Khi bước vào sảnh sân bay, khách sạn hay quán cà phê đông đúc, phản xạ quen thuộc của người dùng điện thoại và máy tính là mở cài đặt Wi-Fi để tìm kiếm đường truyền Internet. Khi thấy một mạng không dây mở có tên quen thuộc như "SanBay_Free_WiFi" hay "Cafe_KhachHang" với cột sóng căng đầy, hầu hết mọi người đều bấm kết nối ngay. Tuy nhiên, tại các địa điểm công cộng, trạm phát sóng đó rất có thể không phải của ban quản lý địa điểm mà là một thiết bị phát sóng độc hại do kẻ gian điều khiển.

Hình thức tấn công mạng cổ điển này được các chuyên gia bảo mật gọi là Evil Twin (bản sao song sinh độc hại). Bằng cách ngụy trang giống hệt một điểm phát sóng hợp pháp, kẻ tấn công chiếm giữ vị trí trung gian giữa thiết bị của bạn và mạng Internet, từ đó nghe lén và can thiệp vào toàn bộ lưu lượng dữ liệu. Nắm vững cơ chế hoạt động của kiểu tấn công này và thiết lập mã hóa toàn diện là giải pháp cần thiết để bảo vệ tài khoản số.

Cơ chế kỹ thuật triển khai một trạm phát Evil Twin

Để thực hiện một cuộc tấn công Evil Twin, kẻ xấu không cần trang thiết bị cồng kềnh hay năng lực cấp quốc gia. Các thiết bị phát sóng nhỏ gọn kết hợp cùng phần mềm chuyên dụng cho phép dàn dựng một cái bẫy hoàn chỉnh chỉ trong vài phút.

1. Sao chép định danh mạng và địa chỉ phần cứng

Kẻ tấn công cấu hình bộ phát sóng không dây phát ra tên mạng (SSID) giống hệt với mạng hợp pháp của địa điểm. Để tăng tính chân thực, chúng sao chép cả địa chỉ MAC (BSSID) của bộ định tuyến thật và tăng công suất phát sóng để biến trạm giả mạo thành lựa chọn tối ưu cho thiết bị của nạn nhân.

2. Ép thiết bị tự động ngắt kết nối và chuyển sang mạng giả

Các thiết bị di động hiện đại luôn được thiết lập để tự động kết nối lại các mạng Wi-Fi đã biết. Kẻ tấn công sẽ liên tục gửi các gói tin hủy xác thực (deauthentication frames) giả mạo tới thiết bị của bạn. Do chuẩn WPA2 thông thường không mã hóa các khung quản lý này, thiết bị của bạn sẽ bị ngắt kết nối khỏi Wi-Fi thật và ngay lập tức kết nối sang trạm Evil Twin có cường độ sóng mạnh hơn.

3. Đánh cắp thông tin qua cổng đăng nhập giả mạo

Khi đã kết nối vào trạm phát sóng độc hại, toàn bộ lưu lượng dữ liệu đều chạy qua máy chủ của kẻ tấn công. Chúng thường hiển thị một trang đăng nhập mạng (captive portal) giả mạo yêu cầu nhập thông tin cá nhân, tài khoản mạng xã hội hoặc số điện thoại để "xác minh truy cập". Đồng thời, các máy chủ DNS trung gian sẽ chuyển hướng người dùng sang các trang web mạo danh để chiếm đoạt tài khoản.

Tại sao chuẩn HTTPS vẫn có nguy cơ bị can thiệp?

Nhiều người dùng tin rằng giao thức HTTPS bảo vệ trọn vẹn trước các điểm phát sóng công cộng. Mặc dù HTTPS mã hóa nội dung trang web, một kẻ tấn công đứng ở vị trí trung gian vẫn có thể khai thác nhiều điểm yếu bảo mật:

  • Lộ siêu dữ liệu và tên miền truy cập: Các truy vấn tên miền DNS và trường SNI trong quá trình bắt tay TLS vẫn truyền dưới dạng văn bản rõ. Kẻ gian có thể ghi lại danh sách toàn bộ các dịch vụ ngân hàng, cổng làm việc và ứng dụng mà bạn kết nối.
  • Dụ dỗ cài đặt chứng chỉ bảo mật độc hại: Cổng đăng nhập giả mạo có thể yêu cầu người dùng cài đặt một "hồ sơ cấu hình mạng" hoặc "chứng chỉ gốc". Nếu người dùng đồng ý, kẻ tấn công sẽ có quyền giải mã và sửa đổi toàn bộ lưu lượng HTTPS trên máy.

Biện pháp phòng chống điểm phát sóng Wi-Fi giả mạo

Bảo vệ thiết bị trước các trạm phát sóng giả mạo đòi hỏi sự cẩn trọng khi sử dụng mạng và áp dụng công nghệ mã hóa đường truyền mạnh mẽ.

Kích hoạt đường hầm mã hóa WireGuard toàn diện

Biện pháp bảo vệ dứt khoát nhất trước trạm phát sóng Evil Twin là khởi động kết nối VPN ngay khi kết nối vào bất kỳ mạng Wi-Fi nào:

  • Mã hóa dữ liệu ở tầng mạng: Khi sử dụng VPNRice, mọi gói tin từ thiết bị — bao gồm truy vấn DNS, dữ liệu nền của hệ điều hành và thông tin ứng dụng — đều được mã hóa bằng các thuật toán hiện đại trước khi phát sóng qua môi trường không dây.
  • Vô hiệu hóa việc nghe lén: Đối với trạm phát sóng giả mạo, toàn bộ dữ liệu đi qua chỉ là một chuỗi các gói tin UDP đồng nhất hướng về máy chủ cổng bảo mật. Kẻ gian hoàn toàn không thể đọc trộm hay can thiệp vào đường truyền.
  • Công nghệ chống phân tích RiceGuard: Trong trường hợp trạm Wi-Fi công cộng cố tình can thiệp hoặc bóp băng thông giao thức kết nối, công nghệ RiceGuard của VPNRice sẽ tự động ngụy trang tiêu đề gói tin, đảm bảo duy trì đường truyền an toàn và liên tục.

Thói quen an toàn khi sử dụng Wi-Fi công cộng

Ngoài việc sử dụng đường hầm mã hóa, bạn nên thực hiện các thói quen sau:

  1. Tắt tính năng tự động kết nối Wi-Fi: Vô hiệu hóa tùy chọn "Tự động kết nối mạng đã biết" trong cài đặt máy để tránh việc thiết bị tự động nhảy sang các trạm phát sóng giả mạo.
  2. Không cài đặt chứng chỉ lạ: Tuyệt đối từ chối nếu mạng Wi-Fi công cộng yêu cầu tải về tệp hồ sơ cấu hình hoặc chứng chỉ số vào máy.
  3. Kiểm tra thông số kết nối mạng: Sử dụng Công cụ kiểm tra IP miễn phí để xác nhận dữ liệu đã được định tuyến qua máy chủ an toàn. Để tìm hiểu thêm các biện pháp bảo vệ khi kết nối bên ngoài, hãy đọc cẩm nang về an toàn Wi-Fi công cộng.

Tải VPNRice.