Nếu bạn giống tôi, chắc hẳn bạn đã đón nhận công nghệ eSIM bởi sự tiện lợi vượt trội của nó: không cần thẻ vật lý, chuyển đổi nhà mạng nhanh chóng, thiết lập dễ dàng và cực kỳ phù hợp cho những chuyến du lịch. Tuy nhiên, eSIM không hoàn toàn an toàn tuyệt đối và vẫn còn một số cách mà chúng có thể bị tấn công hoặc khai thác lỗ hổng.
4 Kiểu Tấn Công eSIM Phổ Biến Mà Bạn Cần Cảnh Giác
Khi sử dụng eSIM, người dùng cần nhận thức rõ về các nguy cơ tiềm ẩn để chủ động bảo vệ thông tin cá nhân và tài sản số của mình. Dưới đây là 4 phương thức tấn công eSIM phổ biến mà bạn cần đặc biệt cảnh giác.
1. Lừa Đảo Mã QR (QR Code Scams)
Khi thiết lập eSIM, bạn thường sẽ quét một mã QR do nhà mạng cung cấp. Kẻ tấn công lợi dụng điều này bằng cách tạo ra các mã QR giả mạo, ngụy trang như công cụ thiết lập hợp pháp. Việc quét một mã QR giả có thể chuyển hướng thiết bị của bạn đến một hồ sơ eSIM độc hại, từ đó chiếm quyền kiểm soát kết nối di động của bạn.
Người phụ nữ quét mã QR độc hại trên máy quét, minh họa lừa đảo eSIM qua mã QR.
Một khi bị xâm nhập, kẻ tấn công có thể chặn các cuộc gọi, tin nhắn và dữ liệu của bạn, có khả năng dẫn đến đánh cắp danh tính hoặc gian lận tài chính. Để tự bảo vệ, hãy luôn xác minh mã QR thông qua các kênh chính thức của nhà mạng và tránh quét mã được gửi từ các nguồn không đáng tin cậy hoặc tìm thấy trong các quảng cáo trực tuyến, trang web đáng ngờ. Nếu có bất kỳ sự không chắc chắn nào, hãy liên hệ trực tiếp với nhà mạng để xác nhận tính xác thực của mã QR trước khi quét.
2. Tấn Công Phishing và Kỹ Thuật Xã Hội (Phishing and Social Engineering)
Các cuộc tấn công phishing được thiết kế để lừa bạn tiết lộ các chi tiết nhạy cảm của eSIM. Ví dụ, một cuộc tấn công phishing hoặc kỹ thuật xã hội có thể mạo danh nhà mạng di động của bạn thông qua email hoặc tin nhắn văn bản thuyết phục, thúc giục bạn tải xuống các cấu hình eSIM độc hại hoặc xác nhận thông tin cá nhân. Những cuộc tấn công này có thể rất tinh vi, bắt chước logo, thông tin liên hệ và ngôn ngữ chính thức của nhà mạng, đồng thời được gửi từ một địa chỉ email hoặc SMS giả mạo để trông có vẻ hợp pháp.
Mặc dù có vẻ như bạn không có gì phải lo lắng từ một cuộc tấn công phishing kiểu này (vì bạn là “người bình thường” không có tài sản ròng quá cao hoặc đặc biệt), hãy suy nghĩ lại. Các cuộc tấn công phishing thường là dạng “rải thảm”, trong đó kẻ tấn công gửi một số lượng lớn tin nhắn lừa đảo và hy vọng rằng sẽ có người mắc bẫy. May mắn thay, bạn có thể xử lý các nỗ lực tấn công phishing eSIM giống như cách bạn xử lý bất kỳ cuộc tấn công phishing nào khác: bằng cách không phản hồi hoặc tương tác với bất kỳ tin nhắn hay cuộc gọi điện thoại đáng ngờ nào.
Màn hình điện thoại Android hiển thị eSIM đã kích hoạt, minh họa tính năng của eSIM.
3. Phần Mềm Độc Hại và Gián Điệp (Malware and Spyware)
Cũng giống như thẻ SIM vật lý thông thường, eSIM cũng dễ bị tấn công bởi phần mềm độc hại (malware). Các ứng dụng độc hại có thể truy cập thông tin eSIM nhạy cảm của bạn, các cuộc gọi, tin nhắn và thậm chí giám sát hoạt động của thiết bị. Tương tự như các cuộc tấn công eSIM khác, mục tiêu ở đây cuối cùng là chiếm quyền kiểm soát các liên lạc của eSIM với mục đích chặn mã xác thực, điều này có thể cho phép truy cập vào các tài khoản bảo mật của bạn.
Điều đáng chú ý là phần mềm độc hại nhắm mục tiêu cụ thể vào eSIM là rất hiếm. Trở lại năm 2019, lỗ hổng Simjacker đã được phát hiện, nhưng hiện tại không có cuộc tấn công tương tự nào đối với eSIM (ít nhất là theo thông tin chúng ta biết). Một thiết bị có nhiều khả năng bị nhiễm phần mềm độc hại được thiết kế để giám sát và đánh cắp dữ liệu, với mục tiêu truy cập thông tin eSIM. Hơn nữa, mặc dù phần mềm độc hại và gián điệp có thể tấn công và giám sát thiết bị của bạn, việc cài đặt phần mềm độc hại thực sự trên SIM hoặc eSIM cũng gần như chưa từng xảy ra và chắc chắn không ở cấp độ của hầu hết các kẻ tấn công thông thường. Đó là loại tấn công cấp độ quốc gia, điệp viên chìm; bạn có nhiều khả năng nhấp vào một liên kết độc hại hơn là trở thành một trong những nạn nhân đầu tiên được ghi nhận của phần mềm độc hại eSIM thực sự.
Để bảo vệ thiết bị, chỉ cài đặt ứng dụng từ các cửa hàng ứng dụng uy tín và luôn xem xét kỹ các quyền trước khi cấp truy cập. Thường xuyên kiểm tra điện thoại của bạn để tìm các ứng dụng lạ hoặc đáng ngờ, gỡ bỏ phần mềm không sử dụng hoặc không cần thiết một cách nhanh chóng và sử dụng phần mềm chống virus hoặc bảo mật đáng tin cậy để xác định và loại bỏ các mối đe dọa tiềm ẩn.
4. Lỗ Hổng Hệ Điều Hành iOS và Android (iOS and Android Vulnerabilities)
Điều này thực chất liên quan đến phần mềm độc hại và gián điệp, ở chỗ kẻ tấn công sẽ cố gắng khai thác các vấn đề đã biết trong hai hệ điều hành di động lớn nhất để tìm một góc độ tấn công eSIM của bạn. Thật không may, kẻ tấn công liên tục khám phá Android và iOS để tìm các lỗ hổng có thể bị khai thác để giành quyền truy cập vào thiết bị của bạn.
Hầu hết thời gian, bạn có thể giảm thiểu những vấn đề này bằng cách giữ cho thiết bị của mình được cập nhật và tránh cài đặt ứng dụng từ các nguồn của bên thứ ba. Đối với thiết bị Android, điều đó có nghĩa là tránh cài đặt ứng dụng “sideloading” (tải ngang), vì các cửa hàng ứng dụng không chính thức có thể đóng gói phần mềm độc hại có thể lây nhiễm vào thiết bị của bạn. Đã có rất nhiều ví dụ về phần mềm độc hại giành quyền truy cập vào thiết bị thông qua sideloading, chẳng hạn như cuộc tấn công ToxicPanda làm cạn kiệt tài khoản ngân hàng vào năm 2024.
Máy tính xách tay đang cập nhật phần mềm Windows, nhấn mạnh tầm quan trọng của việc cập nhật hệ điều hành để bảo vệ thiết bị và eSIM.
Kết Luận
Các cuộc tấn công eSIM vẫn chưa phổ biến bằng các cuộc tấn công vào thẻ SIM vật lý thông thường. Mặc dù công nghệ eSIM thực sự bắt đầu được chú ý với iPhone XR, XS và XS Max, nhưng ngày càng nhiều điện thoại thông minh hiện nay cung cấp hỗ trợ, điều này có nghĩa là bề mặt tấn công của nó đang gia tăng. Đổi lại, điều này có nghĩa là nhiều kẻ tấn công sẽ bắt đầu tập trung vào cách khai thác eSIM, vì vậy điều đáng để bạn biết những gì cần đề phòng. Hãy luôn cảnh giác và cập nhật kiến thức bảo mật để giữ an toàn cho eSIM và dữ liệu cá nhân của bạn.
