Rạng sáng ngày 16/4, hệ thống ví tiền điện tử Trust Wallet vừa phát hiện một cảnh báo nghiêm trọng về một lỗ hổng zero-day nguy hiểm trên ứng dụng iMessage của Apple, tiềm ẩn nguy cơ đe dọa tới sự an toàn của hàng triệu người dùng sử dụng iPhone.
Ví Trust Wallet phát cảnh báo khẩn cấp đến người dùng về lỗ hổng zero-day
Lỗ hổng này đang được niêm yết trên Dark Web với mức giá 2 triệu USD, tạo nguy cơ lớn cho việc các hacker lợi dụng nó để chiếm quyền điều khiển các thiết bị iOS.
Khuyến cáo người dùng tạm vô hiệu hóa iMessage trên iphone
Trust Wallet khẳng định zero-day là một lỗ hổng nghiêm trọng, vì nó cho phép kẻ tấn công xâm nhập vào thiết bị ngay cả khi người dùng không nhấn vào liên kết đáng ngờ hoặc không tải xuống phần mềm độc hại.
Cảnh báo khẩn của Trust Wallet đăng trên twitter rạng sáng nay
Trust Wallet lập tức khuyến nghị cho tất cả người dùng thiết bị Apple sử dụng iMessage vô hiệu hóa tính năng này ngay lập tức cho đến khi Apple vá lỗ hổng nhằm đề phòng khỏi rủi ro tiềm ẩn. Công ty đã phát đi cảnh báo dựa trên “thông tin đáng tin cậy” về việc khai thác lỗ hổng zero-day đang lan truyền trên Deep Web, có khả năng xâm nhập và tiếp quản quyền kiểm soát các thiết bị iPhone mà không cần người dùng thực hiện bất kỳ hành động nào như nhấp vào các liên kết nghi ngờ.
Eowyn Shen, CEO của Trust Wallet, đã chia sẻ hình ảnh về phương thức tấn công iMessage đang được niêm yết trên Dark Web với mức giá 2 triệu USD.
CEO Trust Wallet cũng nhanh chóng đăng bài sau đó
Dù vậy, vẫn có một số người bày tỏ sự hoài nghi về mức độ nghiêm trọng của lỗ hổng, cho rằng Trust Wallet chưa thể xác minh thông tin mà chỉ dựa trên việc thấy có người rao bán lỗ hổng mà thôi. Một số cũng đặt câu hỏi về việc tại sao tất cả các chuyên gia bảo mật khác trên toàn cầu không hề có thông tin về lỗ hổng này, trong khi Trust Wallet lại là đơn vị đầu tiên phát hiện nó.
Zero-day (còn được gọi là 0-day) là thuật ngữ được sử dụng để chỉ những lỗ hổng trong phần mềm hoặc phần cứng chưa được biết đến và chưa được khắc phục. Những lỗ hổng này tạo cơ hội cho các hacker tấn công và xâm nhập vào hệ thống máy tính của các doanh nghiệp hoặc tổ chức để đánh cắp hoặc thay đổi dữ liệu. Một cuộc tấn công sử dụng lỗ hổng zero-day được gọi là zero-day exploit hoặc zero-day attack.
Hiện tại, Apple vẫn chưa phản hồi bất kỳ thông tin chính thức nào. Tuy nhiên, trong quá khứ, đã có những trường hợp iMessage bị lợi dụng để tấn công người sử dụng. Apple đã phải tung ra nhiều bản vá để khắc phục các lỗ hổng zero-day mới được phát hiện. Vào tháng 3, các nhà nghiên cứu bảo mật đã phát hiện một lỗ hổng không thể khắc phục trên các dòng máy sử dụng chip M, có thể dẫn đến rò rỉ private key.
Apple phát cảnh báo người dùng iPhone ở 92 quốc gia có nguy cơ bị tấn công
Ở một diễn biến khác, Apple đã phát đi cảnh báo tới người dùng iPhone ở 92 quốc gia về nguy cơ bị tấn công từ các cuộc tấn công phần mềm gián điệp đánh thuê. Những cuộc tấn công này không nhằm vào công chúng mà hướng đến các cá nhân như chính trị gia, nhà báo, tổ chức dân sự và doanh nghiệp.
Apple trước đó cũng phát cảnh báo về nguy cơ bị tấn công
Các cuộc tấn công này được miêu tả là phức tạp và tốn kém, sử dụng các tài nguyên đặc biệt và đòi hỏi hàng triệu USD. Apple đã thông báo về mối đe dọa này thông qua email, iMessage và khi người dùng đăng nhập vào trang Apple ID.
Điều này đánh dấu một phản ứng mới từ Apple, sử dụng thuật ngữ “phần mềm gián điệp đánh thuê” trong cảnh báo, thay vì “những kẻ tấn công được nhà nước bảo trợ” như trước kia. Sự thay đổi này có thể có liên quan đến áp lực từ chính phủ Ấn Độ.
