Cảnh báo: Nhờ AI, bạn phải dùng khóa truy cập “kháng lừa đảo” thay thế mật khẩu dễ bị tổn thương

Google và Microsoft đã cảnh báo người dùng ngừng sử dụng mật khẩu để bảo vệ tài khoản của họ và thay vào đó hãy sử dụng khóa truy cập (passkeys).

Bạn hỏi khóa truy cập là gì? Nó là một thông tin đăng nhập kỹ thuật số cho phép bạn truy cập vào một ứng dụng hoặc trang web mà không cần nhập tên người dùng và mật khẩu. Thay vào đó, bạn sử dụng các phương pháp tương tự để mở khóa thiết bị của mình. Ví dụ, với khóa truy cập, bạn có thể sử dụng:

• Sinh trắc học: Nhận dạng vân tay hoặc khuôn mặt. Ví dụ bao gồm Face ID, Touch ID, Android Fingerprint/Face Unlock và Windows Hello.
• Mã PIN/Mẫu hình: Đây sẽ là phương pháp bạn dùng để mở khóa điện thoại bằng mã PIN hoặc mẫu hình.

Vì không sử dụng tên người dùng hoặc mật khẩu, kẻ tấn công không thể sử dụng mật khẩu bị đánh cắp để truy cập vào tài khoản của bạn. Ví dụ, nếu bạn đang sử dụng khóa truy cập, sẽ không có mã xác thực hai yếu tố nào có thể bị đánh cắp. Nó “kháng lừa đảo” (phishing-resistant), theo một ấn phẩm trực tuyến thường xuyên viết về các cuộc tấn công trực tuyến và cách tốt nhất để tự bảo vệ mình. Với các công cụ mới xuất hiện cho kẻ tấn công mỗi ngày, bạn nên tin rằng bảo mật vẫn là yếu tố quan trọng.

AI Tạo Ra Các Trang Web Lừa Đảo Chuyên Nghiệp Hơn Bao Giờ Hết

Công ty hàng đầu về quản lý danh tính và quyền truy cập (IAM) của Mỹ, Okta, cho biết họ đã phát hiện các đối tượng đe dọa sử dụng v0, một công cụ AI, để phát triển các trang web lừa đảo giả mạo các trang web đăng nhập hợp pháp. Okta cho biết các đối tượng đe dọa giờ đây có thể sử dụng AI để tạo ra một “trang web lừa đảo chức năng” chỉ từ một lời nhắc văn bản đơn giản. “v0.dev của Vercel là một công cụ được hỗ trợ bởi AI cho phép người dùng tạo giao diện web bằng cách sử dụng các lời nhắc ngôn ngữ tự nhiên. Okta đã quan sát thấy công nghệ này được sử dụng để xây dựng các bản sao của các trang đăng nhập hợp pháp của nhiều thương hiệu, bao gồm cả một khách hàng của Okta.”

Okta Threat Intelligence đã theo dõi thời gian thực khi các đối tượng đe dọa sử dụng nền tảng Vercel để lưu trữ nhiều trang web lừa đảo giả mạo các trang web hợp pháp của các thương hiệu nổi tiếng như Microsoft 365 và một số công ty tiền điện tử. Việc sử dụng AI để tạo ra các trang web giả mạo này có nghĩa là các dấu hiệu cảnh báo cũ, như lỗi chính tả và ngữ pháp, không còn có thể được sử dụng để cảnh báo bạn về một cuộc tấn công lừa đảo.

Ngay cả xác thực hai yếu tố (2FA) cũng không thể hoàn toàn tin cậy để bảo vệ bạn. Cách phòng thủ tốt nhất là thêm khóa truy cập vào bất kỳ tài khoản nào có tùy chọn này và, nếu có thể, loại bỏ việc sử dụng mật khẩu cho những tài khoản cho phép bạn làm như vậy. Nếu bạn phải sử dụng mật khẩu trên một tài khoản, hãy đặt mật khẩu đó là duy nhất, dài và sao lưu nó bằng 2FA không phải SMS.