Theo thông tin được đăng tải trên Trang thông tin điện tử Công an tỉnh Long An, một chiến dịch lừa đảo mạng tinh vi vừa được phát hiện, nhắm vào người dùng Facebook thông qua việc lợi dụng một dịch vụ hợp pháp của Google nhằm đánh lừa các hệ thống bảo vệ thư điện tử.
Thủ đoạn lần này được đánh giá đặc biệt nguy hiểm vì sử dụng nền tảng AppSheet, công cụ tạo ứng dụng không cần mã lập trình của Google, để gửi hàng loạt email giả mạo. Những email này mang đuôi "@appsheet.com", khiến chúng dễ dàng vượt qua hệ thống xác thực của các nhà cung cấp như Microsoft, cũng như tránh được các bộ lọc thư rác nâng cao.
Mỗi email lừa đảo đều được gán mã định danh riêng biệt, gây khó khăn cho hệ thống nhận diện. Nội dung email thường mạo danh Facebook, thông báo tài khoản người dùng đang vi phạm bản quyền và có nguy cơ bị xóa trong vòng 24 giờ. Người nhận được yêu cầu nhấn vào nút "Submit an Appeal" để kháng nghị, thực chất là một cái bẫy.
Khi nhấp vào liên kết, người dùng sẽ được chuyển đến một trang web giả mạo có giao diện giống hệt Facebook, được lưu trữ trên Vercel – một nền tảng hợp pháp chuyên dùng để triển khai ứng dụng web. Điều này càng khiến nạn nhân dễ bị đánh lừa rằng đây là trang đăng nhập chính thức. Khi nhập tên đăng nhập, mật khẩu, thậm chí mã xác thực 2 bước (2FA), toàn bộ dữ liệu sẽ bị tin tặc thu thập.
Chiêu thức còn tinh vi đến mức lần nhập đầu thường bị báo sai mật khẩu để dụ người dùng nhập lại, cách thức giúp hacker xác minh độ chính xác của thông tin. Đáng sợ hơn, nếu chiếm được mã 2FA, chúng có thể đánh cắp luôn token phiên đăng nhập của Facebook, duy trì quyền truy cập kể cả khi nạn nhân đã đổi mật khẩu.
Chiến dịch này cho thấy tội phạm mạng đang ngày càng biết cách tận dụng các nền tảng công nghệ hợp pháp để hợp thức hóa hành vi, đánh lừa người dùng và hệ thống bảo mật. Từ khâu gửi email, thiết kế giao diện, cho tới lấy cắp thông tin, mọi bước đều được thực hiện bài bản và khó bị phát hiện.
Công an khuyến cáo người dùng Facebook cần nâng cao cảnh giác, đặc biệt là với các email có nội dung cấp bách hoặc yêu cầu cung cấp thông tin cá nhân. Tuyệt đối không nhấn vào các đường link lạ, dù chúng có vẻ được gửi từ địa chỉ đáng tin cậy. Trước mỗi hành động, hãy kiểm tra kỹ người gửi, kiểm chứng thông tin từ các kênh chính thức và luôn bật xác thực 2 bước để tăng cường bảo vệ tài khoản.
Huỳnh Duy
