Một thiết bị nhỏ gọn bằng hộp điện thoại có thể biến bất kỳ ai thành "nhà mạng giả" để gửi hàng nghìn tin nhắn lừa đảo mỗi phút. Cảnh sát Toronto vừa bắt giữ ba nghi phạm sử dụng thiết bị SMS blaster - một công cụ có khả năng giả mạo trạm BTS để tấn công hàng loạt người dùng di động. Đây là vụ án đầu tiên thuộc loại này tại Canada, đánh dấu một bước ngoặt trong cuộc chiến chống tội phạm mạng sử dụng công nghệ tiên tiến. Điều đáng báo động là các thiết bị tương tự đang được rao bán công khai trên các trang thương mại điện tử với giá từ 200-500 USD.

Khi tội phạm trở thành "nhà mạng" trong tích tắc

SMS blaster hoạt động theo nguyên lý Man-in-the-Middle (tấn công trung gian), tạo ra một trạm BTS giả có tín hiệu mạnh hơn các trạm thật xung quanh. Khi điện thoại của nạn nhân tự động kết nối vào "trạm giả" này, tội phạm có thể gửi tin nhắn với bất kỳ số điện thoại nào họ muốn giả mạo - từ ngân hàng, nhà mạng đến cơ quan chính phủ. Không giống như spam SMS thông thường gửi qua internet, các tin nhắn từ SMS blaster xuất hiện hoàn toàn hợp pháp trong hệ thống nhắn tin của điện thoại.

Chúng tôi cho rằng đây chính là yếu tố khiến SMS blaster trở nên cực kỳ nguy hiểm. Nạn nhân hoàn toàn không thể phân biệt tin nhắn giả với tin nhắn thật bằng mắt thường. Hơn nữa, thiết bị này còn có thể gây nhiễu sóng di động trong phạm vi vài trăm mét, khiến người dùng mất kết nối hoặc chỉ nhận được tín hiệu từ trạm giả.

Công nghệ lỗi thời tạo ra lỗ hổng nghiêm trọng

Nguyên nhân gốc rễ của vấn đề nằm ở giao thức SS7 (Signaling System 7) - một chuẩn viễn thông được phát triển từ những năm 1970 khi bảo mật chưa được ưu tiên. SS7 thiếu các cơ chế xác thực mạnh mẽ, cho phép bất kỳ thiết bị nào tự nhận mình là trạm BTS hợp pháp mà không cần kiểm duyệt nghiêm ngặt. Điều này giống như việc bất kỳ ai cũng có thể mặc đồng phục cảnh sát giả mà không bị kiểm tra chứng minh thư.

Theo đánh giá của chúng tôi, việc SMS blaster xuất hiện tại Canada không phải ngẫu nhiên. Đất nước này có mật độ dân số thấp và khoảng cách xa giữa các trạm BTS, tạo điều kiện thuận lợi cho các thiết bị giả mạo hoạt động mà ít bị phát hiện. Tình trạng này có thể sẽ lan rộng sang các quốc gia khác có địa hình tương tự, bao gồm cả một số khu vực nông thôn tại Việt Nam.

Mối đe dọa thầm lặng với hàng triệu người dùng

Tác động của SMS blaster vượt xa việc gửi tin nhắn rác thông thường. Thiết bị này có thể được sử dụng để thực hiện các cuộc tấn công SIM swapping (chiếm đoạt SIM), thu thập mã OTP để truy cập tài khoản ngân hàng, hoặc thậm chí theo dõi vị trí của mục tiêu. Một báo cáo từ GSMA cho thấy thiệt hại từ các cuộc tấn công SS7 toàn cầu ước tính lên tới 12,8 tỷ USD mỗi năm.

Tại Việt Nam, với hơn 150 triệu thuê bao di động và tỷ lệ sử dụng banking online cao, mối đe dọa này đặc biệt nghiêm trọng. Theo thống kê từ Cục An ninh mạng và phòng chống tội phạm công nghệ cao, số vụ lừa đảo qua tin nhắn SMS đã tăng 340% trong năm 2023, với thiệt hại trung bình 45 triệu đồng mỗi vụ.

Bảo vệ bản thân trước "trạm BTS giả"

Người dùng cần thực hiện ngay các bước sau để giảm thiểu rủi ro. Đầu tiên, tắt chức năng tự động chọn mạng và chỉ kết nối thủ công với nhà mạng đáng tin cậy. Tiếp theo, cài đặt ứng dụng phát hiện tín hiệu bất thường như AIMSICD (Android IMSI-Catcher Detector) để cảnh báo khi điện thoại kết nối với trạm BTS đáng ngờ. Quan trọng nhất, tuyệt đối không nhấp vào link hoặc cung cấp thông tin cá nhân qua SMS, ngay cả khi tin nhắn có vẻ đến từ ngân hàng hay nhà mạng.

Chúng tôi khuyến nghị các doanh nghiệp Việt Nam cần nâng cấp hệ thống xác thực từ SMS OTP sang các phương thức an toàn hơn như ứng dụng authenticator hoặc sinh trắc học. Đối với các nhà mạng trong nước, việc triển khai công nghệ 5G với các tính năng bảo mật nâng cao là cần thiết để thay thế dần hạ tầng SS7 lỗi thời. Cuối cùng, cơ quan quản lý cần ban hành quy định cấm nhập khẩu và sử dụng thiết bị SMS blaster tương tự như Canada đã làm.