Cảnh báo lỗ hổng cho phép tạo trang lừa đảo nguy hiểm trên Facebook

Một lỗ hổng nằm trong ứng dụng bên thứ 3 của mạng xã hội Facebook đang được tin tặc khai thác để đưa người dùng vào các trang web lừa đảo, các trang web chứa mã độc.

Một ứng dụng có tên static html:iframe tabs của Facebook do bên thứ 3 phát triển cho phép quản trị các Fan Page tạo ra các trang HTML tĩnh để chèn vào Fanpage của mình đang tồn tại lỗ hổng nguy hiểm trong việc kiểm soát dữ liệu đầu vào.

Lợi dụng lỗ hổng trong ứng dụng này, tin tặc có thể khai thác để tạo các trang HTML chứa mã độc. Cụ thể là khi người dùng truy cập vào đường dẫn tới ứng dụng, trình duyệt sẽ tự động chuyến hướng đến các trang web lừa đảo, các trang đăng nhập Facebook giả mạo hay các trang web chứa mã độc.

SecurityDaily đã thử nghiệm khai thác lỗ hổng này, lỗ hổng vẫn đang tồn tại. Dưới đây là thử nghiệm khai thác lỗ hổng mà SecurityDaily đã thực hiện để gửi cảnh báo tới Facebook.

Cụ thể, khi truy cập vào đường dẫn này https://www.facebook.com/bongdaexpress.net/app_190322544333196,  trình duyệt của bạn sẽ tự động chuyến hướng tới trang SecurityDaily.NET.

Các thông tin trên đường dẫn không hề chứa các thông tin về đường dẫn thực sự, do đó người dùng sẽ rất khó để phát hiện.

Nhiều tin tặc đang khai thác lỗ hổng này

SecurityDaily phát hiện nhiều kịch bản khai thác lỗ hổng này đang được các tin tặc lợi dụng để lừa tài khoản của người dùng Facebook. Cụ thể, khi bạn truy cập vào đường dẫn:
https://www.facebook.com/nhatles2/app_161683100556760, trình duyệt sẽ tự động chuyển đến một trang có giao diện một Fan Page của Facebook.

Tuy nhiên, ngay sau đó trình duyệt của bạn sẽ tự động được chuyển hướng đến một trang đăng nhập giả mạo giống hệt trang đăng nhập mặc định của Facebook.

Nếu người dùng sơ ý hoặc không có các kiến thức cần thiết về tin học rất có thể sẽ nhập các thông tin đăng nhập gồm tên đăng nhập, mật khẩu vào trang web. Các thông tin này ngay lập tức sẽ được gửi về cho tin tặc và tài khoản của người dùng sẽ bị mất.

Nhiều ứng dụng lừa đảo khác trên một trang Facebook.

Nhóm phát hiện gồm Lê Đức Anh, Lê Minh Tuấn và Tống Văn Toàn thuộc bộ phận nghiên cứu của SecurityDaily. “Hiện tại SecurityDaily đã cảnh báo lỗ hổng này đến đội ngũ bảo mật của Facebook. Trong thời điểm hiện tại, chắc chắn sẽ xuất hiện nhiều hình thức tấn công tài khoản Facebook tương tự.” Lê Đức Anh trưởng nhóm nghiên cứu SecurityDaily và là người trực tiếp phát hiện lỗ hổng cho biết.

SecurityDaily khuyến cáo người dùng không nên click vào các đường dẫn “mời chào” được chia sẻ hay được gửi qua Facebook. Hết sức chú ý khi đăng nhập vào Facebook, người dùng cần chú ý đến đường dẫn đăng nhập an toàn của facebook là: https://facebook.com/ và biểu tượng https có màu xanh (an toàn).