Theo Android Authority, những kẻ lừa đảo đang lợi dụng lỗ hổng trong giao thức xác thực của Google để gửi những tin nhắn có vẻ hợp lệ đến người dùng Gmail nhằm đánh cắp thông tin đăng nhập tài khoản của họ. Một nhà phát triển có tên Nick Johnson đã trở thành nạn nhân của trò lừa đảo này.
Người dùng Gmail cần cảnh giác với những email lừa đảo mới
Báo cáo cho biết, Nick Johnson đã nhận được email được gửi từ địa chỉ no-reply[at]accounts.google.com và có chữ ký từ accounts.google.com nhằm tạo ấn tượng rằng đây là một thông báo chính thức từ Google. Tuy nhiên, liên kết trong email dẫn đến một trang giả mạo trên Google Sites, yêu cầu người dùng “tải lên các tài liệu bổ sung”. Cuối cùng, trang này dẫn đến một giao diện đăng nhập giả mạo, nơi kẻ lừa đảo thu thập thông tin đăng nhập của người dùng.
Cách tin tặc đánh lừa người dùng Gmail
Nick Johnson cho biết, lỗ hổng này xảy ra do Google cho phép người dùng tạo trang web trên tên miền phụ google.com thông qua Google Sites, điều này khiến trang giả mạo trông có vẻ hợp pháp. Kẻ tấn công đã đăng ký một tên miền và liên kết nó với tài khoản Google của mình, sau đó tạo một ứng dụng Google OAuth với tên email lừa đảo. Mặc dù email được ký bởi accounts.google.com, nhưng nguồn gốc thực sự lại từ privateemail.com.
Mất hơn 700 triệu đồng vì nhờ lấy lại mật khẩu Gmail
Đây không phải là lần đầu tiên người dùng bị lừa bởi những địa chỉ email có vẻ hợp pháp. Vào đầu năm nay, kẻ lừa đảo lợi dụng cài đặt của PayPal để gửi thông báo mua hàng giả từ service[at]paypal.com.
Để bảo vệ bản thân khỏi các email lừa đảo, người dùng cần cẩn trọng. Những email này thường khó phát hiện, đặc biệt khi chúng đến từ địa chỉ email có vẻ hợp lệ. Nếu nhận được email từ một công ty mà mình biết, người dùng hãy tránh nhấp vào bất kỳ liên kết nào hoặc tải xuống tệp đính kèm.
Thay vào đó, hãy truy cập trực tiếp vào trang web của công ty bằng cách nhập URL và kiểm tra các kênh mạng xã hội hoặc dịch vụ khách hàng chính thức để xác nhận tính xác thực của thông điệp. Hãy luôn cảnh giác, đặc biệt khi email liên quan đến bảo mật hoặc thông tin cá nhân của người dùng.