Hàng loạt ứng dụng trên smartphone có nguy cơ bị đánh cắp mật khẩu

[WhiteHat News #ID:3333]

Một nghiên cứu gần đây cho thấy các ứng dụng dành cho điện thoại thông minh của Walmart, CNN, ESPN, và một vài hãng tên tuổi khác đang đặt tài khoản người dùng vào tình trạng nguy hiểm khi không giới hạn số lần người dùng đăng nhập thất bại. Chính điều này đã tạo thuận lợi cho tin tặc có điều kiện dự đoán và đánh cắp tài khoản của người dùng.

Các chuyên gia an ninh mạng từ lâu đã công nhận tác dụng của việc hạn chế số lần đăng nhập không thành công vào các tài khoản người dùng trực tuyến. Dù cách này có thể tạo cơ hội cho hacker khiến người dùng không thể đăng nhập vào chính tài khoản của họ, thì nó cũng giúp bảo vệ tài khoản người dùng trước kiểu tấn công dò mật khẩu. Cho đến tháng 9 năm ngoái, Apple không áp dụng biện pháp giới hạn số lần đăng nhập, và đây có thể là một trong những lí do dẫn đến vụ việc hàng loạt ảnh nhạy cảm của người nổi tiếng bị lộ lọt cuối năm ngoái.

Mặc dù Apple đã khắc phục lỗi trên hệ thống của mình, nhưng nhiều ứng dụng dành cho điện thoại thông minh vẫn không giới hạn số lần người dùng đăng nhập không thành công vào hệ thống. Điều này cho phép những kẻ tấn công thử một danh sách dài những mật khẩu thường được sử dụng nhất. Do việc nhập mật khẩu đủ mạnh trên bàn phím smartphone không dễ dàng nên có thể một số lượng tài khoản người dùng không nhỏ sẽ bị chiếm sau vài tuần "nỗ lực" của hacker.

Theo nghiên cứu của AppBugs, hàng loạt ứng dụng dành cho iPhone và hệ điều hành Android với hơn 300 triệu lượt tải về đều mắc phải lỗi không giới hạn số lần đăng nhập. Có thể kể đến các ứng dụng của các hãng như CNN, ESPN, Slack, Expedia, Zillow, Sound, Walmart, Songza, iHeartRadio, Domino’s Pizza, AutoCAD, Kobo và ba ứng dụng phổ biến khác là Wunderlist, Dictionary, và Pocket.

Theo: Ars Technica​