Kaspersky Lab hướng dẫn cách phòng tránh rò rỉ hình ảnh từ dịch vụ iCloud

Vụ việc hàng trăm bức ảnh nóng của hơn 100 ca sĩ, diễn viên và nhân vật nổi tiếng bị rò rỉ đã đặt ra câu hỏi về mức độ an toàn của các dịch vụ lưu trữ trực tuyến. Làm thế nào để người dùng tự bảo vệ mình trước nguy cơ bị tấn công và bị lấy cắp các dữ liệu quan trọng và nhạy cảm?

Lỗ hổng trong nền tảng iCloud cho phép thực hiện nhập mật khẩu với số lần không giới hạn để mở tài khoản.Lỗ hổng trong nền tảng iCloud cho phép thực hiện nhập mật khẩu với số lần không giới hạn để mở tài khoản.

Những ngày cuối tuần qua được đánh dấu bằng một sự kiện gây chấn động cả cộng đồng mạng: Hacker bằng cách nào đó đã có được những hình ảnh riêng tư của các ngôi sao nổi tiếng tại Hollywood, trong đó có nhiều sao hạng A, như Jennifer Lawrence và tung những tấm hình đó lên Internet.

Ban đầu, có một giả định cho rằng có lẽ một số hình ảnh đã bị đánh cắp trực tiếp từ tài khoản iCloud của những người nổi tiếng. Song, tại thời điểm này, vẫn chưa có bằng chứng cụ thể nào được đưa ra. Apple và FBI vẫn đang phối hợp điều tra và hi vọng sẽ sớm có kết quả.

Theo các chuyên gia bảo mật, để truy cập trái phép vào tài khoản của nạn nhân là sự kết hợp của nhiều yếu tố, đầu tiên là một lỗ hổng nhỏ trong nền tảng iCloud cho phép thực hiện nhập mật khẩu với số lần không giới hạn để mở tài khoản. Thông thường, một trang web sẽ khóa tài khoản khi một người nào đó cố gắng đăng nhập nhiều hơn 3-5 lần mà không thành công. Trong khi giao diện bình thường của ứng dụng iCloud, giao diện “Find my iPhone” lại thiếu sự hạn chế này.

Lỗ hổng này cho phép tin tặc thực hiện phương pháp "bruteforce” - được tiến hành bằng cách thử hàng loạt từ và cụm từ để đoán mật khẩu cho đến khi tìm được mật khẩu chính xác. Để tiến hành “bruiteforce” iCloud, tội phạm mạng có thể đã sử dụng một ứng dụng nguồn mở đã trở nên khá phổ biến trên các trang dành cho tội phạm gần đây - ứng dụng có tên là GitHub. Ứng dụng này dường như sẽ khai thác lỗ hổng (hiện đã được Apple vá) trong dịch vụ Find My iPhone để có thể đoán mật khẩu iCloud nhiều lần mà không bị khóa.

Thứ hai, nhiều người nổi tiếng có lẽ đã bỏ qua việc tạo mật khẩu mạnh và chọn những mật khẩu rất đơn giản. Hacker có thể chỉ cần thử khoảng 500 mật khẩu phổ biến theo kiểu “bruteforce” là đã có được kết quả.

Cuối cùng, điều quan trọng nhất là Apple đã cung cấp một dịch vụ bảo vệ khỏi những cuộc tấn công như thế này bằng cách thực hiện việc xác minh 2 bước, nhưng nhiều nạn nhân đã bỏ qua công cụ hiệu quả này.

Theo một số báo cáo, Apple đã vá lỗi chỉ vài giờ sau khi ảnh “nóng” bị phát tán. Và vào ngày thứ hai, tài khoản iCloud đã không thể bị tấn công theo kiểu “bruteforce” nữa. Tuy nhiên, không có gì đảm bảo rằng các lỗ hổng khác không tồn tại. Hơn nữa, đây không phải là lần đầu tiên tin tặc tấn công người dùng Apple sử dụng iCloud và Find My iPhone. Trong mùa hè này, một số quốc gia phải hứng chịu các sự cố tống tiền qua mạng, nạn nhân đã bất ngờ nhận thấy iPhone/iPad của họ bị khóa bởi chức năng chống trộm Find My iPhone. Màn hình bị khóa đã hiển thị tin nhắn yêu cầu một khoản tiền chuộc để lấy lại quyền kiểm soát thiết bị.

Kaspersky Lab hướng dẫn cách phòng tránh rò rỉ hình ảnh từ dịch vụ iCloud ảnh 1
Lỗ hổng này cho phép tin tặc thực hiện phương pháp "bruteforce” - được tiến hành bằng cách thử hàng loạt từ và cụm từ để đoán mật khẩu cho đến khi tìm được mật khẩu chính xác.

Sự cáo buộc này chứng minh rằng, quyền riêng tư của người nổi tiếng hay người bình thường đều đang ở mức báo động. Không thể phủ nhận được sự tiện lợi của các dịch vụ lưu trữ tập tin trên đám mây đối với người dùng Internet, nhưng bên cạnh đó vẫn tồn tại một số nguy cơ đáng kể.

“Khi nói đến bảo mật đám mây thì sự an toàn của các thiết bị đầu cuối thường bị bỏ qua. Các thiết bị hoàn toàn có thể trở thành nguồn gốc của sự rò rỉ nếu nó bị tấn công bởi phần mềm độc hại, và có thể gửi các tập tin và thông tin quan trọng từ các đám mây vào tay tin tặc”, các chuyên gia bảo mật Kaspersky Lab cho biết…

Để tránh bị rò rỉ dữ liệu cá nhân thông qua máy tính, thiết bị di động hoặc các dịch vụ điện toán đám mây, Christian Funk, nhà nghiên cứu cấp cao về bảo mật tại Kaspersky Lab đã đưa ra một số khuyến cáo đối với người dùng: 

- Sử dụng các mật khẩu mạnh, duy nhất cho mỗi tài khoản.

- Sử dụng giải pháp bảo mật thiết bị đầu cuối để bảo vệ thiết bị của bạn, bởi vì mỗi thiết bị là một cửa ngõ vào lưu trữ đám mây.

- Kích hoạt xác thực hai bước.

- Phân loại ra những thông tin nên hay không nên được lưu trữ trong đám mây. Thông tin nhạy cảm có liên quan đến cuộc sống cá nhân hoặc nghề nghiệp của bạn - không bao giờ tin cậy để trên các đám mây.

- Thiết bị di động của bạn có thể bị mất hoặc bị đánh cắp rất dễ dàng, do đó hãy chắc chắn rằng các thiết bị đó không lưu trữ dữ liệu nhạy cảm. Hoặc phải có mã hóa trong trường hợp bất khả kháng.

- Nếu bạn muốn lưu trữ thông tin nhạy cảm (bao gồm cả hình ảnh và video), hãy kiểm tra lại thiết bị của bạn có ở chế độ tự động đưa dữ liệu lên đám mây không.

- Trước khi chia sẻ dữ liệu cá nhân hoặc cho phép một người nào đó có được một hình ảnh của bạn, hãy chắc chắn rằng các thiết bị đó đủ an toàn để bảo vệ dữ liệu cá nhân của bạn…

(GN)