Khi WhatsApp chuyển qua áp dụng mã hoá đầu cuối (end-to-end) cho hơn 1 tỷ người dùng của mình hồi năm ngoái,ảomậtmãhoábịhackerquamặtCơnácmộngcủacácứngdụngnhắhlv indonesia động thái đó đánh dấu một kỉ nguyên mới cho các ứng dụng nhắn tin, loại ứng dụng mà khả năng chống đọc trộm tin nhắn sẽ được dùng để đánh giá năng lực bảo mật của chúng. Mã hoá được đánh giá là công nghệ bảo mật tốt nhất hiện nay, tuy nhiên, một số cuộc tấn công nhắm vào WhatsApp phiên bản web mới đây cho thấy, chỉ với một ít dòng mã không an toàn cũng có khả năng qua mặt được công nghệ bảo mật tốt nhất này. 

Hôm thứ Tư vừa qua, hãng bảo mật Israeli Check Point công bố một kỹ thuật mới mà theo công ty, có thể qua mặt mã hoá end-to-end của WhatsApp bằng cách ẩn mã HTML trong một hình ảnh trông hoàn toàn vô hại. Nếu người dùng vô tình click vào đó khi sử dụng phiên bản web của WhatsApp, mã sẽ chạy trong trình duyệt của nạn nhân và hacker sẽ chiếm được quyền điều khiển không chỉ tin nhắn mà còn là các ảnh và video bạn được chia sẻ cùng danh bạ của bạn nữa. Check Point cũng nói thêm rằng một cuộc tấn công tương tự cũng đang nhằm vào phiên bản web của Telegram - một ứng dụng nhắn tin khác cũng được mã hoá end-to-end. Với trường hợp của Telegram, mã độc hại được giấu trong một video mà người dùng mở ở một tab mới. 

Điểm yếu chí tử của ứng dụng web

Dù cả 2 công ty (WhatsApp và Telegram) đã vá các lỗi mà Check Point chỉ ra thông qua các bản update nhanh, thế nhưng lỗ hổng bảo mật nói trên có thể khiến hàng triệu người dùng bị đọc lén tin nhắn. Các nhà nghiên cứu bảo mật cũng cho biết, các cuộc tấn công còn nhắm tới các điểm yếu cố hữu trong phiên bản web của mọi dịch vụ nhắn tin được cho là an toàn. Bởi vậy, khi nói tới quyền riêng tư, các ứng dụng trên mobile của một dịch vụ nào đó, đặc biệt là tin nhắn, được đánh giá là an toàn hơn so với trên web. 

"Đáng tiếc rằng các cuộc tấn công vừa qua đã làm lộ điểm yếu của các ứng dụng web" - Nadim Kobeissi, nhà sáng lập của Symbolic Software - một văn phòng về tư vấn mật mã - chia sẻ. Kobeissi trước đây từng ca ngợi rằng các ứng dụng mã hoá trên nền web là rất dễ sử dụng, nhưng ông thừa nhận rằng phát hiện của Check Point là một ví dụ điển hình của việc ứng dụng web dễ bị tấn công hơn so với ứng dụng mobile. "Thật đáng tiếc khi phải nói điều này, nhưng nếu bạn là người quan tâm đến bảo mật, tôi khuyên bạn nên dùng WhatsApp trên iPhone" - ông cho biết. 

Check Point demo cách hack tài khoản WhatsApp: