Bí mật! Cách tránh tấn công vào tài khoản của bạn thông qua trình duyệt!

Các thủ thuật nhấp chuột không nghi ngờ mọi người vào các liên kết mà họ nghĩ là vô hại, nhưng sau đó tải xuống phần mềm độc hại, thông tin thu hoạch và tiếp quản các tài khoản trực tuyến. Thật không may, phần mềm độc hại nhấp chuột có thể tránh được các biện pháp bảo vệ bảo mật, nhưng có nhiều cách để bảo vệ chính bạn.

Clickjacking là gì?

Còn được gọi là tấn công lớp phủ UI REDRESS ATTERE hoặc EDOWNETE (UI), Clickjacking là một hình thức tấn công dựa trên giao diện, điều khiển người dùng nhấp vào các nút hoặc liên kết được ngụy trang như một thứ khác.

Không giống như giả mạo trang web, nơi nạn nhân được đưa đến Trang web giả mạo được thiết kế để bắt chước trang web của một công ty hợp phápClickjacking đưa người dùng đến trang web thực sự. Tuy nhiên, những kẻ tấn công tạo ra một lớp phủ vô hình trên đầu trang web hợp pháp sử dụng các công cụ HTML như bảng kiểu xếp tầng (CSS) và ifRames.

Lớp vô hình được tạo bằng IFRAME, phần tử HTML được sử dụng để nhúng trang web hoặc tài liệu HTML vào một phần khác. Nó minh bạch, vì vậy có vẻ như bạn đang tương tác với một trang web hợp pháp. Tuy nhiên, nếu bạn nhấp vào nút trên trang web hợp pháp, chơi trò chơi hoặc thực hiện một nhiệm vụ bạn nghĩ là vô hại, những nhấp chuột đó được áp dụng cho trang web vô hình trên đầu. Các nhấp chuột cho phép tin tặc truy cập vào tài khoản của bạn, cho phép họ tải xuống phần mềm độc hại, tiếp quản thiết bị của bạn và thực hiện các hoạt động bất chính khác.

Đôi khi, những kẻ tấn công ngụy trang khi các nhà tiếp thị lừa người dùng thích một trang truyền thông xã hội hoặc bài đăng. Cuộc tấn công này được gọi là thích. Những kẻ tấn công gửi cho người dùng một video thú vị hoặc một ưu đãi đặc biệt của người Viking, và nhấp chuột vào trò chơi hoặc tương tác với nội dung sẽ khiến người dùng vô tình nhấp vào nút Like Hidden.

Một phiên bản khác của Clickjacking, được gọi là con trỏ, người dùng thủ thuật với con trỏ tùy chỉnh nhấp vào liên kết hoặc các phần của trang web mà người dùng không có ý định tương tác.

Một biến thể nâng cao hơn của clickjacking được gọi là Double Clickjacking khai thác thời gian và trình tự của các nhấp chuột kép của người dùng.

Cách thức chia cắt đôi các biện pháp bảo vệ clickjacking

Nhiều trình duyệt web hiện đại đã giảm nhẹ việc nhấp vào phòng thủ bảo mật. Tuy nhiên, một phiên bản tinh vi được gọi là “Double Clickjacking” có thể phá vỡ các biện pháp bảo vệ truyền thống bằng cách khai thác chuỗi giữa hai lần nhấp để tiếp quản tài khoản hoặc thực hiện các hành động trái phép.

Trong một cuộc tấn công gấp đôi, các yếu tố độc hại được chèn giữa các lần nhấp thứ nhất và thứ hai của người dùng. Lần đầu tiên bạn được đưa đến một trang web do kẻ tấn công kiểm soát và đưa ra một lời nhắc, như giải quyết một nút captcha hoặc nhấp đúp vào một nút để ủy quyền cho một hành động. Nhấp đầu tiên đóng hoặc thay đổi cửa sổ trên cùng (lớp phủ CAPTCHA), khiến lần nhấp thứ hai hạ cánh trên nút ủy quyền hoặc liên kết ẩn trước đó. Nhấp chuột thứ hai ủy quyền cho các trình cắm độc hại, khiến ứng dụng OAuth kết nối với tài khoản của bạn hoặc phê duyệt dấu nhắc xác thực đa yếu tố.

Bạn có thể làm gì để bảo vệ chính mình

Các kỹ thuật clickjacking rất khó khăn và được thiết kế để làm bạn bối rối để đánh cắp các nhấp chuột của mình, nhưng bạn có thể làm một vài điều để bảo vệ chính mình.

• Giữ cho thiết bị và trình duyệt của bạn cập nhật. Xem ra các bản vá bảo mật và cập nhật phần mềm và cài đặt chúng ngay khi chúng có sẵn. Các kỹ sư thường xuyên phát hành các bản vá để giải quyết các lỗ hổng bảo mật và bảo vệ người dùng khỏi các cuộc tấn công mới.

• Hãy nghi ngờ các lời nhắc yêu cầu nhấp chuột gấp đôi, đặc biệt là trên các trang web mà bạn không quen thuộc.

• Luôn kiểm tra kỹ URL của các trang web mà bạn truy cập. Những kẻ tấn công có thể sử dụng lỗi chính tả để mua một phiên bản của một miền hợp pháp với những khác biệt rất tinh tế, như một chiếc A A-A hay một dấu gạch nối được đưa vào miền, như “Ama-zon.com”, ví dụ.

• Tránh nhấp vào liên kết khi bạn không chắc chắn về nguồn. Bạn có thể Sử dụng trình kiểm tra liên kết trang web Để xem nếu liên kết an toàn.

Những kẻ tấn công thường khai thác niềm tin của bạn vào các trang web hợp pháp và các hành động cơ bản mà chúng ta thường làm mà không cần suy nghĩ, như nhấp đúp. Điều quan trọng là phải chậm lại và suy nghĩ trước khi bạn nhấp vào để bảo vệ chính mình.