Một lỗi "nhỏ nhưng nguy hiểm" tồn tại âm thầm trong iOS suốt nhiều năm

Mới đây, cộng đồng công nghệ đã bị một phen "dậy sóng" sau khi các chuyên gia bảo mật phát hiện một lỗ hổng tồn tại trong ứng dụng quản lý mật khẩu (Passwords) trên iPhone. Lỗi này, dù được đánh giá là có khả năng ảnh hưởng thấp, nhưng lại tồn tại âm thầm từ iOS 14 (ra mắt năm 2020) đến tận iOS 18 – đồng nghĩa với việc người dùng có thể đã bị đặt vào tình thế rủi ro suốt gần 4 năm mà không hề hay biết.

Vấn đề là gì?

Apple gần đây đã âm thầm cập nhật một ghi chú bảo mật, trong đó thừa nhận một vấn đề trong ứng dụng Passwords có thể cho phép "một người dùng trong vị trí mạng đặc quyền có thể rò rỉ thông tin nhạy cảm." Cụ thể hơn, lỗi nằm ở việc ứng dụng này sử dụng giao thức HTTP không an toàn để tải các biểu tượng tài khoản (favicon), thay vì sử dụng HTTPS – vốn là chuẩn mã hóa bảo mật hiện đại.

Nói cách khác, nếu bạn đang dùng iPhone trên một mạng Wi-Fi công cộng (ví dụ như ở quán cà phê hay sân bay), một kẻ tấn công trong cùng mạng đó hoàn toàn có thể chặn và chuyển hướng các yêu cầu HTTP không được mã hóa, từ đó dẫn đến nguy cơ tấn công giả mạo (phishing).

Ai là người phát hiện?

Lỗi này do nhóm nghiên cứu bảo mật độc lập Mysk phát hiện từ tháng 9/2024, nhưng đến tận tháng 3/2025 Apple mới âm thầm vá lỗi. Trong một bài đăng trên Twitter, Mysk cho biết:

"Ứng dụng Passwords trong iOS 18 chỉ là phiên bản 'đóng gói lại' của trình quản lý mật khẩu cũ trong Cài đặt, và nó mang theo toàn bộ những lỗi cũ – bao gồm lỗi HTTP."

Họ cũng công bố một đoạn video minh họa cách kẻ tấn công có thể giả mạo favicon để dụ người dùng click vào liên kết giả mạo, tiềm ẩn nguy cơ đánh cắp thông tin.

Vì sao đây là một vấn đề nghiêm trọng?

Theo nhà phân tích bảo mật Georgia Cooke từ ABI Research:

"Đây không phải là một lỗi nhỏ. Nó là ví dụ điển hình của việc thất bại trong tuân thủ các quy chuẩn bảo mật cơ bản."

Lỗi HTTP tuy có vẻ "vô hại", nhưng lại mở cánh cửa cho những hình thức tấn công giả mạo tinh vi, đặc biệt là trong môi trường mạng không an toàn. Những ai thường xuyên sử dụng Wi-Fi công cộng hoặc thay đổi mật khẩu khi di chuyển có thể đã vô tình trở thành mục tiêu.

Dù xác suất xảy ra không cao, song nguy cơ là có thật – và tồn tại suốt 4 năm trời.

Apple phản hồi thế nào?

Apple vẫn giữ truyền thống "im lặng là vàng", không đưa ra bất kỳ phản hồi chính thức nào về vụ việc, cũng như không công khai quy trình xử lý hay thừa nhận sự chậm trễ trong khắc phục.

Đáng chú ý, nhóm Mysk chia sẻ rằng họ không nhận được bất kỳ khoản tiền thưởng nào từ chương trình "bounty" của Apple vì lỗi này "không đủ mức độ nghiêm trọng theo tiêu chí của Apple".

“Cảm giác như đang làm từ thiện cho một công ty trị giá 3 ngàn tỷ đô,” Mysk bình luận mỉa mai. “Chúng tôi không làm điều này vì tiền, mà vì trách nhiệm với cộng đồng người dùng.”

Cách người dùng có thể tự bảo vệ mình

Mặc dù lỗi đã được Apple âm thầm khắc phục trong bản cập nhật gần nhất, người dùng vẫn nên chủ động bảo vệ dữ liệu cá nhân của mình, đặc biệt là trong bối cảnh ngày càng có nhiều lỗ hổng bảo mật bị phơi bày. Dưới đây là một số gợi ý:

1. Luôn cập nhật iOS và các ứng dụng hệ thống

Apple đã sửa lỗi này trong các bản cập nhật bảo mật mới nhất trên iPhone, iPad, Mac và Vision Pro. Nếu bạn chưa cập nhật thiết bị của mình, hãy thực hiện ngay.

2. Tránh thực hiện các tác vụ nhạy cảm trên mạng công cộng

Không nên đổi mật khẩu, đăng nhập vào tài khoản ngân hàng hay truy cập các dịch vụ quan trọng khi đang kết nối Wi-Fi công cộng.

3. Sử dụng VPN khi kết nối mạng lạ

VPN giúp mã hóa toàn bộ dữ liệu truyền qua mạng, hạn chế khả năng bị theo dõi hoặc tấn công trên các mạng Wi-Fi không đáng tin cậy.

4. Không sử dụng lại mật khẩu giữa các tài khoản

Hãy sử dụng trình quản lý mật khẩu an toàn để tạo và lưu trữ mật khẩu khác nhau cho từng dịch vụ.

5. Cân nhắc sử dụng ứng dụng quản lý mật khẩu của bên thứ ba

Mặc dù Apple Passwords đã được cải thiện, các ứng dụng như 1Password, Bitwarden, hay Dashlane vẫn mang lại nhiều tính năng nâng cao và minh bạch hơn.

Lời kết: Một bài học lớn cho cả Apple lẫn người dùng

Lỗi bảo mật trên ứng dụng Passwords không gây ra thiệt hại lớn, nhưng là một hồi chuông cảnh tỉnh. Ngay cả những "gã khổng lồ" như Apple cũng có thể mắc lỗi cơ bản và để nó tồn tại suốt nhiều năm.

Với người dùng, đây là lời nhắc nhở rằng chúng ta không nên quá phụ thuộc vào cảm giác "an toàn mặc định" trên các thiết bị Apple. Việc chủ động cập nhật, hiểu rõ rủi ro và trang bị thêm công cụ bảo vệ là điều cần thiết để giữ an toàn cho dữ liệu cá nhân trong thế giới số ngày nay.

#IkigaiTeck #PhanMemMienPhi #CongNgheMoi #BaoMatSo #Apple #iPhone #iOS18 #PasswordsApp #HTTPvsHTTPS #VPN #ThongTinCaNhan #HackVaPhishing #BaiHocBaoMat