Theo báo cáo từ KrebsOnSecurity, các cuộc tấn công phishing lợi dụng lỗ hổng trong tính năng đặt lại mật khẩu của Apple ngày càng trở nên phổ biến. Kẻ gian đang nhắm đến nhiều người dùng Apple bằng cách tấn công dồn dập, liên tục gửi vô số thông báo hoặc tin nhắn xác thực đa yếu tố (MFA) nhằm lừa họ chấp thuận thay đổi mật khẩu Apple ID.

Kẻ tấn công có thể khiến iPhone, Apple Watch hoặc máy Mac của nạn nhân hiển thị liên tục các thông báo xác nhận thay đổi mật khẩu ở cấp độ hệ thống. Mục đích là khiến nạn nhân nhầm lẫn chấp thuận yêu cầu hoặc cảm thấy phiền phức và bấm vào nút chấp nhận. Nếu yêu cầu được chấp thuận, kẻ tấn công có thể đổi mật khẩu Apple ID và khóa tài khoản của người dùng.

Cảnh báo thủ đoạn hack iCloud mới cực tinh vi, khiến nhiều người "mắc bẫy". Ảnh minh họa

Thậm chí, các yêu cầu này sẽ xuất hiện trên tất cả thiết bị liên kết với Apple ID, khiến bạn không thể nào bỏ qua. Nếu vô tình đồng ý, hacker có thể thay đổi mật khẩu và tài khoản của bạn sẽ nằm trong tay bọn chúng. Nhưng nếu bạn vẫn giữ vững quan điểm và không đồng ý, chúng sẽ không dễ dàng từ bỏ mà sẽ giả vờ là nhân viên của Apple để cố gắng lừa nạn nhân cung cấp mã OTP.

Theo KrebsOnSecurity, hacker tận dụng lỗ hổng từ trang khôi phục mật khẩu Apple ID, nơi chỉ cần nhập email hoặc số điện thoại, để tiến hành tấn công. Chỉ cần nhập địa chỉ email, họ có thể kích hoạt cảnh báo khôi phục mật khẩu trên thiết bị của bạn.

KrebsOnSecurity đã điều tra vấn đề này và phát hiện ra rằng kẻ tấn công đang sử dụng trang khôi phục mật khẩu Apple ID. Trang này yêu cầu email hoặc số điện thoại Apple ID của người dùng và có mã CAPTCHA. Khi nhập địa chỉ email, trang sẽ hiển thị hai chữ số cuối của số điện thoại được liên kết với tài khoản Apple. Bằng cách điền vào các chữ số còn thiếu và nhấn gửi, kẻ tấn công có thể kích hoạt cảnh báo hệ thống.

Hiện tại chưa rõ kẻ tấn công đang lợi dụng hệ thống như thế nào để gửi nhiều tin nhắn cho người dùng Apple, nhưng có vẻ như đây là một lỗ hổng đang bị khai thác. Hệ thống của Apple không được thiết kế để gửi hơn 100 yêu cầu đặt lại mật khẩu, vì vậy có thể giả định rằng giới hạn này đã bị hacker vượt qua.

Người dùng thiết bị Apple là mục tiêu của kiểu tấn công này nên đảm bảo chọn "Không cho phép" trên tất cả các yêu cầu, và lưu ý rằng Apple không bao giờ thực hiện cuộc gọi điện thoại yêu cầu cung cấp mã OTP.