Cảnh báo chiến dịch lừa đảo mạo danh Google Meet đánh cắp thông tin xác thực

• Chiến dịch tấn công: Kẻ tấn công sử dụng các tên miền giả mạo Google Meet để lừa đảo người dùng nhập thông tin đăng nhập và mã 2FA.
• Lỗ hổng cấu hình: Trang web tấn công để lộ đường dẫn /install chứa thông tin cấu hình cơ sở dữ liệu và mật khẩu mặc định.
• Khuyến nghị: Người dùng cần kiểm tra kỹ tên miền trước khi đăng nhập và ưu tiên sử dụng các phương thức xác thực mạnh như Security Keys hoặc Passkeys.

Theo báo cáo từ các chuyên gia an ninh mạng, một chiến dịch tấn công phishing mới đang nhắm mục tiêu vào người dùng Google thông qua các trang web giả mạo dịch vụ Google Meet. Các trang web này được thiết kế tinh vi nhằm đánh cắp thông tin xác thực tài khoản và thực hiện các cuộc tấn công chiếm quyền điều khiển thông qua việc thu thập mã xác thực hai yếu tố (2FA).

Phân tích kỹ thuật chiến dịch phishing Google Meet

Các nhà nghiên cứu đã xác định hai tên miền độc hại là meet-google[.]cyou và qooglo[.]com. Mặc dù các tên miền này có cấu trúc gợi nhớ đến dịch vụ chính chủ, nhưng chúng hoàn toàn không liên quan đến hạ tầng của Google. Việc sử dụng các tên miền có độ tương đồng cao (typosquatting) là kỹ thuật phổ biến nhằm đánh lừa người dùng thiếu cảnh giác trong các cuộc họp trực tuyến.

Kẻ tấn công không chỉ dừng lại ở việc thu thập mật khẩu mà còn thiết lập quy trình để thu thập mã 2FA trong thời gian thực. Điều này cho phép chúng vượt qua các lớp bảo mật cơ bản. Nếu người dùng nhập mã xác thực vào các trang này, kẻ tấn công có thể ngay lập tức sử dụng chúng để truy cập vào tài khoản nạn nhân, từ đó chiếm đoạt dữ liệu cá nhân, email, danh bạ và các thông tin kinh doanh nhạy cảm.

Lỗ hổng cấu hình nghiêm trọng tại đường dẫn /install

Bên cạnh việc lừa đảo thông tin, các trang web này còn tồn tại một lỗ hổng bảo mật nghiêm trọng do cấu hình sai. Cụ thể, đường dẫn /install trên các máy chủ này bị lộ công khai, cho phép bất kỳ ai truy cập cũng có thể xem được thông tin cấu hình cơ sở dữ liệu và mật khẩu mặc định được điền sẵn.

Việc để lộ các thông tin nhạy cảm này cho thấy sự cẩu thả trong quá trình triển khai hạ tầng của kẻ tấn công, nhưng đồng thời cũng là một cảnh báo cho các quản trị viên hệ thống về tầm quan trọng của việc bảo mật các tệp cấu hình và đường dẫn cài đặt. Dưới đây là danh sách các đường dẫn web liên quan đến chiến dịch này mà các đội ngũ SOC cần lưu ý:

Hướng dẫn săn tìm mối đe dọa (Threat Hunting)

Các chuyên gia khuyến cáo các tổ chức nên rà soát nhật ký truy cập web (web logs) để tìm kiếm các dấu hiệu truy cập vào các đường dẫn đáng ngờ. Việc giám sát các yêu cầu HTTP đến các endpoint API như /api/demo/sessions/{token} có thể giúp phát hiện sớm các nỗ lực tương tác với hạ tầng của kẻ tấn công.

⚠️ Cảnh báo quan trọng: Việc một trang web sử dụng giao thức HTTPS và có biểu tượng ổ khóa chỉ đảm bảo kết nối được mã hóa, không đồng nghĩa với việc trang web đó thuộc sở hữu của Google. Người dùng tuyệt đối không nhập thông tin đăng nhập sau khi truy cập từ các liên kết không xác định.

Các bước xử lý khi nghi ngờ bị xâm nhập

• Thay đổi mật khẩu: Ngay lập tức thay đổi mật khẩu tài khoản Google thông qua trang quản trị chính thức.
• Kiểm tra thiết bị: Truy cập vào mục quản lý thiết bị trong tài khoản Google để đăng xuất các phiên làm việc lạ.
• Rà soát bảo mật: Kiểm tra các sự kiện bảo mật gần đây và loại bỏ các quyền truy cập ứng dụng bên thứ ba không xác định.
• Cập nhật xác thực: Chuyển đổi sang sử dụng Passkeys hoặc Security Keys để tăng cường khả năng chống lại các cuộc tấn công phishing hiện đại.

Chiến dịch này một lần nữa khẳng định rằng các cuộc tấn công mạng nhắm vào thông tin xác thực vẫn là mối đe dọa thường trực. Việc duy trì cảnh giác và áp dụng các tiêu chuẩn bảo mật nghiêm ngặt là chìa khóa để bảo vệ tài sản số trước các kỹ thuật tấn công ngày càng tinh vi.