Cẩn thận với ký tự vô hình khi mở đường link trên điện thoại

Anh Tú30/06/2025 13:00
Cẩn thận với ký tự vô hình khi mở đường link trên điện thoại

Chuyên gia bảo mật Gabriele Digregorio đã phát hiện một lỗ hổng tiềm ẩn trên hệ điều hành Android, có thể bị tin tặc khai thác để thực hiện các cuộc tấn công lừa đảo (phishing).

hacker.jpg
Hacker tận dụng mọi lỗ hổng để đánh cắp thông tin người dùng

Tấn công “homoglyph” – Đòn đánh từ những ký tự trông giống nhau

Trong những năm gần đây, các cuộc tấn công “homoglyph” ngày càng phổ biến. Tin tặc đánh lừa người dùng truy cập vào trang web giả mạo có tên miền trông giống hệt với trang web thật, thông qua việc thay thế các ký tự quen thuộc bằng ký tự tương tự trong bảng Unicode.

Ví dụ: chữ “a” trong bảng chữ cái Cyrillic (а) trông gần như giống hệt chữ “a” trong bảng chữ Latin, nhưng thực chất là hai ký tự khác nhau.

Ngoài việc thay ký tự, kẻ tấn công còn có thể chèn các ký tự "vô hình" như "zero-width space" (U+200B) để đánh lừa người dùng. Ví dụ: Liên kết trông như “amazon.com” có thể bị biến tấu thành “ama(ký tự vô hình)zon.com”, nhưng khi hiển thị, người dùng chỉ thấy “zon.com”, dễ bị đánh lừa rằng đây là một trang hợp lệ.

Điều này cũng giúp che giấu URL thật khi sử dụng các liên kết rút gọn, khiến người dùng dễ nhấp vào liên kết nguy hiểm. Theo Digregorio, một biến thể đặc biệt của kiểu tấn công này có thể thực hiện được trong một số ứng dụng phổ biến như WhatsApp, Telegram, Slack trên điện thoại Android.

Tấn công qua gợi ý liên kết trong thông báo

Digregorio đặc biệt cảnh báo về các liên kết hiển thị trong phần thông báo của ứng dụng — nơi người dùng thường nhanh chóng nhấn vào liên kết mà không kiểm tra kỹ.

Ông đã kiểm nghiệm hành vi này trên các ứng dụng như WhatsApp, Telegram, Instagram, Discord và Slack. Ví dụ: WhatsApp có thể bị đánh lừa bằng ký tự vô hình, nhưng Telegram thì không bị ảnh hưởng bởi kiểu tấn công này.

Hiện tại, người dùng Android không thể làm gì nhiều ngoài việc thận trọng khi nhấp vào các liên kết hiển thị trong thông báo. Digregorio đã báo cáo lỗ hổng này cho Google vào tháng 3.2025. Tuy nhiên, nhóm bảo mật Android cho rằng lỗ hổng này không đủ nghiêm trọng để phát hành bản cập nhật vá lỗi.

Vấn đề tương tự cũng tồn tại trên hệ điều hành iOS, nhưng dễ phát hiện hơn. Nếu một liên kết bị chèn ký tự "zero-width space", phần liên kết bị đánh lừa (ví dụ “zon.com”) sẽ được tô màu khác (thường là màu xanh dương). Điều này giúp người dùng nhận ra dấu hiệu bất thường và tránh bị lừa nhấp vào các liên kết giả mạo.

Ký tự vô hình là gì?

Ký tự vô hình "zero-width space" (U+200B) là một ký tự đặc biệt trong bảng mã Unicode, được thiết kế để không chiếm bất kỳ không gian hiển thị nào trên màn hình hay khi in ra. Đúng như tên gọi, nó có "độ rộng bằng không".

Mục đích chính của U+200B là cung cấp một điểm mà tại đó trình duyệt hoặc trình xử lý văn bản có thể ngắt dòng (xuống hàng) nếu cần thiết, mà không hiển thị một khoảng trắng hay dấu gạch nối. Điều này đặc biệt hữu ích trong các ngôn ngữ không sử dụng khoảng cách để phân tách các từ (ví dụ: tiếng Thái, tiếng Nhật, tiếng Trung Quốc) hoặc để cho phép ngắt dòng trong các từ rất dài trong các ngôn ngữ khác. Do tính chất vô hình của nó, U+200B có thể được sử dụng cho nhiều mục đích khác nhau.

Định dạng văn bản và khả năng đọc: Giúp trình duyệt ngắt dòng các từ dài hoặc trong các ngôn ngữ không có dấu cách; kiểm soát cách các từ hoặc cụm từ hiển thị mà không làm thay đổi cấu trúc của chúng (ví dụ, để đảm bảo một dòng văn bản không bị tràn ra ngoài).

Tránh các liên kết tự động hoặc định dạng đặc biệt: Trong một số nền tảng (ví dụ: Twitter, diễn đàn), nếu bạn gõ @username hoặc #hashtag, nó sẽ tự động biến thành một liên kết. Bằng cách chèn U+200B giữa @ hoặc # và văn bản (ví dụ: @\u200busername), bạn có thể hiển thị ký tự đó mà không kích hoạt liên kết. Điều này hữu ích khi bạn muốn đề cập đến cú pháp mà không muốn nó trở thành liên kết hoạt động. Tương tự, có thể ngăn chặn các tính năng tự động định dạng như "ligature" (nối chữ) trong một số font chữ.

Ẩn thông tin (Steganography): Đây là một ứng dụng tiêu cực và đáng lo ngại. Do ký tự này vô hình, nó có thể được sử dụng để:

Nhúng dữ liệu ẩn: Một chuỗi các ký tự U+200B có thể được sử dụng để mã hóa dữ liệu nhị phân (0 và 1) và giấu vào giữa một văn bản bình thường. Điều này có thể được dùng để tạo "dấu vân tay" (fingerprint) cho tài liệu, theo dõi nguồn gốc rò rỉ thông tin, hoặc thậm chí là ẩn tin nhắn bí mật.

Vượt qua bộ lọc từ khóa/kiểm duyệt: Kẻ gian có thể chèn U+200B vào giữa các chữ cái của một từ cấm (ví dụ: "t\u200biền \u200bgửi" thay thế cho từ cấm là tiền gửi) để qua mặt các hệ thống kiểm duyệt tự động mà vẫn giữ được ý nghĩa rõ ràng đối với con người.

Lừa đảo: Chèn các ký tự vô hình vào URL hoặc tên người dùng có thể tạo ra các liên kết hoặc tên hiển thị trông giống hệt bản gốc, nhưng thực chất lại dẫn đến trang web giả mạo hoặc tài khoản lừa đảo.

 


Gửi bình luận
(0) Bình luận
1

Phối vest đúng cách - Vũ khí bí mật giúp đàn ông ghi điểm mọi lúc mọi nơi

Phối vest sao cho vừa chỉn chu vừa không bị cứng nhắc lại là một nghệ thuật.
2

Những điều cần biết trên VNeID

VNeID sẽ cung cấp 5 dịch vụ mới, bao gồm chứng thư chữ ký số, dịch vụ ngân hàng, ví điện tử, mua vé máy bay và tra cứu thông tin sử dụng điện.
3

Top 5 AI tạo video đỉnh, VEO 3 có phải số 1?

VEO 3 được giới sành công nghệ ca ngợi là "phù thủy tạo video", nhưng nó có thực sự là số 1? Hãy cùng trải nghiệm ngay top 5 công cụ AI giúp tạo ra những clip viral cực chất dành cho giới trẻ và dân văn phòng.
4

Hướng dẫn dùng ChatGPT tạo ảnh căn cước

Bạn muốn chụp một bức ảnh căn cước trong trang phục văn phòng lịch sự để sử dụng khi nộp hồ sơ trực tuyến hoặc cho một mục đích nào đó? Bài viết sau sẽ giúp bạn tạo ra hình ảnh như vậy bằng ChatGPT.
5

Zalo với những tính năng nâng cấp trong tháng 7: Chuyển khoản ngân hàng, soạn tin nhắn bằng giọng nói

Là ứng dụng nhắn tin phổ biến nhất Việt Nam với 77,8 triệu người dùng thường xuyên hằng tháng, Zalo luôn nỗ lực cải tiến để phục vụ người dùng tốt hơn.

Những lo ngại khi Facebook muốn truy cập vào thư viện ảnh trên điện thoại

Facebook đang yêu cầu người dùng cho phép truy cập vào thư viện ảnh trên điện thoại để tự động đề xuất các phiên bản ảnh được chỉnh sửa bằng AI, gồm cả những bức ảnh chưa từng được tải lên Facebook.

Thủ đoạn thao túng tâm lý người trẻ để bắt cóc online, tống tiền qua mạng

Kẻ gian không dùng súng hay dao, mà dùng tâm lý để khiến nạn nhân tự mở két”, Thượng tá Đào Trung Hiếu cảnh báo về thủ đoạn lừa đảo mới, khi nạn nhân bị thao túng tâm lý như bị “bắt cóc tinh thần”.

Một tính năng cực hữu ích trên VNeID mà người dùng không nên bỏ qua

Hành khách bay nội địa hiện nay có thể hoàn tất toàn bộ thủ tục từ mua vé, check-in, qua cửa an ninh đến lên máy bay mà không cần xuất trình giấy tờ tùy thân, nhờ ứng dụng nhận diện khuôn mặt qua VNeID.

Địa chỉ, điện thoại bộ phận một cửa ở 168 phường, xã, đặc khu của TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các phường, xã, đặc khu của TPHCM (mới).

Địa chỉ, điện thoại bộ phận một cửa cấp tỉnh của các sở, ngành TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các sở, ngành, phường, xã, đặc khu của TPHCM mới.

Thời đại SEO liệu có kết thúc và quảng cáo bằng AI tạo sinh có đang lên ngôi?

Với SEO, nội dung thường được xây dựng theo công thức, bắt đầu từ việc chọn từ khóa, triển khai nội dung, chờ Google index, rồi điều chỉnh dần. Nhưng với AI tạo sinh, nội dung không chỉ là văn bản mô tả sản phẩm.

Xác thực đăng nhập qua SMS rất rủi ro, thay bằng cách nào?

Xác thực qua SMS đang bị xem là một trong những phương thức bảo mật yếu nhất hiện nay.

CapCut thay đổi điều khoản sử dụng khiến người dùng lo lắng

CapCut đang "âm thầm" thay đổi điều khoản dịch vụ đối với quyền sử dụng khuôn mặt, giọng nói và nội dung của người dùng, làm dấy lên lo ngại trong cộng đồng.

Chảy não

Blog GS John VU - GS John Vu - 21/07/2025 13:00
Với toàn cầu hoá hiện tượng “chảy não” kéo tới.

Cách kiểm tra Facebook và Zalo có đang bị theo dõi

Kỹ năng - Lê Tỉnh - 21/07/2025 12:00
Zalo và Facebook là 2 nền tảng mạng xã hội được nhiều người sử dụng nhưng không phải ai cũng biết mình có thể bị hack tài khoản để theo dõi.

Người đàn ông cưới AI làm "vợ hai", cuộc hôn nhân viên mãn suốt 5 năm nhưng bối rối khi cô ấy đề nghị sinh con

Thư giãn - Nguyễn Phượng - 21/07/2025 11:00
Mỗi ngày, cặp đôi cùng nhau nấu ăn, xem phim và đi dã ngoại lãng mạn. Thực tế, Travis luôn mang Lily Rose theo bên mình mọi lúc mọi nơi – chủ yếu là vì cô ấy sống trong túi anh, với tư cách là người vợ AI.

Người đàn ông bại não trở thành thạc sĩ Đại học Harvard

Truyền cảm hứng - Hoàng Hà - 21/07/2025 10:00
Ding mắc bệnh bại não, không được cha yêu thương và bị bạn học bắt nạt tuy nhiên tình yêu của mẹ giúp anh trở thành thạc sĩ luật của Đại học Havard.

Phóng sự về trẻ em gây chấn động thế giới: Cha mẹ kiểu này là kẻ hại con lớn nhất!

Suy ngẫm - Hiểu Đan - 21/07/2025 09:00
Cuộc đời con chỉ có một lần, hãy cho con dũng khí để yêu đời.

Đại địa chấn kinh tế kỳ 1: Đại dịch Covid-19 cuộc khủng hoảng nghiêm trọng toàn cầu

Từ sách - Phim - Quang Thanh - 21/07/2025 08:00
Theo Tổ chức Y tế Thế giới (WHO), chỉ tính riêng trong năm đầu tiên xảy ra đại dịch, cả thế giới có 1,8 triệu người thiệt mạng và khoảng 80 triệu người bị nhiễm bệnh. Đại dịch này đã ảnh hưởng đến mọi lục địa trên Trái đất, kể cả châu Nam Cực.

Mỹ nhân luyện kiếm từ 6 tuổi, được mệnh danh 'nữ thần võ thuật' Trung Quốc

Phong cách sống - Sơn Tùng - VTC - 20/07/2025 13:00
Với khả năng sử dụng 26 loại binh khí khác nhau, cô gái Trương Hàm Lượng được cư dân mạng Trung Quốc gọi với biệt danh "nữ thần kungfu”.

Phối vest đúng cách - Vũ khí bí mật giúp đàn ông ghi điểm mọi lúc mọi nơi

Kỹ năng - Ứng Hà Chi - 20/07/2025 12:00
Phối vest sao cho vừa chỉn chu vừa không bị cứng nhắc lại là một nghệ thuật.

3 truyền nhân của Ngũ Tuyệt tông sư: Mai Siêu Phong, Khưu Xứ Cơ và Âu Dương Khắc so tài, ai mạnh hơn?

Thư giãn - Nguyệt Phạm - 20/07/2025 11:00
Ba cao thủ Mai Siêu Phong, Khưu Xứ Cơ và Âu Dương Khắc cùng giao chiến thì ai sẽ là người chiến thắng cuối cùng?

3 kiểu người mẹ dễ khiến con dễ "trở mặt thành thù" nhất

Suy ngẫm - Thiên An - CFB - 20/07/2025 10:00
Hy vọng bạn không phải kiểu nào trong số đó.

Xem Sex Education, tôi bật khóc vì 1 phút im lặng mà con gồng mình làm "người tốt" suốt 6 năm

Điện ảnh - Thanh Hương - 20/07/2025 09:00
Chính sự im lặng của tôi đã khiến con bắt đầu thay đổi.

'Đại địa chấn kinh tế' - 10 cuộc khủng hoảng tài chính tàn khốc

Từ sách - Phim - Hồ Lam - TTO - 20/07/2025 08:00
'Đại địa chấn kinh tế' dẫn ta đi qua 10 cuộc khủng hoảng tài chính tàn khốc của thế giới, từ cuộc Đại sụp đổ 1929, khủng hoảng tiền tệ ở Mỹ Latinh, châu Âu cho đến khủng hoảng tài chính toàn cầu năm 2008 hay những chấn động của đại dịch COVID-19.

Tôi từng nghĩ mình tiêu dùng khôn ngoan cho đến khi chứng kiến 10 thói quen "ngược đời" của giới trẻ

Kỹ năng - Phương Trần - 19/07/2025 13:00
Không chạy theo giảm giá, không nâng cấp đồ điện tử, không sắm mới chỉ vì… hết hứng – thế hệ trẻ hiện nay đang âm thầm sống khác, tiêu khác. Họ tiết kiệm được hàng chục triệu mỗi năm nhờ những lựa chọn "ngược dòng" so với tư duy của người đi trước.

Xem "Sex Education", tôi quyết định xóa tình bạn 5 năm ra khỏi cuộc đời

Điện ảnh - Ứng Hà Chi - 19/07/2025 12:00
Một câu nói đã khiến tôi dừng lại và suy nghĩ về cách tôi nhìn nhận tình bạn, cũng như tầm quan trọng của việc yêu thương và tôn trọng bản thân.

Chẳng phải tự sáng tạo, hóa ra Chu Bá Thông học lỏm tuyệt kỹ Song thủ hỗ bác từ thời Thiên Long Bát Bộ

Thư giãn - Nguyệt Phạm - 19/07/2025 11:00
Tuyệt kỹ Song thủ hỗ bác nổi tiếng của Chu Bá Thông đã từng được một cao thủ thời Thiên Long Bát Bộ sử dụng.
HẠT GIỐNG TÂM HỒN
2019 Bản quyền thuộc về hatgiongtamhon.com.vn. Phát triển bởi ONECMS
Thứ 3, 22/07/2025