Lỗ hổng mới trên Android giúp hacker tấn công người dùng "dễ như ăn kẹo"

Cảnh báo lỗ hổng Android có thể giúp tin tặc "tráo" link trong thông báo để chiếm quyền ứng dụng.

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong hệ thống thông báo của Android, cho phép tin tặc thực hiện các cuộc tấn công tinh vi để lừa người dùng. Các chuyên gia cảnh báo rằng những gì bạn nhìn thấy trong một thông báo có thể hoàn toàn khác với những gì thực sự xảy ra khi bạn nhấn vào nó.

Lỗ hổng này xuất phát từ cách Android xử lý các ký tự đặc biệt (Unicode) được chèn một cách vô hình vào trong một đường link. Kẻ tấn công có thể gửi cho bạn một thông báo chứa đường link trông có vẻ hoàn toàn hợp pháp, ví dụ như amazon.com. Tuy nhiên, do có một ký tự ẩn bên trong, khi bạn nhấn vào nút gợi ý "Mở liên kết" của Android, hệ thống sẽ bị đánh lừa và đưa bạn đến một trang web độc hại hoàn toàn khác, ví dụ như zon.com, để đánh cắp thông tin.

Advertisement

Lỗ hổng mới trên Android cho phép tin tặc lừa người dùng trong "một nốt nhạc".

Mối đe dọa không chỉ dừng lại ở việc truy cập các trang web giả mạo. Lỗ hổng này còn nguy hiểm hơn khi có thể được dùng để kích hoạt các "deep link", cho phép kẻ tấn công ra lệnh trực tiếp cho các ứng dụng khác trên điện thoại của bạn. Các nhà nghiên cứu đã chứng minh rằng một đường link trông vô hại có thể tự động thực hiện một cuộc gọi WhatsApp hoặc gửi một tin nhắn mà người dùng không hề hay biết.

Lỗ hổng này được xác nhận ảnh hưởng đến hàng loạt ứng dụng phổ biến như WhatsApp, Telegram, Instagram, Discord, Slack trên nhiều thiết bị, kể cả các dòng máy mới như Google Pixel 9 hay Samsung Galaxy S25.

Vì đây là một hình thức tấn công thao túng giao diện người dùng chứ không phải virus truyền thống, các phần mềm diệt virus thông thường có thể sẽ bỏ qua. Trong khi chờ đợi một bản vá chính thức từ Google, người dùng được khuyến cáo phải hết sức thận trọng.

Tuyệt đối không nhấn vào các gợi ý "Mở liên kết" từ những thông báo lạ, các nguồn không đáng tin cậy hoặc các link được rút gọn. Thay vào đó, hãy sao chép và kiểm tra kỹ đường link theo cách thủ công nếu bạn có bất kỳ nghi ngờ nào.