Tội phạm mạng trục lợi từ lỗ hổng của Apple Store, thu về hàng chục tỷ đồng

Kẻ gian lợi dụng tính năng người khác nhận hàng giúp của Apple Store Online để đánh cắp tiền.

Tại hội nghị hacker thường niên Black Hat Asia, một nhóm các nhà nghiên cứu bảo mật đã tiết lộ cách thức tội phạm mạng lợi dụng một lỗ hổng chính sách trong hệ thống thanh toán của Apple Store Online và đánh cắp hơn 400.000 USD (khoảng 10,1 tỷ đồng) trong hai năm qua

Theo các nhà nghiên cứu bảo mật, lỗ hổng này cho phép kẻ tấn công sử dụng thẻ tín dụng bị đánh cắp để mua sản phẩm Apple trực tuyến, sau đó chúng lợi dụng chọn tùy chọn “Someone else will pick it up” (cho phép đặt hàng và nhờ người khác đến cửa hàng để lấy hàng) để giao sản phẩm cho người mua mà chúng thu hút được trên các chợ đồ cũ.

Kẻ gian lợi dụng tính năng lấy hàng giúp của Apple Store để trục lợi.

Cụ thể, nhóm này cho biết vào tháng 9/2022, họ đã phát hiện một loạt các cuộc tấn công mạng nhắm vào hơn 50 cửa hàng trực tuyến. Tội phạm mạng đã thao túng các trang thanh toán để đánh cắp thông tin thẻ tín dụng và thông tin cá nhân, và những thông tin này sẽ được tận dụng cho các bước lừa đảo tiếp theo.

Các nhóm tin tặc sẽ bắt đầu kế hoạch bằng việc rao bán các sản phẩm Apple mới với "giá chiết khấu" trên các cửa hàng đồ cũ trực tuyến ở Hàn Quốc. Khi người mua đạt được thỏa thuận với người bán, trong trường hợp này là kẻ tấn công, thông tin thẻ tín dụng mà chúng đã đánh cắp được trước đó sẽ được dùng để mua sản phẩm thực tế từ Apple Store.

Tiếp đến, tin tặc sẽ sử dụng tùy chọn nhận hàng thay (Someone else will pick it up) và người mua từ cửa hàng đồ cũ sẽ được chỉ định là bên thứ ba có thể nhận sản phẩm, vốn được mua bằng thẻ tín dụng đánh cắp mà họ không hay biết.

Ví dụ: một chiếc iPhone 15 mới có giá trị 800 USD có thể được niêm yết với giá 700 USD trên thị trường đồ cũ. Mức giá này sẽ đủ thấp để thu hút sự quan tâm và cũng đủ cao để không bị coi là lừa đảo. Sau khi tìm được người mua, kẻ gian sẽ mua sản phẩm bằng cách sử dụng thẻ tín dụng bị đánh cắp và bỏ túi số tiền 700 USD do người mua thanh toán.

Các nhà nghiên cứu gọi kế hoạch này là "PoisonedApple", được cho là đã giúp kẻ gian thu về hơn 400.000 USD trong hai năm qua. Phạm vi lừa đảo hiện tại của tin tặc là ở Hàn Quốc và Nhật Bản, nhưng không loại trừ khả năng chúng sẽ triển khai hoạt động này đến các quốc gia khác.