Các chuyên gia an ninh mạng của Kaspersky vừa ghi nhận một chiến dịch lừa đảo trực tuyến mới nhắm vào người dùng doanh nghiệp bằng cách khai thác tính năng thông báo của Google Tasks.
Theo phân tích của Kaspersky, kẻ tấn công gửi đến nạn nhân một thông báo trông hoàn toàn hợp lệ với tiêu đề “Bạn có một nhiệm vụ mới”. Do thông báo xuất phát từ hệ thống của Google, người nhận dễ tin rằng đây là yêu cầu công việc thật được giao trong nội bộ doanh nghiệp.
Nội dung nhiệm vụ thường được thiết kế theo hướng khẩn cấp, gắn nhãn ưu tiên cao hoặc kèm thời hạn xử lý gấp. Chiêu thức này nhằm tạo áp lực tâm lý, khiến người nhận vội vàng làm theo hướng dẫn mà không kiểm tra kỹ tính xác thực.
Khi nhấp vào đường dẫn trong thông báo, nạn nhân sẽ bị chuyển tới một trang web giả mạo được ngụy trang như cổng “xác minh nhân viên”. Tại đây, người dùng được yêu cầu nhập thông tin đăng nhập tài khoản doanh nghiệp để xác nhận danh tính. Nếu thực hiện, toàn bộ dữ liệu đăng nhập sẽ rơi vào tay kẻ tấn công.
Những thông tin này có thể bị lợi dụng để truy cập trái phép vào hệ thống nội bộ, đánh cắp dữ liệu hoặc tiếp tục phát động các cuộc tấn công khác nhắm vào tổ chức.
Ông Roman Dedenok, chuyên gia phân tích chống spam của Kaspersky, cho biết tội phạm mạng ngày càng tận dụng các nền tảng hợp pháp để phát tán nội dung lừa đảo. Theo ông, việc lợi dụng các dịch vụ quen thuộc trong hệ sinh thái Google là một phần của xu hướng tấn công đã được ghi nhận trong thời gian qua và có thể tiếp tục gia tăng đến năm 2026.
Do các thông báo được gửi thông qua tên miền chính thống, chúng thường dễ dàng vượt qua các bộ lọc chống spam và chống phishing. Bên cạnh đó, yếu tố kỹ thuật xã hội – khi thông báo được dựng lên giống như một quy trình công việc nội bộ – khiến nhiều người dùng mất cảnh giác.
Trước nguy cơ này, Kaspersky khuyến nghị người dùng cần chú ý một số nguyên tắc an toàn cơ bản:
- Cẩn trọng với mọi thông báo hoặc lời mời bất ngờ, kể cả khi chúng xuất phát từ các nền tảng quen thuộc.
- Kiểm tra kỹ địa chỉ URL trước khi nhấp vào liên kết.
- Không gọi đến các số điện thoại được cung cấp trong email đáng ngờ; thay vào đó hãy tìm thông tin liên hệ chính thức từ trang web của dịch vụ.
- Báo cáo email khả nghi cho nhà cung cấp nền tảng và kích hoạt xác thực đa yếu tố (MFA) cho tất cả tài khoản.
Đối với môi trường doanh nghiệp, Kaspersky khuyến nghị triển khai các giải pháp bảo mật email với cơ chế phòng vệ nhiều lớp nhằm phát hiện sớm các nội dung độc hại. Trong khi đó, người dùng cá nhân nên sử dụng các công cụ bảo mật tích hợp khả năng phát hiện phishing bằng công nghệ AI để tăng cường bảo vệ trước các chiến dịch lừa đảo ngày càng tinh vi.