Cảnh báo: URL YouTube chia sẻ trên Facebook có thể là lừa đảo

Vũ An

Trong lúc duyệt News Feed trên Facebook, làm thế nào để bạn quyết định có nên click vào một link hay không?

Với mỗi một link được chia sẻ, Facebook và Messenger hiển thị tiêu đề, mô tả, ảnh thumbnail và URL. Những thông tin này có lẽ cũng đủ để quyết định xem bạn có muốn mở link đó hay không.

Vì Facebook đầy spam, những trò câu view hay tin tức giả mạo nên không phải ai cũng click vào mọi link họ thấy. Nhưng nếu link đến từ các trang nổi tiếng như YouTube hay Instagram thì nhiều khả năng sẽ khiến bạn tin hơn.

Nhưng sẽ thế nào nếu ngay cả link từ một trang uy tín cũng đưa bạn đến rắc rối?

Ngay cả trước khi Facebook không cho chỉnh sửa link sau khi chia sẻ để ngăn chặn thông tin giả mạo, gã khổng lồ công nghệ đã không cho Pages chỉnh sửa tiêu đề, mô tả và ảnh thumbnail của link từ tháng 7/2017.

Xem thêm: Facebook không cho sửa tiêu đề và xem trước link để ngăn tin giả mạo

Tuy vậy, nhà nghiên cứu Barak Tawily lại phát hiện ra 1 thủ thuật nhỏ cho phép bất kì ai làm giả URL để lừa người dùng mở các trang họ không muốn, thông qua cách Facebook lấy link xem trước.

Facebook quét link để lấy các thẻ dữ liệu Open Graph và xác định thuộc tính của trang, cụ thể là ‘og:url’, ‘og:image’ và ‘og:title’ để lấy URL, ảnh thumbnail và tiêu đề.

Tawily phát hiện ra rằng Facebook sẽ không xác nhận hợp lệ nếu link trên thẻ meta ‘og:url’ trùng với URL của trang. VÌ thế kẻ tấn công có thể phát tán mã độc trên Facebook qua URL giả bằng cách thêm URL hợp pháp vào thẻ Open Graph ‘og:url’ trên website.

Chỉnh sửa một chút thẻ đánh dấu Open Graph là có thể tạo ra link giả

Tawily đã báo cáo vấn đề này với Facebook nhưng nhận được phản hồi rằng họ không coi đây là vấn đề bảo mật vì Facebook đã có Linkshim xử lý các kiểu tấn công này.

Linkshim là khi Facebook kiểm tra URL đó với một danh sách đen các URL có mã độc để tránh website giả mạo và có malware. Nếu kẻ tấn công dùng domain mới để tạo link giả thì Linkshim cũng khó mà nhận ra được.

Dù Linkshim dùng machine learning để phát hiện các trang có mã độc mà chưa từng được phát hiện bằng cách quét nội dung, nhưng Tawily cho rằng cơ chế bảo vệ này có thể không hiệu quả khi trang cố ý đưa nội dung không có mã độc tới Facebook bot dựa trên User-Agent hoặc địa chỉ IP.

Tawily cũng đưa ra đoạn video mô tả kiểu tấn công này.