Tin nhắn SMS xác thực chuyển tiền ngân hàng có thể bị đánh cắp

Năm ngoái, nhóm nghiên cứu của công ty bảo mật PT từ Mỹ đã khai thác thành công lỗ hổng trong giao thức báo hiệu số 7 - SS7 (Signaling System #) nhằm đánh chặn mã xác thực một lần (OTP), loại mã thường dùng để xác thực tài khoản hay các giao dịch ngân hàng. Thay vì tăng cường bảo mật, hàng rào OTP hoàn toàn có thể bị phá vỡ, giúp tin tặc đánh cắp tài khoản Facebook, Twitter... hoặc thực hiện các lệnh chuyển tiền.

Đánh cắp mã xác thực OTP có thể là một trong những cách để đánh cắp tiền trong giao dịch ngân hàng.

Alex Mathews, Giám đốc kỹ thuật của PT giải thích: "Thực tế không thể chối cãi là các nhà mạng tồn tại lỗ hổng SS7 và nó đã được chứng minh bởi nhiều nhà nghiên cứu, không riêng chúng tôi. Vấn đề là cả ngành viễn thông làm ngơ với nó. Trong khi đó, nhiều dịch vụ lại xây dựng cơ chế bảo mật dựa trên hạ tầng viễn thông".

Đội ngũ của Alex đã chứng minh nghiên cứu của mình bằng cách đánh cắp tài khoản Facebook. Đầu tiên, họ gửi yêu cầu lấy lại mật khẩu và mạng xã hội này đã gửi SMS đến số điện thoại của nạn nhân số OTP xác thực. Bằng cách khai thác SS7, nhóm lấy được dãy số bí mật này và hoàn tất việc đổi mật khẩu, truy cập thành công vào tài khoản Facebook.

"Cách thức mà chúng tôi nêu trên có thể dùng để thiết lập lại tài khoản của mọi dịch vụ dùng xác thực SMS OTP. Nguy hiểm hơn, mã OTP bị đánh cắp có thể gây tổn hại cho hệ thống tài chính, ngân hàng hay các dịch vụ thanh toán trực tuyến. Vấn đề trở nên phức tạp khi nhiều chuyên gia bảo mật lại vận động người dùng kích hoạt SMS OTP như một hàng rào bảo vệ. Tuy nhiên, chúng tôi khuyến cáo bạn không nên làm thế!", ông Alex nói.

Tin nhắn SMS có thể bị chặn bằng cách khai thác lỗ hổng SS7 tồn tại trong nhiều hệ thống viễn thông.

Đánh giá về lỗ hổng SS7, chuyên gia bảo mật độc lập Nguyễn Hồng Phúc cho rằng nó có thể là một trong những kẽ hở để đánh cắp tiền trong tài khoản ngân hàng. Thông thường với các dịch vụ Internet Banking, người dùng sẽ có tên tài khoản và mật khẩu để đăng nhập. Khi thực hiện giao dịch chuyển tiền hay mua hàng, bạn phải thêm một bước xác thực nữa, có thể là nhập mã OTP được ngân hàng gửi đến số điện thoại đã đăng ký thông qua tin nhắn SMS.

Như vậy, nếu tin tặc có thông tin đăng nhập và khai thác lỗ hổng SS7 thì hoàn toàn có thể đánh cắp tiền trong tài khoản ngân hàng. Ông Phúc cũng nhấn mạnh rằng đây chỉ là một trong những cách để hacker có được mã OTP của nạn nhân.

Trước đó, lỗ hổng báo hiệu số 7 đã được các chuyên gia an ninh thuộc Research Labs (Đức) khai thác và trình diễn khả năng hack vào chiếc điện thoại của Nghị sỹ Ted Lieu, một thành viên Ủy ban Giám sát và Cải cách Công nghệ thông tin tại Mỹ. Nhóm truy cập thành công vào chiếc điện thoại của vị đại biểu quốc hội Mỹ mà chỉ cần biết số điện thoại của người này.

"Dù là người dân hay chính khách, chọn điện thoại nào, có cài đặt mật khẩu hay không, tải và cài đặt ứng dụng gì... cũng không ảnh hưởng đến việc tấn công, bởi phương thức này dựa trên mạng di động", chuyên gia bảo mật Karsten Nohl của Research Labs cho biết.

Lỗ hổng trong báo hiệu số 7 được biết đến từ năm 2015 và kiến trúc báo hiệu này được sử dụng bởi hơn 800 công ty viễn thông trên toàn thế giới. Chuyên gia Nohl cho rằng lỗ hổng SS7 thực sự là bí mật mở giữa các cơ quan tình báo trên thế giới. Ông cũng lưu ý rằng nó tồn tại trong chính mạng di động bởi vậy theo Nohl, các điện thoại đều giống nhau và không có chiếc nào an toàn hơn so với chiếc nào cả.