Cẩn thận với ký tự vô hình khi mở đường link trên điện thoại

Anh Tú30/06/2025 13:00
Cẩn thận với ký tự vô hình khi mở đường link trên điện thoại

Chuyên gia bảo mật Gabriele Digregorio đã phát hiện một lỗ hổng tiềm ẩn trên hệ điều hành Android, có thể bị tin tặc khai thác để thực hiện các cuộc tấn công lừa đảo (phishing).

hacker.jpg
Hacker tận dụng mọi lỗ hổng để đánh cắp thông tin người dùng

Tấn công “homoglyph” – Đòn đánh từ những ký tự trông giống nhau

Trong những năm gần đây, các cuộc tấn công “homoglyph” ngày càng phổ biến. Tin tặc đánh lừa người dùng truy cập vào trang web giả mạo có tên miền trông giống hệt với trang web thật, thông qua việc thay thế các ký tự quen thuộc bằng ký tự tương tự trong bảng Unicode.

Ví dụ: chữ “a” trong bảng chữ cái Cyrillic (а) trông gần như giống hệt chữ “a” trong bảng chữ Latin, nhưng thực chất là hai ký tự khác nhau.

Ngoài việc thay ký tự, kẻ tấn công còn có thể chèn các ký tự "vô hình" như "zero-width space" (U+200B) để đánh lừa người dùng. Ví dụ: Liên kết trông như “amazon.com” có thể bị biến tấu thành “ama(ký tự vô hình)zon.com”, nhưng khi hiển thị, người dùng chỉ thấy “zon.com”, dễ bị đánh lừa rằng đây là một trang hợp lệ.

Điều này cũng giúp che giấu URL thật khi sử dụng các liên kết rút gọn, khiến người dùng dễ nhấp vào liên kết nguy hiểm. Theo Digregorio, một biến thể đặc biệt của kiểu tấn công này có thể thực hiện được trong một số ứng dụng phổ biến như WhatsApp, Telegram, Slack trên điện thoại Android.

Tấn công qua gợi ý liên kết trong thông báo

Digregorio đặc biệt cảnh báo về các liên kết hiển thị trong phần thông báo của ứng dụng — nơi người dùng thường nhanh chóng nhấn vào liên kết mà không kiểm tra kỹ.

Ông đã kiểm nghiệm hành vi này trên các ứng dụng như WhatsApp, Telegram, Instagram, Discord và Slack. Ví dụ: WhatsApp có thể bị đánh lừa bằng ký tự vô hình, nhưng Telegram thì không bị ảnh hưởng bởi kiểu tấn công này.

Hiện tại, người dùng Android không thể làm gì nhiều ngoài việc thận trọng khi nhấp vào các liên kết hiển thị trong thông báo. Digregorio đã báo cáo lỗ hổng này cho Google vào tháng 3.2025. Tuy nhiên, nhóm bảo mật Android cho rằng lỗ hổng này không đủ nghiêm trọng để phát hành bản cập nhật vá lỗi.

Vấn đề tương tự cũng tồn tại trên hệ điều hành iOS, nhưng dễ phát hiện hơn. Nếu một liên kết bị chèn ký tự "zero-width space", phần liên kết bị đánh lừa (ví dụ “zon.com”) sẽ được tô màu khác (thường là màu xanh dương). Điều này giúp người dùng nhận ra dấu hiệu bất thường và tránh bị lừa nhấp vào các liên kết giả mạo.

Ký tự vô hình là gì?

Ký tự vô hình "zero-width space" (U+200B) là một ký tự đặc biệt trong bảng mã Unicode, được thiết kế để không chiếm bất kỳ không gian hiển thị nào trên màn hình hay khi in ra. Đúng như tên gọi, nó có "độ rộng bằng không".

Mục đích chính của U+200B là cung cấp một điểm mà tại đó trình duyệt hoặc trình xử lý văn bản có thể ngắt dòng (xuống hàng) nếu cần thiết, mà không hiển thị một khoảng trắng hay dấu gạch nối. Điều này đặc biệt hữu ích trong các ngôn ngữ không sử dụng khoảng cách để phân tách các từ (ví dụ: tiếng Thái, tiếng Nhật, tiếng Trung Quốc) hoặc để cho phép ngắt dòng trong các từ rất dài trong các ngôn ngữ khác. Do tính chất vô hình của nó, U+200B có thể được sử dụng cho nhiều mục đích khác nhau.

Định dạng văn bản và khả năng đọc: Giúp trình duyệt ngắt dòng các từ dài hoặc trong các ngôn ngữ không có dấu cách; kiểm soát cách các từ hoặc cụm từ hiển thị mà không làm thay đổi cấu trúc của chúng (ví dụ, để đảm bảo một dòng văn bản không bị tràn ra ngoài).

Tránh các liên kết tự động hoặc định dạng đặc biệt: Trong một số nền tảng (ví dụ: Twitter, diễn đàn), nếu bạn gõ @username hoặc #hashtag, nó sẽ tự động biến thành một liên kết. Bằng cách chèn U+200B giữa @ hoặc # và văn bản (ví dụ: @\u200busername), bạn có thể hiển thị ký tự đó mà không kích hoạt liên kết. Điều này hữu ích khi bạn muốn đề cập đến cú pháp mà không muốn nó trở thành liên kết hoạt động. Tương tự, có thể ngăn chặn các tính năng tự động định dạng như "ligature" (nối chữ) trong một số font chữ.

Ẩn thông tin (Steganography): Đây là một ứng dụng tiêu cực và đáng lo ngại. Do ký tự này vô hình, nó có thể được sử dụng để:

Nhúng dữ liệu ẩn: Một chuỗi các ký tự U+200B có thể được sử dụng để mã hóa dữ liệu nhị phân (0 và 1) và giấu vào giữa một văn bản bình thường. Điều này có thể được dùng để tạo "dấu vân tay" (fingerprint) cho tài liệu, theo dõi nguồn gốc rò rỉ thông tin, hoặc thậm chí là ẩn tin nhắn bí mật.

Vượt qua bộ lọc từ khóa/kiểm duyệt: Kẻ gian có thể chèn U+200B vào giữa các chữ cái của một từ cấm (ví dụ: "t\u200biền \u200bgửi" thay thế cho từ cấm là tiền gửi) để qua mặt các hệ thống kiểm duyệt tự động mà vẫn giữ được ý nghĩa rõ ràng đối với con người.

Lừa đảo: Chèn các ký tự vô hình vào URL hoặc tên người dùng có thể tạo ra các liên kết hoặc tên hiển thị trông giống hệt bản gốc, nhưng thực chất lại dẫn đến trang web giả mạo hoặc tài khoản lừa đảo.

 


Gửi bình luận
(0) Bình luận
1

Tra cứu nhanh 168 phường, xã, đặc khu thuộc TP.HCM mới

Chuyên trang toàn cảnh thông tin về 168 phường, xã, đặc khu của TP.HCM chính thức đi vào hoạt động. Bạn có thể tra cứu, theo dõi video và các thông tin về hoạt động vận hành khi TP.HCM thực hiện chính quyền 2 cấp.
2

Địa chỉ, điện thoại bộ phận một cửa cấp tỉnh của các sở, ngành TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các sở, ngành, phường, xã, đặc khu của TPHCM mới.
3

Một tính năng cực hữu ích trên VNeID mà người dùng không nên bỏ qua

Hành khách bay nội địa hiện nay có thể hoàn tất toàn bộ thủ tục từ mua vé, check-in, qua cửa an ninh đến lên máy bay mà không cần xuất trình giấy tờ tùy thân, nhờ ứng dụng nhận diện khuôn mặt qua VNeID.
4

Địa chỉ, điện thoại bộ phận một cửa ở 168 phường, xã, đặc khu của TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các phường, xã, đặc khu của TPHCM (mới).
5

ChatGPT có thể gây ra chứng loạn thần, khiến người dùng phải nhập viện điều trị

Ngày càng nhiều người dùng ChatGPT phát triển nỗi ám ảnh mất kiểm soát với chatbot trí tuệ nhân tạo AI, dẫn đến các cuộc khủng hoảng sức khỏe tâm thần nghiêm trọng với biểu hiện như hoang tưởng, ảo tưởng và tách rời thực tại, trang Futurism đưa tin.

Những lo ngại khi Facebook muốn truy cập vào thư viện ảnh trên điện thoại

Facebook đang yêu cầu người dùng cho phép truy cập vào thư viện ảnh trên điện thoại để tự động đề xuất các phiên bản ảnh được chỉnh sửa bằng AI, gồm cả những bức ảnh chưa từng được tải lên Facebook.

Thủ đoạn thao túng tâm lý người trẻ để bắt cóc online, tống tiền qua mạng

Kẻ gian không dùng súng hay dao, mà dùng tâm lý để khiến nạn nhân tự mở két”, Thượng tá Đào Trung Hiếu cảnh báo về thủ đoạn lừa đảo mới, khi nạn nhân bị thao túng tâm lý như bị “bắt cóc tinh thần”.

Một tính năng cực hữu ích trên VNeID mà người dùng không nên bỏ qua

Hành khách bay nội địa hiện nay có thể hoàn tất toàn bộ thủ tục từ mua vé, check-in, qua cửa an ninh đến lên máy bay mà không cần xuất trình giấy tờ tùy thân, nhờ ứng dụng nhận diện khuôn mặt qua VNeID.

Địa chỉ, điện thoại bộ phận một cửa ở 168 phường, xã, đặc khu của TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các phường, xã, đặc khu của TPHCM (mới).

Địa chỉ, điện thoại bộ phận một cửa cấp tỉnh của các sở, ngành TP.HCM

UBND TP.HCM vừa có thông báo về địa điểm, số điện thoại đường dây nóng của bộ phận một cửa tại các sở, ngành, phường, xã, đặc khu của TPHCM mới.

Thời đại SEO liệu có kết thúc và quảng cáo bằng AI tạo sinh có đang lên ngôi?

Với SEO, nội dung thường được xây dựng theo công thức, bắt đầu từ việc chọn từ khóa, triển khai nội dung, chờ Google index, rồi điều chỉnh dần. Nhưng với AI tạo sinh, nội dung không chỉ là văn bản mô tả sản phẩm.

Xác thực đăng nhập qua SMS rất rủi ro, thay bằng cách nào?

Xác thực qua SMS đang bị xem là một trong những phương thức bảo mật yếu nhất hiện nay.

CapCut thay đổi điều khoản sử dụng khiến người dùng lo lắng

CapCut đang "âm thầm" thay đổi điều khoản dịch vụ đối với quyền sử dụng khuôn mặt, giọng nói và nội dung của người dùng, làm dấy lên lo ngại trong cộng đồng.

Đại địa chấn kinh tế - Tiền nóng, niềm tin lạnh: 3 thế hệ khủng hoảng tài chính toàn cầu

Từ những cuộc khủng hoảng này cho thấy quá trình toàn cầu hóa thị trường tài chính luôn đi kèm với quá trình toàn cầu hóa khủng hoảng tài chính, nghĩa là khủng hoảng không còn giới hạn trong một khu vực mà có thể nhanh chóng lan rộng khắp thế giới.

Xem 'Sex Education', tôi hiểu vì sao con gái ghét bà ngoại - Bi kịch đến từ câu nói tưởng chừng vô hại

Điện ảnh - Ứng Hà Chi - 05/07/2025 13:00
Tôi bàng hoàng nhận ra rằng những lời dạy dỗ tưởng chừng vô hại của người lớn có thể để lại vết thương sâu sắc trong tâm hồn con trẻ.

Công cụ tra cứu địa chỉ mới sau sáp nhập

Kỹ năng - Mạnh Hùng - 05/07/2025 12:00
Một số nền tảng công nghệ đã được triển khai để hỗ trợ người dân kiểm tra địa chỉ mới, đảm bảo không ảnh hưởng tới công việc, cuộc sống.

Vì sao MV “Rực rỡ ngày mới” chạm đến cảm xúc nghệ sĩ và khán giả?

Giải trí - Quỳnh Tâm - 05/07/2025 11:20
Sau khi ra mắt, MV "Rực rỡ ngày mới" nhận được nhiều phản hồi tích cực, những bình luận xúc động từ nghệ sĩ và khán giả.

Cừu Thiên Nhận suýt giết chết Hoàng Dung, vì sao Đông Tà không trả thù?

Thư giãn - Nguyệt Phạm - 05/07/2025 11:00
Nhiều người tự hỏi vì sao Hoàng Dung bị Cừu Thiên Nhận suýt lấy mạng nhưng Hoàng Dược Sư không báo thù.

Vì sao 80.000 người “bốc hơi” như chưa từng tồn tại ở Nhật Bản?

Phong cách sống - Chi Chi - 05/07/2025 10:00
Nhật Bản là nơi hoàn hảo để biến mất.

Đại địa chấn kinh tế - Tiền nóng, niềm tin lạnh: 3 thế hệ khủng hoảng tài chính toàn cầu

Từ sách - Phim - TĐ - 05/07/2025 09:00
Từ những cuộc khủng hoảng này cho thấy quá trình toàn cầu hóa thị trường tài chính luôn đi kèm với quá trình toàn cầu hóa khủng hoảng tài chính, nghĩa là khủng hoảng không còn giới hạn trong một khu vực mà có thể nhanh chóng lan rộng khắp thế giới.

Hạnh phúc tuổi trẻ - Yêu không ràng buộc là bí mật của tình yêu vĩnh hằng

Từ sách - Phim - Quìn - 05/07/2025 08:00
Triết gia Krishnamurti, đã từng đặt ra một câu hỏi giản dị mà rất đáng để chúng ta, đặc biệt là những cô gái trẻ cần suy ngẫm: “Chúng ta có thực sự biết yêu là gì không?”.

AI tạo video cực đỉnh của Google Veo 3 chính thức “chào sân” Việt Nam

Kỹ năng - Kỳ Thư - 04/07/2025 13:00
Google triển khai mô hình tạo video AI Veo 3 tại Việt Nam qua ứng dụng Gemini, cho phép người dùng tạo video từ văn bản kèm âm thanh, tích hợp công cụ nhận diện nội dung do AI tạo ra.

Xem "Sex Education", tôi bất ngờ với một câu thoại ngắn gọn nhưng sẽ là chân lý

Điện ảnh - Mỹ Hạnh - 04/07/2025 12:00
Thật không ngờ, bộ phim "Sex Education" lại chứa đựng nhiều triết lý thú vị như thế.

ChatGPT có thể gây ra chứng loạn thần, khiến người dùng phải nhập viện điều trị

Kỹ năng - Sơn Vân - 04/07/2025 11:00
Ngày càng nhiều người dùng ChatGPT phát triển nỗi ám ảnh mất kiểm soát với chatbot trí tuệ nhân tạo AI, dẫn đến các cuộc khủng hoảng sức khỏe tâm thần nghiêm trọng với biểu hiện như hoang tưởng, ảo tưởng và tách rời thực tại, trang Futurism đưa tin.

Viết thư pháp trên quả vải thiều, chàng trai gen Z Hà Nội gây sốt mạng

Phong cách sống - Nhật Thủy - 04/07/2025 10:00
Thay cho giấy dó và lụa, Việt Út viết thư pháp lên quả vải thiều; hình ảnh mang nét đẹp vừa truyền thống vừa mới lạ này khiến cư dân mạng sửng sốt và thích thú.

Đằng sau một quyết định lớn: Vùng xám - nơi thử lửa bản lĩnh và chiều sâu nhân văn của một nhà lãnh đạo

Từ sách - Phim - Quìn - 04/07/2025 09:00
Hãy tưởng tượng bạn phải quyết định, nhưng tất cả dữ liệu, báo cáo, ý kiến xung quanh đều chẳng thể cho bạn đáp án rõ ràng. Không có đúng hay sai tuyệt đối. Chỉ có vô vàn rủi ro và áp lực bủa vây. Và bạn, với vai trò người dẫn đầu vẫn buộc phải đưa ra quyết định.

3 vũ khí tinh thần giúp chủ doanh nghiệp sống sót và tăng trưởng

Tủ sách - Quìn - 04/07/2025 08:00
Bạn có bao giờ tự hỏi vì sao có người trở nên giàu có, còn mình cứ loay hoay? Bạn đã từng kiệt sức, chán nản khi bỏ ra rất nhiều công sức mà kết quả vẫn không xứng đáng? Bạn nhìn thấy đối thủ bứt phá, còn mình thì trì trệ và bắt đầu tụt lại phía sau?

Cảnh báo khẩn từ thói quen chụp ảnh màn hình điện thoại

Kỹ năng - An Nhiên - 03/07/2025 13:00
Theo các chuyên gia an ninh mạng, người dùng hãy sử dụng các dịch vụ lưu trữ đám mây hoặc trình quản lý mật khẩu tốt nhất để lưu trữ những thông tin quan trọng một cách an toàn.

Xem Sex Education, tôi phát hiện bí mật nhạy cảm của con gái, nhờ vậy tôi giúp con "quay xe"

Điện ảnh - Thanh Hương - 03/07/2025 12:00
Tôi đã bình tĩnh và có cuộc nói chuyện chân thành với con.
HẠT GIỐNG TÂM HỒN
2019 Bản quyền thuộc về hatgiongtamhon.com.vn. Phát triển bởi ONECMS
Thứ 7, 05/07/2025