Hacker 'mượn tay' Google để đánh cắp 30.000 tài khoản Facebook

Chiêu trò hack Facebook tinh vi có thể xuyên thấu mọi lớp bảo mật, lợi dụng chính kẽ hở của Google.

Một chiến dịch tấn công giả mạo quy mô lớn vừa bị phanh phui, cho thấy sự tinh vi của tội phạm mạng khi lợi dụng chính các dịch vụ uy tín của Google để vượt qua mọi hàng rào bảo mật, nhắm thẳng vào các tài khoản Facebook Business đang 'hái ra tiền'.

Khi Google trở thành cầu nối cho hacker tấn công Facebook

Thông thường, các email lừa đảo sẽ bị bộ lọc rác chặn lại nhờ các giao thức kỹ thuật như SPF, DKIM hay DMARC. Tuy nhiên, các nhà nghiên cứu bảo mật vừa phát hiện ra một chiến dịch 'lách luật' thông minh: Sử dụng nền tảng Google AppSheet.

Bằng cách tận dụng công cụ tạo ứng dụng không cần mã nguồn của Google, kẻ tấn công có thể gửi đi các email từ địa chỉ chính thống của Google (noreply@appsheet.com). Vì thư đến từ một nguồn đáng tin cậy, chúng dễ dàng vượt qua mọi bộ lọc và xuất hiện trong hộp thư đến của nạn nhân với vẻ ngoài không thể uy tín hơn.

Chiến dịch lợi dụng Google để đánh cắp tài khoản Facebook

Có thể bạn quan tâm

Facebook, Instagram, Messenger đồng loạt gặp sự cố diện rộng trên toàn cầu(GLO)- Tối 12-6, hàng loạt người dùng tại Việt Nam và nhiều quốc gia trên thế giới phản ánh không thể truy cập hoặc sử dụng các nền tảng thuộc hệ sinh thái Meta gồm Facebook, Messenger và Instagram.

Tin tặc APT28 khai thác lỗ hổng nghiêm trọng trong Microsoft OfficeBằng các thủ thuật tinh vi, nhóm tin tặc APT28 biến lỗ hổng trên nền tảng Microsoft Office thành vũ khí tấn công mạng nhiều tổ chức và quốc gia.

Google thua kiện án phạt chống độc quyền kỷ lục 4,1 tỷ euroGoogle thuộc tập đoàn Alphabet đã thất bại trong cuộc chiến pháp lý kéo dài liên quan đến khoản phạt chống độc quyền kỷ lục 4,1 tỷ euro của Liên minh Châu Âu (EU), do bị cáo buộc sử dụng hệ điều hành di động Android để hạn chế các đối thủ cạnh tranh.

ẢNH: CHỤP MÀN HÌNH ESET

Mục tiêu của chiến dịch này không phải là người dùng phổ thông, mà là các tài khoản doanh nghiệp, trang Fanpage thương hiệu và tài khoản quảng cáo. Đây là những tài khoản có giá trị kinh tế cực lớn trên thị trường đen.

Nội dung email thường mang tính hối thúc, đánh vào tâm lý lo sợ như: "Tài khoản của bạn vi phạm bản quyền", "Cảnh báo khóa trang trong 24 giờ" hoặc "Yêu cầu xác minh danh tính khẩn cấp". Khi nạn nhân hoảng loạn nhấn vào đường link, họ sẽ được dẫn đến một trang web giả mạo được thiết kế tỉ mỉ để thu thập toàn bộ thông tin nhạy cảm như mật khẩu, mã 2FA, ngày sinh và thậm chí là ảnh căn cước công dân.

Đáng chú ý, các nhà nghiên cứu đã liên kết chiến dịch này với một tổ chức có liên quan đến Việt Nam, hiện đã chiếm đoạt thành công khoảng 30.000 tài khoản và vẫn đang hoạt động mạnh mẽ.

Sau khi chiếm quyền điều khiển, nhóm này không chỉ dùng tài khoản để chạy quảng cáo gian lận hoặc rao bán, mà còn thực hiện cả chiêu trò cung cấp dịch vụ khôi phục tài khoản cho chính những nạn nhân mà chúng vừa đánh bẫy. Toàn bộ quy trình thu thập dữ liệu được công nghiệp hóa thông qua các hệ thống bot Telegram tự động.

Hoa Kỳ - Việt Nam: Đừng bỏ lỡ

Củng cố quan hệ hữu nghị Việt Nam - Hoa KỳNgày 3/7, trong khuôn khổ Chương trình Đối tác Thái Bình Dương - Bạn bè Thái Bình Dương năm 2026, Đoàn Lục quân Hoa Kỳ Thái Bình Dương do Trung tướng Joel Vowell, Phó Tư lệnh Lục quân Hoa Kỳ Thái Bình Dương làm trưởng đoàn đã đến thăm, chào xã giao Bộ Chỉ huy Quân sự tỉnh Quảng Trị.

Đoàn Lục quân Hoa Kỳ Thái Bình Dương thăm Bộ Chỉ huy Quân sự tỉnh Quảng TrịNăm 2026 đánh dấu lần đầu tiên Chương trình Đối tác Thái Bình Dương-Bạn bè Thái Bình Dương được kết hợp tổ chức tại Quảng Trị, tạo nên khuôn khổ hợp tác quy mô lớn với 25 hoạt động.

Bộ Ngoại giao tiếp nhận bản sao Thư ủy nhiệm Đại sứ Hoa Kỳ tại Việt NamChiều 2/7, tại trụ sở Bộ Ngoại giao, Cục trưởng Cục Lễ tân Nhà nước và Phiên dịch đối ngoại Lê Công Dũng đã tiếp nhận bản sao Thư ủy nhiệm của bà Jennifer Wicks, Đại sứ Hợp chúng quốc Hoa Kỳ tại Việt Nam.

Để không trở thành nạn nhân tiếp theo, người dùng cần ghi nhớ:

• Facebook không bao giờ gửi cảnh báo qua Google: Mọi thông báo về chính sách hoặc khóa tài khoản sẽ xuất hiện trực tiếp trong Facebook Business Manager hoặc hộp thư hỗ trợ của Facebook, không bao giờ đi qua hạ tầng của Google AppSheet.
• Kiểm tra kỹ các yêu cầu thông tin: Nếu một biểu mẫu yêu cầu cung cấp mã 2FA và hình ảnh giấy tờ tùy thân cùng một lúc, đó chắc chắn là lừa đảo.
• Tuyệt đối không bấm vào link: Khi nhận được email cảnh báo, hãy tự truy cập vào Facebook bằng cách gõ địa chỉ vào trình duyệt hoặc mở ứng dụng chính thức.

Nguồn: https://thanhnien.vn/hacker-muon-tay-google-de-danh-cap-30000-tai-khoan-facebook-185260506093125545.htm