Cảnh báo chiêu lừa đảo mới lợi dụng Google Tasks để đánh cắp tài khoản

Theo Kaspersky - hãng bảo mật phát hiện ra chiến dịch tấn công - bằng cách tận dụng sự tin tưởng đối với các dịch vụ quen thuộc của Google và tên miền @google.com, kẻ tấn công có thể vượt qua nhiều lớp lọc thư rác và bảo mật email truyền thống. Nạn nhân sẽ nhận được thông báo có giao diện giống hệt thông báo hợp lệ từ Google Tasks với tiêu đề "You have a new task" (Bạn có một nhiệm vụ mới) khiến người nhận tin rằng đây là yêu cầu công việc chính thức được giao thông qua công cụ của Google.

Nội dung thường được thiết kế để tạo cảm giác khẩn cấp, ví dụ gắn mức độ ưu tiên cao hoặc yêu cầu xử lý gấp nên người nhận dễ rơi vào trạng thái vội vàng, thực hiện theo hướng dẫn mà không kiểm tra kỹ nguồn gốc thông tin.

Ảnh: Chụp màn hình

Khi nhấp vào liên kết trong thông báo, nạn nhân sẽ bị chuyển hướng tới một biểu mẫu giả mạo được ngụy trang dưới dạng trang "xác minh nhân viên". Tại đây, người dùng được yêu cầu nhập thông tin đăng nhập tài khoản doanh nghiệp để xác nhận danh tính. Nếu làm theo hướng dẫn, dữ liệu đăng nhập có thể bị kẻ tấn công thu thập và sử dụng để truy cập trái phép vào hệ thống nội bộ của doanh nghiệp, đánh cắp dữ liệu hoặc triển khai các cuộc tấn công tiếp theo.

Ông Roman Dedenok, chuyên gia phân tích và chống thư rác tại Kaspersky cho biết các nền tảng hợp pháp ngày càng bị tội phạm mạng lợi dụng để phát tán nội dung lừa đảo. Theo ông, thủ đoạn sử dụng Google Tasks chỉ là một phần của xu hướng này và có thể tiếp tục gia tăng trong thời gian tới.

"Những thông báo giả mạo được gửi từ các tên miền chính thống thường dễ vượt qua các bộ lọc chống spam. Đồng thời, việc ngụy trang thành quy trình nội bộ của doanh nghiệp khiến nạn nhân mất cảnh giác và dễ tin tưởng hơn", ông Dedenok nhận định.

Trước nguy cơ của các chiến dịch tấn công mới, các chuyên gia bảo mật khuyến nghị người dùng cần thận trọng với những thông báo hoặc lời mời bất thường từ bất kỳ nền tảng nào. Người dùng nên kiểm tra kỹ địa chỉ URL (đường dẫn) trước khi nhấp vào liên kết, đồng thời tránh gọi vào số điện thoại được cung cấp trong email đáng ngờ.

Trong trường hợp cần liên hệ hỗ trợ, người dùng nên tìm thông tin liên hệ chính thức trên website của dịch vụ. Ngoài ra, chuyên gia cũng khuyến cáo kích hoạt xác thực đa yếu tố (MFA) cho tất cả tài khoản và báo cáo email nghi ngờ cho nhà cung cấp nền tảng.

"Đối với doanh nghiệp, việc triển khai giải pháp bảo mật email có cơ chế phòng vệ nhiều lớp, kết hợp công nghệ máy học... có thể giúp phát hiện và ngăn chặn chiến dịch lừa đảo ngày càng tinh vi. Với người dùng cá nhân, các giải pháp bảo mật tích hợp tính năng chống phishing và phân tích bằng AI cũng có thể hỗ trợ giảm thiểu rủi ro khi sử dụng dịch vụ trực tuyến", một chuyên gia bảo mật tư vấn.