mà chiến dịch nhắm mục tiêu. Người ta tin rằng chiến dịch 0ktapus bắt đầu vào khoảng tháng 3/2022 và cho đến nay, khoảng 9.931 thông tin đăng nhập đã bị đánh cắp. Những kẻ tấn công đã mở rộng mạng lưới, nhắm mục tiêu vào nhiều ngành, bao gồm tài chính, trò chơi và viễn thông. Các tên miền được Group-IB coi là mục tiêu (nhưng chưa xác nhận vi phạm) đều thuộc các công ty lớn như Microsoft, Twitter, AT&T, Verizon Wireless, Coinbase, Best Buy, T-Mobile, Riot Games và Epic Games.

Các nhà nghiên cứu cho biết: “Với việc các công ty tài chính xuất hiện trong danh sách bị xâm nhập, cho thấy những kẻ tấn công cũng đang cố gắng đánh cắp tiền. Hơn nữa, một số công ty nằm trong tầm ngắm đang cung cấp quyền truy cập vào tài sản và thị trường tiền điện tử, trong khi những công ty khác phát triển các công cụ đầu tư”.

Group-IB cảnh báo rằng hiện chưa thể xác định quy mô tấn công của 0ktapus sẽ còn lớn đến mức nào, nên để đề phòng các cuộc tấn công tương tự, người dùng luôn phải kiểm tra kĩ URL của bất kỳ trang web nào mà họ điền thông tin đăng nhập; xử lý các URL nhận được từ các nguồn không xác định; và để tăng cường bảo vệ, có thể sử dụng khóa bảo mật hai yếu tố dạng “unphishable – không thể xâm nhập”, chẳng hạn như YubiKey.

Theo Group-IB, chuỗi các cuộc tấn công lừa đảo gần đây là một trong những chiến dịch mạnh mẽ về quy mô, với báo cáo kết luận rằng “0ktapus cho thấy các tổ chức dễ bị tấn công, dù là chỉ là hình thức tấn công bằng kỹ thuật truyền thông xã hội cơ bản”.

Quy mô của những mối đe dọa này cũng không có khả năng giảm trong tương lai gần. Nghiên cứu từ Zscaler cho thấy rằng các cuộc tấn công lừa đảo đã tăng 29% trên toàn cầu vào năm 2021 so với năm trước và lưu ý rằng lừa đảo qua SMS nói riêng đang tăng nhanh hơn so với các loại lừa đảo khác khi mọi người đã bắt đầu nhận diện được các email có nội dung lừa đảo.