Nguy cơ lộ tài khoản từ website đăng nhập bằng Facebook

Theo PC World, công cụ mô phỏng (proof-of-concept tool) mang tên Reconnect đã được tung ra hồi tuần rồi từ chuyên gia Egor Homakov hiện làm việc tại hãng bảo mật Sakurity.

Về cơ bản, công cụ này khai thác lỗi "CSRF" trên Facebook Login, một dịch vụ cho phép người dùng đăng nhập vào website của bên thứ 3 bằng cách sử dụng chính tài khoản Facebook của mình.

Lỗ hổng bảo mật liên quan đến Facebook Login được xem là một mối nguy hại tiềm tàng dẫn đến các cuộc tấn công lừa đảo, trang PC World nhận định.

Cũng theo PC World, chuyên gia bảo mật Homakov từng công bố vấn đề này trên blog cá nhân từ hồi tháng 1-2015 sau khi phía Facebook từ chối sửa lỗi này bởi vì làm như thế có thể phá vỡ tính tương thích giữa trang mạng xã hội này với một lượng lớn website vốn đang sử dụng dịch vụ kết nối Facebook Login.

Lỗ hổng liên quan đến Facebook Login vừa được một chuyên gia bảo mật công bố kèm công cụ tấn công mô phỏng.

Chuyên gia Homakov viết trên trang blog cá nhân hôm thứ Năm tuần rồi rằng Facebook đã từ chối sửa lỗi mà ông đưa ra cách đây hơn 1 năm.

Với công cụ tấn công khai thác lỗ hổng trên Facebook Login vừa tung ra, chuyên gia bảo mật Homakov cho biết các cuộc tấn công sẽ xoay quanh việc tạo ra các địa chỉ liên kết URL đến các trang chứa mã độc hại. Khi các nạn nhân nhấn vào địa chỉ URL đó, họ sẽ bị thoát ra khỏi tài khoản Facebook của mình và đăng nhập vào tài khoản giả mạo mà hacker chuẩn bị sẵn.

Đồng thời, hacker sẽ sử dụng tài khoản Facebook của người dùng để thay đổi mật khẩu, đọc tin nhắn riêng tư hay thực thi các âm mưu khác.

Trang TheHackerNews cho biết, công cụ Reconnect mà chuyên gia Homakov cung cấp mặc dù không giúp hacker "chiếm" các tài khoản Facebook của người dùng, song hacker có thể thông qua các tài khoản này để đăng nhập vào các dịch vụ như Booking.com, Bit.ly, About.me, Stumbleupon, Angel.co, Mashable và Vimeo.

Tuy nhiên, chuyên gia Homakov cũng cảnh báo nhiều website hỗ trợ tính năng Facebook Login có thể trở thành mục tiêu để hacker thai thác lỗ hổng này bằng cách thủ công chèn công cụ vào các đường link có yêu cầu người dùng thực hiện thao tác đăng nhập bằng tài khoản Facebook.