Tình hình bảo mật đối với thiết bị di động trong năm 2021

Công ty bảo mật di động Zimperium đã phát hành báo cáo hàng năm về mối đe dọa đối với thiết bị di động, các phát hiện và xu hướng bảo mật trong năm vừa qua là cơ sở để dự đoán những gì sắp xảy ra vào năm 2022.

Nhìn chung, sự tập trung của các tác nhân đe dọa trên nền tảng di động đã tăng lên so với những năm trước, chủ yếu là do sự gia tăng lực lượng làm việc từ xa.

Các chiến dịch phát tán mã độc, tấn công lừa đảo và những nỗ lực khai thác các lỗ hổng zero-day nhằm vào người dùng di động cũng gia tăng đáng kể.

Zero-day là lỗ hổng được tiết lộ công khai hoặc đã bị khai thác trong khi không có sẵn bản vá lỗ hổng từ nhà cung cấp hoặc nhà phát triển tại thời điểm đó.

Theo thống kê của Zimperium, chỉ khoảng 42% người làm việc trong môi trường BYOD (mang theo thiết bị của mình) cài đặt các bản vá trong vòng hai ngày kể từ khi phát hành, một phần ba mất một tuần và 20% mất hai tuần để vá.

Các mối đe dọa phổ biến

Vào năm 2021, các tác nhân đe dọa tập trung nhiều hơn vào người dùng làm việc từ xa hoặc các thiết bị di động vật lý, dẫn đến sự gia tăng các cuộc scan (rà quét) mạng độc hại và các cuộc tấn công man-in-the-middle (MiTM) để đánh cắp thông tin nhạy cảm. Các thông tin này có thể được dùng trong các cuộc tấn công đáng kể hơn vào mạng doanh nghiệp.

Theo Zimperium, các mối đe dọa di dộng phổ biến trên toàn cầu trong năm 2021 bao gồm: mã độc (23%), MiTM (13%), các trang web độc hại (12%), và scan(12%).

Android – iOS

Hai hệ điều hành đi động phổ biến nhất hiện nay là Android và iOS.

Năm 2021, Android được đánh giá là dễ bị khai thác hơn iOS, nhưng iOS có nhiều lỗ hổng nghiêm trọng hơn.

Theo thống kê lỗ hổng trong năm 2021:

- Android đã phát hiện 574 lỗ hổng, giảm đáng kể so với năm 2020 (859 lỗ hổng), 79% trong số đó có độ phức tạp để tấn công thấp; 135 lỗ hổng (23%) có điểm CVSS trên 7.2 với 18 lỗ hổng được đánh giá ở mức nghiêm trọng.

- iOSđã phát hiện 357 lỗ hổng, 24% trong số đó có độ phức tạp để tấn công thấp; 63 lỗ hổng (17%) có điểm CVSS trên 7,2 với 45 lỗ hổng được đánh giá ở mức nghiêm trọng.

Theo thống kê zero-day năm 2021, các lỗ hổng iOS chiếm 64% trong tổng số 17 cuộc tấn công khai thác zero-day nhắm mục tiêu vào các thiết bị di động.

Ngoài ra, Zimperium cũng phân tích các ứng dụng phổ biến trong lĩnh vực tài chính, chăm sóc sức khỏe, bán lẻ,… trên Google Play Store và Apple App Store và cho biết 80% ứng dụng tài chính dành cho Android sử dụng mã hóa dễ bị tấn công, 82% ứng dụng bán lẻ trên iOS không có tính năng bảo vệ mã code.

Xu hướng 2022

Khi tầm quan trọng của thiết bị di động trong cuộc sống và công việc ngày càng tăng và số lượng người dùng điện thoại thông minh ngày càng nhiều, các tác nhân đe dọa sẽ tiếp tục nỗ lực tấn công vào người dùng di động.

Năm 2022, các lô hàng điện thoại thông minh được dự báo là 1,43 tỷ chiếc. Nhiều thiết bị trong số này sẽ là mắt xích yếu nhất trong chuỗi bảo mật của các tổ chức lớn và trở thành mục tiêu của tin tặc.

Một số phát hiện và khắc phục lỗ hổng bảo mật di động đáng chú ý trong năm 2021:

- Apple đã phát hành iOS 14.4.2 để vá lỗ hổng WebKit zero-day (CVE-2021-1879) đã bị khai thác trong các cuộc tấn công XSS.

- Mã độc Android "GriftHorse" đã lây nhiễm 10 triệu thiết bị tại 70 quốc gia.

- iOS 14.8 đã khắc phục lỗ hổng zero-day bị phần mềm gián điệp Pegasus của NSO khai thác cho các hoạt động gián điệp mạng.

- Mã độc Android "FlyTrap" sử dụng social engineering và overlays để đánh cắp tài khoản Facebook ở 140 quốc gia.

- Google đã phát hành bản cập nhật bảo mật Android vào tháng 5 năm 2021 để khắc phục bốn lỗ hổng zero-day đã bị khai thác trên các thành phần GPU di động phổ biến.

Cách tốt nhất để giữ an toàn cho thiết bị của bạn là giảm số lượng ứng dụng được cài đặt xuống mức tối thiểu. Bạn càng sử dụng nhiều ứng dụng, rủi ro đối với dữ liệu của bạn càng lớn.

Cập nhật hệ điều hành di động của bạn bằng cách áp dụng các bản cập nhật bảo mật có sẵn. Đối với Android, hãy sử dụng công cụ Anti-virus, kích hoạt Play Protect và thường xuyên kiểm tra các quyền của ứng dụng.

Nguồn: bleepingcomputer.com.