Khóa khôi phục (Recovery Key) được Apple đưa ra để tăng bảo mật iPhone, nhưng lại bị kẻ gian lợi dụng để khóa vĩnh viễn tài khoản Apple ID.
Tháng 10 năm ngoái, Greg Frasca, 46 tuổi, sống tại Florida (Mỹ), bị mất iPhone 14 Pro trong quán bar. Ông cho rằng kẻ gian đã nhìn trộm khi mình nhập mật khẩu (passcode) khi ở trong quán.
Với mật khẩu này, tài khoản Apple ID của Frasca cũng đã bị thay đổi thông tin sau đó. Theo WSJ, thiết kế phần mềm của iPhone tồn tại một lỗ hổng là quá tập trung vào passcode - chuỗi số ngắn để mở khóa thiết bị. Để đổi mật khẩu tài khoản Apple ID trên iPhone, người dùng phải nhập passcode. Sau đó, họ chỉ cần nhập mật khẩu mới vì hệ thống không yêu cầu điền mật khẩu cũ của Apple ID.
Nhưng nghiêm trọng hơn, kẻ gian còn kích hoạt tính năng bảo mật có tên Khóa khôi phục. Khi bật chức năng này, về cơ bản iPhone sẽ không thể "xuyên thủng", kể cả chủ nhân của nó. Người duy nhất có thể mở điện thoại là người đã đặt mật khẩu cho khóa này.
Kẻ gian lợi dụng Recovery Key để khóa iPhone sau khi đánh cắp. Ảnh: WSJ
Apple giới thiệu Khóa khôi phục năm 2020 nhằm bảo vệ người dùng khỏi tin tặc. Chủ nhân iPhone sẽ tạo một mật khẩu chứa 28 ký tự. Nếu muốn đặt lại mật khẩu Apple ID, người dùng buộc phải cung cấp mã này.
Tuy nhiên, kẻ trộm iPhone nếu biết mật khẩu thiết bị có thể thông qua Apple ID để kích hoạt Khóa khôi phục nếu trước đó tính năng này chưa được bật. Lúc này, chủ nhân iPhone về cơ bản bị loại bỏ khỏi thiết bị của chính mình. "Chính sách của Apple khiến người dùng hầu như không có cách nào để quay lại tài khoản của họ nếu không có khóa khôi phục đó", trang này nhận định.
Khi bất ngờ không truy cập Apple ID, Frasca trở nên lo lắng vì mất iPhone, bởi thiết bị lưu trữ hình ảnh và video ghi lại trong 8 năm về cô con gái nhỏ của ông. Ông bay đến trụ sở của Apple ở California để đích thân chứng minh danh tính, thậm chí yêu cầu quét võng mạc hoặc xét nghiệm ADN nhưng bị từ chối. Ông cho biết sẽ chấp nhận 10.000 USD để lấy lại được quyền truy cập tài khoản nếu kẻ gian yêu cầu, nhưng không được hồi đáp.
Greg Frasca. Ảnh: WSJ
Thời gian qua, nhiều kẻ gian thường lảng vảng tại các nhà hàng, quán cà phê... vào buổi tối để theo dõi chủ sở hữu iPhone nhập mật khẩu của họ. Với chuỗi 4 hoặc 6 ký tự, chúng có thể thay đổi mật khẩu tài khoản Apple, sau đó đánh cắp tiền bằng cách sử dụng Apple Pay và các ứng dụng tài chính cài bên trong.
Hồi tháng 2, một cô gái cũng đã bị mất tiền vì để lộ mã khóa iPhone nơi đông người. Theo WSJ, hàng chục nạn nhân 9 thành phố ở Mỹ, chủ yếu là New York, New Orleans, Chicago và Boston cũng gặp tình huống tương tự. Nhiều người không thể lấy lại ảnh, danh bạ, ghi chú, tin nhắn và nhiều dữ liệu khác vì chính sách bảo mật của Apple, hoặc không truy cập được Apple ID vì Khóa khôi phục.
Tuy nhiên, không phải ai cũng mất iPhone vì bị kích hoạt Khóa khôi phục. Tháng 8 năm ngoái, chiếc iPhone 13 Pro của Terry Allen, 35 tuổi, bị đánh cắp ở New York. Bên trong tài khoản chứa nhiều tài liệu quý giá với ông.
Allen sau đó mất nhiều tháng liên hệ tới bộ phận hỗ trợ khách hàng của Apple về việc kẻ gian đã kích hoạt tính năng Khóa khôi phục và được hỗ trợ. Ông đã thực hiện nhiều bước, trong đó trả lời các câu hỏi xác minh bổ sung. Cuối cùng, Apple vô hiệu hóa chuỗi 28 chữ số và cho phép Allen đặt lại mật khẩu, lấy lại quyền truy cập vào tài khoản. Dù vậy, tài khoản của Allen được cho là đã sử dụng một số dịch vụ kinh doanh của Apple, do đó dễ dàng được hỗ trợ hơn.
Terry Allen. Ảnh: WSJ
Theo đại diện Apple, công ty "luôn nghiên cứu biện pháp bổ sung để chống lại các mối đe dọa mới nổi". Dù vậy, người này không bình luận về tính năng Khóa khôi phục đang "làm khó" người dùng.
"Chúng tôi cảm thông với người đã phải trải qua cảm giác trải nghiệm không tốt này", đại diện Apple ra phản hồi. "Chúng tôi nghiêm túc trước việc ngăn chặn các cuộc tấn công nhằm vào người dùng của mình, bất kể hiếm đến mức nào".
Trên website hỗ trợ, Apple cũng cảnh báo người dùng "chịu trách nhiệm duy trì quyền truy cập vào các thiết bị đáng tin cậy và Khóa khôi phục. Nếu mất cả hai, người dùng có thể bị khóa vĩnh viễn khỏi tài khoản của mình".
Người dùng cần làm gì?
Jeff Pollard, Phó chủ tịch Forrester Research, cho rằng Apple nên cung cấp nhiều tùy chọn hỗ trợ khách hàng bị mất tài khoản hơn, cũng như các cách để họ xác thực giúp lấy lại tài khoản nhanh chóng. Dù vậy, trước khi chờ đợi Apple làm điều đó, người dùng nên đề phòng việc bị mất iPhone và tài khoản.
Theo CNN, người dùng nên dùng Face ID hoặc Touch ID khi mở khóa iPhone nơi công cộng để tránh bị kẻ gian dòm ngó mật khẩu. Nếu buộc phải dùng mật khẩu nên dài và chứa cả chữ và số. Nếu nghi ngờ ai đó nhìn trộm, hãy lập tức đổi mật khẩu ngay lúc đó.
Trong iPhone, có một tính năng nằm trong mục cài đặt Thời gian sử dụng của iPhone. Đây là tính năng kiểm soát trẻ em bằng cách yêu cầu thiết lập mật khẩu phụ cho từng ứng dụng. Người dùng có thể áp dụng phòng trường hợp kẻ gian đăng nhập máy. Chúng sẽ không đổi được mật khẩu Apple ID nếu không có mật khẩu phụ này.
Cuối cùng, người dùng nên sao lưu dữ liệu thường xuyên trên các nền tảng đám mây, không chỉ trên iCloud mà có thể là các dịch vụ khác như Google Photos, Microsoft OneDrive, Amazon Photos hoặc Dropbox. Khi đó, dữ liệu quan trọng vẫn có thể truy cập được, dù thiết bị có thể bị mất.
Tháng 10 năm ngoái, Greg Frasca, 46 tuổi, sống tại Florida (Mỹ), bị mất iPhone 14 Pro trong quán bar. Ông cho rằng kẻ gian đã nhìn trộm khi mình nhập mật khẩu (passcode) khi ở trong quán.
Với mật khẩu này, tài khoản Apple ID của Frasca cũng đã bị thay đổi thông tin sau đó. Theo WSJ, thiết kế phần mềm của iPhone tồn tại một lỗ hổng là quá tập trung vào passcode - chuỗi số ngắn để mở khóa thiết bị. Để đổi mật khẩu tài khoản Apple ID trên iPhone, người dùng phải nhập passcode. Sau đó, họ chỉ cần nhập mật khẩu mới vì hệ thống không yêu cầu điền mật khẩu cũ của Apple ID.
Nhưng nghiêm trọng hơn, kẻ gian còn kích hoạt tính năng bảo mật có tên Khóa khôi phục. Khi bật chức năng này, về cơ bản iPhone sẽ không thể "xuyên thủng", kể cả chủ nhân của nó. Người duy nhất có thể mở điện thoại là người đã đặt mật khẩu cho khóa này.
Kẻ gian lợi dụng Recovery Key để khóa iPhone sau khi đánh cắp. Ảnh: WSJ
Apple giới thiệu Khóa khôi phục năm 2020 nhằm bảo vệ người dùng khỏi tin tặc. Chủ nhân iPhone sẽ tạo một mật khẩu chứa 28 ký tự. Nếu muốn đặt lại mật khẩu Apple ID, người dùng buộc phải cung cấp mã này.
Tuy nhiên, kẻ trộm iPhone nếu biết mật khẩu thiết bị có thể thông qua Apple ID để kích hoạt Khóa khôi phục nếu trước đó tính năng này chưa được bật. Lúc này, chủ nhân iPhone về cơ bản bị loại bỏ khỏi thiết bị của chính mình. "Chính sách của Apple khiến người dùng hầu như không có cách nào để quay lại tài khoản của họ nếu không có khóa khôi phục đó", trang này nhận định.
Khi bất ngờ không truy cập Apple ID, Frasca trở nên lo lắng vì mất iPhone, bởi thiết bị lưu trữ hình ảnh và video ghi lại trong 8 năm về cô con gái nhỏ của ông. Ông bay đến trụ sở của Apple ở California để đích thân chứng minh danh tính, thậm chí yêu cầu quét võng mạc hoặc xét nghiệm ADN nhưng bị từ chối. Ông cho biết sẽ chấp nhận 10.000 USD để lấy lại được quyền truy cập tài khoản nếu kẻ gian yêu cầu, nhưng không được hồi đáp.
Greg Frasca. Ảnh: WSJ
Thời gian qua, nhiều kẻ gian thường lảng vảng tại các nhà hàng, quán cà phê... vào buổi tối để theo dõi chủ sở hữu iPhone nhập mật khẩu của họ. Với chuỗi 4 hoặc 6 ký tự, chúng có thể thay đổi mật khẩu tài khoản Apple, sau đó đánh cắp tiền bằng cách sử dụng Apple Pay và các ứng dụng tài chính cài bên trong.
Hồi tháng 2, một cô gái cũng đã bị mất tiền vì để lộ mã khóa iPhone nơi đông người. Theo WSJ, hàng chục nạn nhân 9 thành phố ở Mỹ, chủ yếu là New York, New Orleans, Chicago và Boston cũng gặp tình huống tương tự. Nhiều người không thể lấy lại ảnh, danh bạ, ghi chú, tin nhắn và nhiều dữ liệu khác vì chính sách bảo mật của Apple, hoặc không truy cập được Apple ID vì Khóa khôi phục.
Tuy nhiên, không phải ai cũng mất iPhone vì bị kích hoạt Khóa khôi phục. Tháng 8 năm ngoái, chiếc iPhone 13 Pro của Terry Allen, 35 tuổi, bị đánh cắp ở New York. Bên trong tài khoản chứa nhiều tài liệu quý giá với ông.
Allen sau đó mất nhiều tháng liên hệ tới bộ phận hỗ trợ khách hàng của Apple về việc kẻ gian đã kích hoạt tính năng Khóa khôi phục và được hỗ trợ. Ông đã thực hiện nhiều bước, trong đó trả lời các câu hỏi xác minh bổ sung. Cuối cùng, Apple vô hiệu hóa chuỗi 28 chữ số và cho phép Allen đặt lại mật khẩu, lấy lại quyền truy cập vào tài khoản. Dù vậy, tài khoản của Allen được cho là đã sử dụng một số dịch vụ kinh doanh của Apple, do đó dễ dàng được hỗ trợ hơn.
Terry Allen. Ảnh: WSJ
Theo đại diện Apple, công ty "luôn nghiên cứu biện pháp bổ sung để chống lại các mối đe dọa mới nổi". Dù vậy, người này không bình luận về tính năng Khóa khôi phục đang "làm khó" người dùng.
"Chúng tôi cảm thông với người đã phải trải qua cảm giác trải nghiệm không tốt này", đại diện Apple ra phản hồi. "Chúng tôi nghiêm túc trước việc ngăn chặn các cuộc tấn công nhằm vào người dùng của mình, bất kể hiếm đến mức nào".
Trên website hỗ trợ, Apple cũng cảnh báo người dùng "chịu trách nhiệm duy trì quyền truy cập vào các thiết bị đáng tin cậy và Khóa khôi phục. Nếu mất cả hai, người dùng có thể bị khóa vĩnh viễn khỏi tài khoản của mình".
Người dùng cần làm gì?
Jeff Pollard, Phó chủ tịch Forrester Research, cho rằng Apple nên cung cấp nhiều tùy chọn hỗ trợ khách hàng bị mất tài khoản hơn, cũng như các cách để họ xác thực giúp lấy lại tài khoản nhanh chóng. Dù vậy, trước khi chờ đợi Apple làm điều đó, người dùng nên đề phòng việc bị mất iPhone và tài khoản.
Theo CNN, người dùng nên dùng Face ID hoặc Touch ID khi mở khóa iPhone nơi công cộng để tránh bị kẻ gian dòm ngó mật khẩu. Nếu buộc phải dùng mật khẩu nên dài và chứa cả chữ và số. Nếu nghi ngờ ai đó nhìn trộm, hãy lập tức đổi mật khẩu ngay lúc đó.
Trong iPhone, có một tính năng nằm trong mục cài đặt Thời gian sử dụng của iPhone. Đây là tính năng kiểm soát trẻ em bằng cách yêu cầu thiết lập mật khẩu phụ cho từng ứng dụng. Người dùng có thể áp dụng phòng trường hợp kẻ gian đăng nhập máy. Chúng sẽ không đổi được mật khẩu Apple ID nếu không có mật khẩu phụ này.
Cuối cùng, người dùng nên sao lưu dữ liệu thường xuyên trên các nền tảng đám mây, không chỉ trên iCloud mà có thể là các dịch vụ khác như Google Photos, Microsoft OneDrive, Amazon Photos hoặc Dropbox. Khi đó, dữ liệu quan trọng vẫn có thể truy cập được, dù thiết bị có thể bị mất.