Bạn vừa bước ra khỏi sảnh đón sân bay quốc tế hoặc đang di chuyển qua một giao lộ đông đúc tại trung tâm thương mại thì màn hình điện thoại chớp giật bất thường. Biểu tượng 5G tốc độ cao hay 4G LTE bỗng biến mất, thay thế bằng chữ "E" hoặc "2G" đơn độc, nhưng cột sóng viễn thông lại căng đầy tối đa. Vài chục giây sau, một tin nhắn SMS lạ ập đến mạo danh cảnh báo tài khoản ngân hàng bị khóa, hoặc các ứng dụng nền liên tục báo lỗi bắt tay bảo mật. Bạn không hề đi vào vùng lõm sóng tự nhiên; modem băng tần gốc trên điện thoại của bạn vừa bị cưỡng chế kết nối vào một trạm thu phát sóng giả mạo (thường gọi là thiết bị bắt IMSI hay trạm BTS giả).

Các trạm BTS giả mạo ngày nay không còn là thiết bị cồng kềnh độc quyền của các cơ quan tình báo, mà đã được thu nhỏ thành các bộ vô tuyến định nghĩa bằng phần mềm (SDR) gắn gọn trong cốp ô tô hoặc balo di động. Bằng cách khai thác điểm yếu cố hữu trong kiến trúc mạng di động cổ điển, những trạm phát sóng lạ này đánh lừa điện thoại thông minh rời bỏ trạm phát chính thống của nhà mạng. Nắm rõ bản chất kỹ thuật của hình thức tấn công vô tuyến này là chìa khóa then chốt để bảo vệ dữ liệu tài chính và vị trí cá nhân của bạn.

Cơ chế trạm phát sóng giả ép điện thoại hạ về sóng 2G

Lỗ hổng cốt lõi cho phép các trạm BTS giả thao túng thiết bị bắt nguồn từ tiêu chuẩn mạng di động thế hệ thứ hai (2G GSM) được ban hành từ đầu thập niên 1990. Trong khi các thế hệ mạng 4G LTE và 5G hiện đại bắt buộc phải xác thực hai chiều (Mutual Authentication)—nghĩa là trạm phát sóng phải gửi chứng thực mã hóa hợp lệ cho điện thoại trước khi điện thoại truyền dữ liệu thuê bao—thì chuẩn 2G cổ điển chỉ hỗ trợ xác thực một chiều. Ở chế độ 2G, trạm phát sóng có quyền yêu cầu điện thoại xuất trình danh tính, nhưng điện thoại lại không có bất kỳ cơ chế toán học nào để kiểm chứng xem trạm phát đó có thực sự thuộc về nhà mạng viễn thông hay không.

Kẻ tấn công khai thác lỗ hổng lịch sử này bằng cách vận hành các thiết bị vô tuyến phát sóng công suất cực cao. Theo quy chuẩn thuật toán lựa chọn lại ô sóng (C1 và C2) của tổ chức 3GPP, modem trên điện thoại luôn tự động đo đạc các kênh quảng bá xung quanh và ưu tiên chuyển kết nối sang nguồn phát có cường độ tín hiệu vượt trội để đảm bảo thông suốt liên lạc. Khi trạm giả phát tín hiệu áp đảo các trạm phát hợp pháp, điện thoại sẽ lập tức kích hoạt quy trình chuyển vùng tự động sang trạm lạ.

Ngay sau khi điện thoại gửi yêu cầu kết nối, trạm giả sẽ tiến hành đòn tấn công hạ băng tần có chủ đích. Trạm giả gửi gói tin điều khiển RRCConnectionReject chứa lệnh điều hướng ép rớt mạng hoặc kích hoạt xung nhiễu tần số có chọn lọc trên dải sóng 4G/5G xung quanh. Do không thể giữ kết nối bậc cao, phần mềm điều khiển modem buộc phải lùi bước về dải tần 2G của trạm giả. Tại đây, kẻ tấn công ra lệnh cho thiết bị tắt hoàn toàn thuật toán mã hóa đường truyền (chế độ A5/0) hoặc ép dùng chuẩn mật mã A5/1 vốn đã bị giải mã hoàn toàn trong thời gian thực bằng bảng cầu vồng tính toán trước.

Nguy cơ lộ lọt dữ liệu khi bị chuyển hướng qua trạm BTS lạ

Khi thiết bị di động đã rơi vào bẫy trạm BTS giả, kẻ tấn công nắm giữ quyền kiểm soát trực tiếp trên lớp vô tuyến vật lý:

  1. Thu thập danh tính vĩnh viễn (IMSI Harvesting): Trong điều kiện thông thường trên sóng 4G/5G, nhà mạng chỉ định danh thuê bao bằng chuỗi mã tạm thời (GUTI hoặc SUCI) để tránh bị theo dõi. Tuy nhiên, trạm giả 2G sẽ phát gói tin Identity Request không mã hóa. Điện thoại lập tức gửi trả mã nhận dạng thuê bao di động quốc tế (IMSI) và số nhận dạng thiết bị (IMEI). Kẻ tấn công có thể ghi lại chính xác sự hiện diện vật lý của chủ máy và lập bản đồ hành trình di chuyển thực tế.

  2. Đọc trộm tin nhắn SMS và đánh cắp mã OTP: Do luồng dữ liệu 2G bị tước bỏ mã hóa, mọi tin nhắn SMS gửi đến và đi đều hiển thị dưới dạng văn bản thuần trên phần mềm của kẻ tấn công. Chúng lợi dụng điều này để chặn bắt mã xác thực giao dịch ngân hàng (OTP), mã khôi phục tài khoản mạng xã hội và phát tán tin nhắn mạo danh đường dẫn độc hại vào hộp thư của nạn nhân.

  3. Chuyển hướng gói tin Internet và tấn công xen giữa (MITM): Nếu dữ liệu di động được kích hoạt trên kết nối 2G, toàn bộ lưu lượng mạng đều trung chuyển qua card mạng của trạm giả. Kẻ tấn công có thể thao túng các truy vấn phân giải tên miền DNS chưa mã hóa, giả lập cổng mạng mặc định hoặc dẫn dắt trình duyệt vào các trang đăng nhập giả mạo để chiếm đoạt tài khoản.

Phòng thủ đa tầng: Vô hiệu hoá 2G và thiết lập đường hầm mã hoá

Để phòng chống trạm BTS giả mạo một cách triệt để, bạn cần kết hợp giữa việc kiểm soát phần cứng vô tuyến ở cấp hệ điều hành và bảo vệ dữ liệu bằng mật mã hóa ở tầng ứng dụng:

Vô hiệu hóa kết nối 2G ở cấp hệ điều hành

Vì các nhà mạng lớn trên toàn cầu đang tiến hành tắt dần sóng 2G truyền thống, các nền tảng di động hiện đại đã tích hợp công tắc ngắt kết nối phần cứng đối với dải tần này:

  • Hệ điều hành Android (Android 12 trở lên): Vào mục Cài đặt > Mạng và internet > SIM > [Tên nhà mạng], cuộn xuống dưới và tắt tùy chọn Cho phép kết nối 2G. Thao tác này ra lệnh cho lớp giao tiếp vô tuyến (RIL) từ chối toàn bộ các yêu cầu hạ băng tần xuống 2G, chặn đứng thủ đoạn ép rớt mạng của trạm phát sóng giả.
  • Hệ điều hành iOS (iOS 17 trở lên): Người dùng có thể bật Chế độ phong tỏa (Lockdown Mode) trong phần Cài đặt > Quyền riêng tư & Bảo mật khi di chuyển qua các khu vực nhạy cảm để hệ thống tự động khóa chặt mọi kết nối mạng 2G không an toàn.

Bảo vệ toàn diện bằng đường hầm mã hóa dữ liệu

Dù đã tắt sóng 2G, các trạm phát sóng tinh vi vẫn có thể hoạt động ở các dải tần trung gian để ghi nhận siêu dữ liệu. Để triệt tiêu rủi ro lộ lọt gói tin, toàn bộ lưu lượng truy cập từ thiết bị cần được bọc kín trong đường hầm mã hóa đầu cuối.

Sử dụng ứng dụng VPNRice giúp thiết lập đường hầm mã hóa kiên cố với các thuật toán hiện đại như ChaCha20-Poly1305 và AES-256-GCM ngay trên thiết bị trước khi gói tin được gửi tới modem di động. Ngay cả khi trạm thu phát sóng lạ can thiệp vào tầng vô tuyến, kẻ tấn công cũng chỉ ghi nhận được những chuỗi byte ngẫu nhiên không thể giải mã. Giao thức tối ưu hóa chuyên biệt RiceGuard và RiceGuardX loại bỏ hoàn toàn các dấu hiệu bắt tay truyền thống, ngăn ngừa việc nhận diện giao thức và chống giả mạo bảng định tuyến DNS.

Trước khi truy cập các dịch vụ quan trọng tại nơi công cộng, bạn hãy kiểm tra độ an toàn của đường truyền qua công cụ Tra cứu địa chỉ IP và kiểm định nguy cơ rò rỉ thông tin qua trình Kiểm tra rò rỉ WebRTC. Sự kết hợp giữa việc tắt dải tần viễn thông cổ điển và duy trì đường hầm mã hóa liên tục sẽ giữ cho mọi kết nối di động của bạn luôn an toàn trước các trạm BTS giả mạo.