Chiêu Lừa Đảo GhostPairing Khiến Người Dùng Mất Tài Khoản Chat Không Cần OTP

Một chiêu trò lừa đảo mới mang tên GhostPairing đang nhắm vào người dùng các ứng dụng nhắn tin, cho phép chiếm quyền tài khoản mà không cần OTP hay mật khẩu. Hình thức này khai thác trực tiếp tính năng liên kết thiết bị vốn được xem là tiện lợi và an toàn.

OTP Không Còn Là “Lá Chắn Cuối Cùng”

Nhiều năm qua, mã OTP và mật khẩu được xem là lớp bảo vệ quan trọng nhất của tài khoản chat. Tuy nhiên, các hình thức lừa đảo mới cho thấy người dùng vẫn có thể mất quyền kiểm soát tài khoản mà không hề tiết lộ OTP hay mật khẩu.

GhostPairing là ví dụ điển hình cho xu hướng này. Thay vì tấn công trực tiếp vào hệ thống bảo mật, kẻ gian chuyển sang lợi dụng các tính năng hợp pháp mà người dùng vẫn sử dụng hằng ngày.

Khi Tính Năng Tiện Lợi Trở Thành Điểm Yếu

Các ứng dụng nhắn tin phổ biến như WhatsApp, Telegram, Messenger hay Zalo đều hỗ trợ sử dụng trên nhiều thiết bị cùng lúc. Người dùng có thể đăng nhập trên máy tính hoặc trình duyệt web trong khi tài khoản vẫn hoạt động bình thường trên điện thoại.

Chính cơ chế liên kết thiết bị này đã tạo ra một bề mặt tấn công mới. Thay vì vượt qua các lớp xác thực phức tạp, kẻ gian tìm cách khiến người dùng tự tay cấp quyền truy cập cho một thiết bị lạ.

GhostPairing Hoạt Động Như Thế Nào?

GhostPairing không xuất phát từ lỗi bảo mật trong mã nguồn ứng dụng. Đây là một hình thức lừa đảo xã hội (social engineering) khai thác quy trình ghép thiết bị hợp pháp.

Quy trình này tương tự như khi người dùng đăng nhập ứng dụng chat trên web hoặc máy tính bằng mã QR. Khi việc ghép thiết bị được xác nhận, hệ thống mặc định coi thiết bị mới là hợp lệ và không yêu cầu nhập lại mật khẩu hay OTP.

Kẻ gian lợi dụng điều này bằng cách:

• Dẫn dụ người dùng truy cập vào trang web giả mạo
• Thiết kế giao diện và hướng dẫn giống quy trình liên kết thiết bị chính thống
• Yêu cầu người dùng thực hiện một thao tác xác nhận tưởng như vô hại

Thực tế, thao tác này đã cấp quyền liên kết tài khoản với thiết bị do kẻ tấn công kiểm soát.

Vì Sao GhostPairing Nguy Hiểm?

Sau khi ghép đôi thành công, thiết bị của kẻ gian được hệ thống coi là một phiên đăng nhập hợp lệ. Điều này cho phép:

• Đọc toàn bộ nội dung trò chuyện
• Nhận tin nhắn mới theo thời gian thực
• Gửi tin nhắn dưới danh nghĩa nạn nhân

Đáng lo ngại hơn, người dùng vẫn sử dụng tài khoản bình thường trên thiết bị chính và không nhận thấy dấu hiệu bất thường trong giai đoạn đầu.

Người Dùng Cần Làm Gì Để Tự Bảo Vệ?

Để hạn chế rủi ro từ GhostPairing, người dùng cần thay đổi cách tiếp cận với bảo mật tài khoản:

• Chỉ liên kết thiết bị khi chính mình chủ động thực hiện
• Không làm theo hướng dẫn đăng nhập từ các đường link lạ
• Thường xuyên kiểm tra danh sách thiết bị đang đăng nhập
• Kích hoạt xác thực hai bước hoặc mã PIN nếu ứng dụng hỗ trợ

Bảo mật tài khoản chat không còn chỉ là giữ kín OTP hay mật khẩu, mà còn là ý thức kiểm soát quyền truy cập vào các thiết bị được liên kết.

Bài Viết Liên Quan

• Cách Bảo Mật Camera Gia Đình Tránh Bị Xem Trộm
• Hướng Dẫn Bảo Mật Tài Khoản Zalo An Toàn
• Những Chiêu Lừa Đảo Công Nghệ Mới Người Dùng Cần Biết

Lê Nguyễn Telecom – Chia sẻ kiến thức công nghệ, bảo mật và giải pháp an ninh giúp người dùng sử dụng thiết bị an toàn hơn mỗi ngày.