Chỉ với một cú nhấp vào URL được tạo đặc biệt sẽ cho phép kẻ tấn công hack tài khoản Facebook của bạn mà không cần thêm bất kỳ tương tác nào.
Một nhà nghiên cứu bảo mật đã phát hiện ra lỗ hổng bảo mật quan trọng trong nền tảng mạng xã hội phổ biến nhất hiện nay có thể cho phép kẻ tấn công chiếm đoạt tài khoản Facebook bằng cách lừa người dùng click vào một URL đã được dựng sẵn.
Nhà nghiên cứu, người có biệt danh trực tuyến “Samm0uda”, đã phát hiện ra lỗ hổng sau khi anh ta phát hiện ra một điểm cuối thiếu sót (facebook.com/comet/dialog_DONOTUSE/) có thể bị khai thác để vượt qua sự bảo vệ của CSRF và chiếm đoạt tài khoản của nạn nhân.
“Điều này có thể là do điểm cuối dễ bị tấn công lấy điểm cuối Facebook cụ thể khác được kẻ tấn công chọn cùng với các tham số và thực hiện yêu cầu POST đến điểm cuối đó sau khi thêm tham số fb_dtsg”, nhà nghiên cứu nói trên blog của mình .
“Ngoài ra điểm cuối này nằm dưới tên miền chính www.facebook.com, giúp kẻ tấn công dễ dàng hơn để lừa nạn nhân của mình truy cập URL.”
Tất cả những gì kẻ tấn công cần làm là lừa các nạn nhân nhấp vào một URL Facebook được chế tạo đặc biệt, như đã đề cập trên blog của anh ta, được thiết kế để thực hiện nhiều hành động như đăng bất cứ điều gì trên dòng thời gian của họ, thay đổi hoặc xóa ảnh hồ sơ của họ và thậm chí lừa người dùng xóa chúng toàn bộ tài khoản Facebook.
Khai thác 1 lần nhấp để hoàn toàn chiếm đoạt tài khoản Facebook
Việc chiếm quyền kiểm soát hoàn toàn tài khoản của nạn nhân hoặc lừa họ xóa toàn bộ tài khoản Facebook của họ đòi hỏi một số nỗ lực thêm từ phía kẻ tấn công, vì nạn nhân cần nhập mật khẩu trước khi tài khoản bị xóa.
Để làm điều này, nhà nghiên cứu cho biết họ sẽ yêu cầu các nạn nhân truy cập hai URL riêng biệt, một để thêm email hoặc số điện thoại và một để xác nhận nó.
Đó là “bởi vì các điểm cuối ‘ normal ‘ được sử dụng để thêm email hoặc số điện thoại không có tham số ‘next‘ để chuyển hướng người dùng sau khi yêu cầu thành công,” nhà nghiên cứu nói.
Tuy nhiên, nhà nghiên cứu vẫn thực hiện việc tiếp quản tài khoản đầy đủ với một URL bằng cách tìm các điểm cuối có tham số ‘tiếp theo’ và ủy quyền cho một ứng dụng độc hại thay cho nạn nhân và lấy mã thông báo truy cập Facebook của họ.
Với quyền truy cập vào mã thông báo xác thực của nạn nhân, khai thác sẽ tự động thêm địa chỉ email do kẻ tấn công kiểm soát vào tài khoản của họ, cho phép kẻ tấn công chiếm đoạt hoàn toàn tài khoản bằng cách đặt lại mật khẩu và khóa người dùng hợp pháp khỏi tài khoản Facebook của họ.
Mặc dù vụ hack chiếm đoạt tài khoản Facebook đầy đủ bao gồm nhiều bước, nhà nghiên cứu cho biết việc khai thác hoàn toàn bằng một cú nhấp chuột sẽ cho phép bất kỳ người dùng độc hại nào chiếm đoạt tài khoản Facebook của bạn “trong chớp mắt”.
Các cuộc tấn công chiếm đoạt tài khoản như vậy có thể được giảm nhẹ nếu bạn đã bật xác thực hai yếu tố cho tài khoản Facebook của mình, ngăn chặn tin tặc đăng nhập vào tài khoản của bạn cho đến khi hoặc trừ khi chúng xác minh mật mã 6 chữ số được gửi đến thiết bị di động của bạn.
Tuy nhiên, bất kỳ sự giảm thiểu nào cũng không thể ngăn chặn tin tặc thực hiện một số hành động thay mặt bạn tận dụng lỗ hổng này, như thay đổi hoặc xóa ảnh hoặc album hồ sơ của bạn hoặc đăng bất cứ điều gì trên dòng thời gian của bạn.
Samm0uda đã báo cáo lỗ hổng với chi tiết khai thác của mình lên Facebook vào ngày 26 tháng 1. Người khổng lồ truyền thông xã hội đã thừa nhận vấn đề này và giải quyết nó vào ngày 31 tháng 1, thưởng cho nhà nghiên cứu 25.000 đô la như một phần của chương trình tiền thưởng lỗi của Facebook.