FBI: Tin tặc Triều Tiên dùng video call giả chiếm 400 triệu USD

Tin tặc do nhà nước Triều Tiên hậu thuẫn đã lấy đi hơn 400 triệu USD tiền mã hóa bằng cách dùng các cuộc gọi video giả để đánh cắp danh tính người dùng. Theo Cục Điều tra Liên bang Mỹ (FBI), chiến dịch này mang tên FaceStealer và đã khiến hơn 900 nạn nhân sập bẫy trong 18 tháng qua.

Minh họa chiến dịch FaceStealer của tin tặc Triều Tiên

Chiêu trò giả mạo cuộc gọi video

Theo FBI, nhóm FaceStealer "nhắm mạnh" vào những người làm trong lĩnh vực tiền mã hóa (cryptocurrency) và web3, đặc biệt là những người tham gia phát triển và bảo trì phần mềm mã nguồn mở.

Thủ đoạn bắt đầu bằng các tài khoản mạng xã hội giả mạo hoặc bị chiếm đoạt, dùng để mời nạn nhân tiềm năng vào một cuộc gọi video được tổ chức trên các phiên bản "giả mạo" của Zoom, Microsoft Teams và Google Meet.

Sau đó, tin tặc phát các video ghi sẵn của những nạn nhân trước đó — người mà mục tiêu quen biết — để tạo cảm giác đây là một cuộc gọi hợp pháp. Điểm khác biệt là phần âm thanh sẽ có vẻ bị trục trặc.

Một thông báo hiện lên trên màn hình mục tiêu, yêu cầu họ "sửa" âm thanh bằng cách bấm vào một đường link. Thao tác "sửa" này cuối cùng sẽ tải mã độc (malware) xuống thiết bị nạn nhân, cho phép tin tặc truy cập danh bạ liên hệ và các ứng dụng, từ đó mở rộng tập nạn nhân tiềm năng.

Theo giới chức Mỹ, tin tặc còn bí mật ghi lại chính những cuộc gọi này và dùng đoạn ghi làm tư liệu để lừa các nạn nhân mới.

"Hiệu quả cao ngay cả với người dùng cảnh giác"

FBI mô tả FaceStealer là "một kế hoạch tấn công kỹ thuật xã hội (social engineering) có hiệu quả cao, đủ sức lừa cả những người dùng máy tính giàu kinh nghiệm kỹ thuật và cảnh giác về bảo mật nhất".

"Nó khai thác niềm tin của chúng ta vào các nền tảng hội nghị video phổ biến và vào những mối quan hệ cá nhân đáng trân trọng", Patrick Grandy, trợ lý giám đốc phụ trách văn phòng FBI tại Los Angeles, cho biết trong tuyên bố hôm thứ Năm.

"Nếu bạn không thể hình dung ra tình huống mình có thể sập bẫy, thì bạn chưa nghĩ đủ sáng tạo."

Ông Brett Leatherman, giám đốc mảng an ninh mạng của FBI, nói: "Chế độ Triều Tiên dựa vào số tiền thu được từ các vụ đánh cắp tiền mã hóa quy mô lớn để tài trợ cho chương trình vũ khí bất hợp pháp của mình, đã đánh cắp hàng tỷ USD trong những năm gần đây."

Thông tin này được đưa ra một tuần sau khi sàn giao dịch tiền mã hóa lớn nhất thế giới Binance công bố rằng tin tặc đã dùng các buổi phỏng vấn xin việc giả để đánh cắp kỷ lục 6,3 tỷ USD (4,7 tỷ bảng Anh) từ công ty. Các cơ quan thực thi pháp luật Mỹ quy vụ hack Binance — được cho là vụ hack tiền mã hóa lớn nhất từ trước tới nay — cho các đối tượng có liên hệ với Triều Tiên. Bình Nhưỡng đã phủ nhận cáo buộc này.

Góc nhìn

Với các kỹ sư và lập trình viên Việt Nam, đặc biệt những người làm việc trong các dự án mã nguồn mở hoặc có tiếp xúc với cộng đồng web3 quốc tế, FaceStealer là lời nhắc rằng ranh giới tấn công giờ không còn nằm ở mã nguồn mà ở chính quy trình làm việc hằng ngày. Một lời mời gọi video từ tài khoản quen thuộc, một yêu cầu "sửa âm thanh" hay cài thêm tiện ích — đều có thể là điểm khởi đầu của một chuỗi tấn công.

Bài học thực tế là cần đặt quy tắc rõ ràng cho các cuộc trao đổi trực tuyến: không bấm link lạ để "khắc phục sự cố" ngay trong cuộc gọi, xác minh danh tính người gọi qua kênh khác, và hạn chế chia sẻ thông tin liên hệ hay quyền truy cập ứng dụng trên máy dùng cho công việc. Với doanh nghiệp, việc huấn luyện nhân sự nhận diện các dạng lừa đảo dựa trên video call giả nên được xem là một phần của quy trình bảo mật, không chỉ là buổi tập huấn hình thức.