Các thiết bị di động cũng bị “Trái tim rỉ máu” gây tổn thương

Mức độ nghiêm trọng của lỗ hổng "Trái tim rỉ máu" (Heartbleed) đã dẫn tới việc vô số các trang web và máy chủ phải vật lộn để giải quyết vấn đề. Tuy nhiên phạm vi ảnh hưởng của lỗ hổng này dường như không chỉ gói gọn trên nền tảng web, mà các phát hiện còn cho thấy các nền tảng di động cũng nằm trong diện ảnh hưởng này.

Một thử nghiệm được tiến hành trên Github đã cho thấy, hơn 600 trong số 10.000 trang web hàng đầu (dựa trên bảng xếp hạng Alexa) hiện được đặt trong tình trạng dễ bị tổn thương. Một số các trang web tiêu biểu bị ảnh hưởng bao gồm Yahoo, Flickr, OKCupid, Rolling Stone, và Ars Technica.

Tuy nhiên phạm vi ảnh hưởng ngày càng mở rộng của lỗ hổng còn đặt ra câu hỏi: "Liệu các thiết bị di động có bị ảnh hưởng bởi lỗ hổng này?". Nói một cách ngắn gọn thì câu trả lời là: Có!

Tương tự như các trang web, các ứng dụng di động cũng dễ bị tổn thương bởi lỗ hổng Heartbleed, bởi vì các ứng dụng thường xuyên kết nối với máy chủ và dịch vụ web để hoàn thành các chức năng khác nhau.

Giả sử khi bạn trả tiền để mua ứng dụng, bạn sẽ cần phải nhập các chi tiết về thẻ tín dụng. Sau khi nhập xong, ứng dụng cửa hàng trên di động sẽ hoàn tất giao dịch cho bạn, ứng dụng được tải về và bạn có thể tận hưởng nó. Nhưng bạn có biết rằng lúc đó dữ liệu thẻ tín dụng của bạn đã được lưu trữ trong các máy chủ đã giao dịch với các ứng dụng di động đó, và có thể được lưu lại đó trong một khoảng thời gian không xác định. Như vậy, tội phạm mạng có thể tận dụng lỗ hổng Heartbleed để nhắm mục tiêu vào các máy chủ này và lấy đi toàn bộ thông tin (bao gồm cả số thẻ tín dụng của bạn).

Còn đối với các ứng dụng miễn phí thì sao? Liệu chúng có được an toàn trước lỗ hổng này? Câu trả lời là không thực sự an toàn, bởi miễn là nó được kết nối đến một máy chủ trực tuyến, nó vẫn dễ bị tổn thương, ngay cả khi không liên quan đến thẻ tín dụng của bạn. Ví dụ, ứng dụng của bạn có thể yêu cầu bạn "like" một cái gì đó trên mạng xã hội, hoặc "follow" sự kiện nào đó để giành một giải thưởng lớn chẳng hạn.

Giả sử bạn bị "dụ dỗ", và bấm OK. Khi đó ứng dụng sẽ mở ra một trang web riêng và yêu cầu bạn đăng nhập vào mạng xã hội đó. Và các mạng xã hội lại chính là nơi tin tặc có thể lợi dụng với lỗ hổng "trái tim rỉ máu".

Trendmicro đã thực hiện quét khoảng 390.000 ứng dụng từ Google Play, và tìm thấy khoảng 7.000 ứng dụng kết nối với máy chủ dễ bị tổn thương. Trong số đó có 15 ứng dụng liên quan đến ngân hàng, 39 ứng dụng liên quan đến thanh toán trực tuyến, và 10 ứng dụng có liên quan đến mua sắm trực tuyến. Trong số này có rất nhiều ứng dụng phổ biến được nhiều người dùng sử dụng hàng ngày, như ứng dụng tin nhắn, các ứng dụng chăm sóc sức khỏe, các ứng dụng nhập liệu, các ứng dụng thanh toán, ngay cả điện thoại di động. Các ứng dụng này sử dụng rất nhiều thông tin cá nhân và tài chính nhạy cảm của người dùng, và là "mỏ vàng" của những tên tội phạm ảo.

Đổi mật khẩu cũng có thể được xem là một giải pháp tạm thời, nhưng cho đến lúc lỗ hổng "Trái tim rỉ máu"được khắc phục, tốt bạn nên tạm dừng hoặc hạn chế việc mua bán hay các giao dịch tài chính trong ứng dụng di động trong thời gian tới.

Bài liên quan:

Tổng hợp những điều cần biết về Heartbleed

Danh sách các website "dính" Heartbleed

Đã có công cụ giúp người Việt tránh thiệt hại từ Heartbleed

Tiến Tùng

Theo TrendMicro