Chiến dịch phishing đánh cắp thông tin nhắm vào người dùng Facebook

Là một trong những nền tảng mạng xã hội lớn nhất thế giới với hơn 3 tỉ người dùng, Facebook luôn luôn là tâm điểm được tin tặc nhắm tới để tiến hành các chiến dịch tấn công lừa đảo quy mô lớn. Mới đây, hãng bảo mật Trellix vừa ra cảnh báo về một chiến dịch mới đang diễn ra trên nền tảng này với số nạn nhân bị chiếm đoạt tài khoản gia tăng theo từng ngày.

Thông tin chi tiết

Trong báo cáo mới nhất của mình, hãng Trellix cho biết một chiến dịch tấn công lừa đảo quy mô lớn nhắm vào người dùng Facebook đã xuất hiện và mở rộng trong khoảng nửa cuối năm 2025. Đáng chú ý, chiến dịch này sử dụng chung một chiến thuật tấn công: sử dụng kỹ thuật “Browser in the Browser” (BitB), một kỹ thuật tấn công khá tinh vi, nổi lên trong thời gian gần đây. Kỹ thuật này giả mạo cửa sổ trình duyệt ngay bên trong một trang web, dựng lên một giao diện đăng nhập giả bằng HTML/CSS/JS nhằm đánh lừa người dùng nhập thông tin truy cập, từ đó đánh cắp và chiếm hoàn toàn quyền truy cập vào tài khoản.

Các bước tấn công của tin tặc có thể được tóm tắt như sau:

• Bước 1: Gửi email giả mạo tới nạn nhân. Nội dung email kèm theo logo của Facebook/Meta được thiết kế tinh vi với nội dung cảnh báo tài khoản cá nhân, trang hoặc doanh nghiệp của nạn nhân đã vi phạm bản quyền hoặc tiêu chuẩn cộng đồng. Tin tặc cũng có thể thay đổi nội dung trong email thành cảnh báo đăng nhập trái phép từ các thiết bị lại hoặc thông báo yêu cầu cập nhật bảo mật/kiểm tra hệ thống có đính kèm yêu cầu nạn nhân phải xác minh danh tính.

• Bước 2: Trong email gửi tới nạn nhân có chứa các liên kết đính kèm. Các liên kết này thường có dạng rút gọn như hxxps://lnk[.]ink/plBFF nhằm che giấu khỏi sự phát hiện của các bộ lọc email hay hệ thống bảo mật. Mặt khác các liên kết này cũng che mắt nạn nhân, họ không thể biết được trang web gốc nếu không bấm vào các liên kết rút gọn trên.
• Bước 3: Chuyển hướng tới trang web giả mạo, đồng thời sử dụng kết hợp với các trang CAPTCHA Meta giả nhằm gia tăng tối đa tỉ lệ thành công trong việc thu thập và đánh cắp thông tin đăng nhập của nạn nhân.

Song song đó, Trellix cũng phát hiện một số lượng lớn các trang phishing được lưu trữ trên những nền tảng đám mây hợp pháp như Netlify và Vercel. Những trang này mô phỏng cổng Trung tâm Quyền riêng tư (Privacy Center) của Meta, chuyển hướng người dùng đến các trang được ngụy trang thành biểu mẫu kháng nghị nhằm thu thập sâu hơn thông tin của nạn nhân.

Khắc phục & Khuyến nghị

Các cuộc tấn công phishing nhắm vào Facebook đang leo thang và ngày càng tinh vi do lượng người dùng khổng lồ của nền tảng này. Kết hợp khéo léo các kỹ thuật social engineering và ẩn mình ở mức cao, tin tặc có thể dễ dàng tạo ra những chiến dịch gây tác động lớn, từ đó đặt ra các vấn đề mới về bảo mật. Người dùng cần đặc biệt cảnh giác, nâng cao nhận thức cá nhân, đồng thời cần thực hiện theo một số khuyến nghị sau nhằm giảm thiểu khả năng bị tác động bởi các chiến dịch nguy hiểm:

• Kích hoạt xác thực đa yếu tố (2FA) cho tài khoản Facebook
  Là biện pháp quan trọng nhất để ngăn chặn việc chiếm quyền tài khoản, ngay cả khi thông tin đăng nhập bị đánh cắp thông qua các trang giả mạo hoặc kỹ thuật Browser-in-the-Browser (BitB).
• Không truy cập Facebook qua liên kết trong email hoặc tin nhắn
  Luôn truy cập trực tiếp trên trình duyệt hoặc sử dụng ứng dụng chính thức. Đặc biệt cảnh giác với các thông báo về vi phạm, đình chỉ tài khoản hoặc đăng nhập bất thường nhận được thông qua email.
• Kiểm tra kỹ URL và hạ tầng lưu trữ trước khi nhập thông tin
  Tránh nhập thông tin đăng nhập trên các trang sử dụng tên miền rút gọn hoặc nền tảng đám mây như netlify.app, vercel.app. Chỉ đăng nhập khi URL thuộc miền chính thức của Facebook.
• Cảnh giác với cửa sổ đăng nhập dạng pop-up
  Giả định rằng mọi cửa sổ đăng nhập xuất hiện bên trong trang web đang truy cập đều có khả năng là giả. Các phiên đăng nhập hợp lệ thường mở trang đăng nhập toàn màn hình hoặc thông qua trình quản lý mật khẩu của trình duyệt.

IOCs

Tham khảo

• The Unfriending Truth: How to Spot a Facebook Phishing Scam Before It’s Too Late