Nhiều dịch vụ hiện nay cho phép đăng nhập bằng cách gửi link qua SMS, giúp thao tác nhanh nhưng tiềm ẩn rủi ro lớn.
Báo cáo từ các nhà nghiên cứu bảo mật được TechRadar, phân tích 33 triệu tin nhắn cho thấy ít nhất 177 dịch vụ đang đặt người dùng vào tình trạng nguy hiểm.
Vấn đề nằm ở việc hệ thống coi “sở hữu đường link” đồng nghĩa với “chủ tài khoản”, bỏ qua bước xác minh bổ sung.
Ba sai lầm phổ biến gồm: mã xác thực (token) dễ đoán, thời gian hiệu lực quá dài và truy xuất dữ liệu thừa khi nhấn link.
SMS vốn không được mã hóa đầu cuối, dễ bị chặn thu, rò rỉ hoặc khai thác qua các lỗ hổng như hoán đổi SIM.
Kẻ tấn công chỉ cần chiếm quyền số điện thoại hoặc thu thập tin nhắn cũ là có thể truy cập dữ liệu cá nhân.
Các chuyên gia khuyến cáo nên dùng chuyển đổi phương thức xác thực (MFA) với ứng dụng tạo mã hoặc khóa bảo mật vật lý thay cho liên kết SMS.
Người dùng cần cảnh giác, không nhấn vào link lạ, đồng thời xóa định kỳ tin nhắn cũ để giảm nguy cơ bị xâm nhập.
