Lỗ Hổng Bảo Mật Tiết Lộ Thông Tin Của Hàng Triệu Khách Hàng T-Mobile và AT&T

Số điện thoại di động không chỉ là điểm kết nối mà còn gắn liền với danh tính của người dùng. Mới đây, một vụ vi phạm bảo mật lớn đã xảy ra, khiến thông tin của hàng triệu khách hàng T-Mobile và AT&T bị đe dọa. Theo Buzzfeed News, hai lỗ hổng riêng lẻ – một từ cửa hàng trực tuyến của Apple và một từ trang web của nhà cung cấp bảo hiểm điện thoại Asurion – có thể đã tiết lộ thông tin của tới 77 triệu khách hàng của T-Mobile và AT&T.

Các lỗ hổng bảo mật này được phát hiện bởi các nhà nghiên cứu an ninh Nicholas “Convict” Ceraolo và Phobia, đã tiết lộ mã PIN tài khoản của khách hàng hai nhà mạng này. Trớ trêu thay, những mã PIN này chính là thứ được thiết kế để bảo vệ dữ liệu của người dùng điện thoại di động khỏi bị đánh cắp. Mã PIN được sử dụng để thêm một lớp bảo mật và ngăn chặn tin tặc xâm nhập vào thẻ SIM của bạn hoặc phá hoại các quyền như xác thực qua SMS. Với mã PIN bị đánh cắp, một hacker thậm chí có thể đặt hàng một thẻ SIM sao để lợi dụng điện thoại thông minh của bạn cho các hoạt động bất hợp pháp.

Lỗ Hổng Bảo Mật Khiến Hàng Triệu SIM Của AT&T và T-Mobile Bị Lộ Cho Hacker

Theo nhà nghiên cứu, lỗ hổng của Apple dẫn đến việc rò rỉ mã PIN của T-Mobile là do một lỗi kỹ thuật trong API do nhà mạng cung cấp, giúp tạo điều kiện cho việc thanh toán hóa đơn hàng tháng. Ngược lại, trang web của Asurion đã để lộ khả năng bị tấn công brute-force – hoặc đoán mật khẩu hoặc mã số nhất định nhiều lần bằng máy tính cho đến khi mã được chấp nhận – vì không có giới hạn về số lần thử mã PIN cho AT&T, trong khi các nhà mạng khác có giới hạn tốc độ.

Vì hầu hết các mã PIN này chỉ có bốn chữ số, việc xác định chúng bằng cách tấn công brute-force là khá dễ dàng “trong một khoảng thời gian hợp lý”. Sau khi thông tin được công bố bởi Buzzfeed News, cả Apple và Asurion đều đã khắc phục các lỗ hổng trên nền tảng của mình.

Trong khi T-Mobile và Apple, ngoài việc cảm ơn nhà nghiên cứu, đã giữ im lặng về vấn đề này, AT&T đã phản hồi rằng “Ngoài nhiều lớp bảo mật mà chúng tôi đã triển khai để bảo vệ khách hàng, chúng tôi sẽ tiếp tục hợp tác với Asurion để điều tra vấn đề này. Chúng tôi sẽ thực hiện bất kỳ hành động bổ sung nào có thể phù hợp.”