Hacker có thể "chôm" mã xác thực hai bước trên Android dễ như chơi

00:00 / 0:00

Chuẩn

Tốc độ đọc

Lỗ hổng Android mới có thể "nhìn lén" mã 2FA và tin nhắn của bạn mà không cần xin phép.

Một kỹ thuật tấn công mới đáng báo động vừa được các nhà nghiên cứu bảo mật công bố, có khả năng biến chiếc điện thoại Android của bạn thành một "cửa sổ mở" cho hacker. Với tên gọi "Pixnapping", phương pháp này cho phép kẻ xấu bí mật đánh cắp những thông tin nhạy cảm nhất như mã xác thực hai yếu tố (2FA), tin nhắn riêng tư, email, và thậm chí cả lịch sử vị trí ngay trên màn hình thiết bị của bạn.

Hacker có thể nhìn lén mã xác minh hai bước trên điện thoại Android.

Điều đáng sợ nhất ở kỹ thuật tấn công này là ứng dụng độc hại dùng để thực hiện nó không yêu cầu bất kỳ quyền truy cập đặc biệt nào từ người dùng. Chỉ cần lừa nạn nhân cài đặt một ứng dụng trá hình, hacker có thể bắt đầu "đọc" mọi thứ hiển thị trên màn hình của các ứng dụng khác, phá vỡ một trong những nguyên tắc bảo mật cốt lõi của hệ điều hành Android.

Pixnapping hoạt động như thế nào?

Về cơ bản, Pixnapping hoạt động như một kẻ "chụp ảnh màn hình tàng hình". Thay vì chụp một tấm ảnh hoàn chỉnh, ứng dụng độc hại sẽ chạy các thao tác đồ họa cực nhỏ và nhanh trên màn hình. Bằng cách đo lường thời gian phản hồi của bộ xử lý đồ họa (GPU) đối với từng điểm ảnh (pixel), nó có thể suy ra màu sắc của điểm ảnh đó. Lặp lại quá trình này hàng nghìn lần với tốc độ chóng mặt, kẻ tấn công có thể tái tạo lại những gì đang hiển thị trên màn hình, dù đó là con số trong ứng dụng Google Authenticator hay nội dung một cuộc trò chuyện riêng tư.

Hiệu quả đáng kinh ngạc

Trong các thử nghiệm trên điện thoại Google Pixel, các nhà nghiên cứu đã chứng minh khả năng đánh cắp thành công một mã 2FA gồm 6 chữ số trong vòng chưa đầy 30 giây – vừa đủ trước khi mã này hết hiệu lực. Tỷ lệ thành công khác nhau tùy dòng máy, đạt tới 73% trên Pixel 6. Điều này cho thấy mối đe dọa là hoàn toàn có thật và có thể gây ra thiệt hại nghiêm trọng.

Điện thoại Android dễ bị tin tặc tấn công qua kỹ thuật Pixnapping.

Phản ứng từ Google

Google cho biết họ đã biết về vấn đề này và đã phát hành một bản vá vào tháng 9/2025 (mã lỗi CVE-2025-48561) để giảm thiểu một phần rủi ro. Một bản vá bổ sung dự kiến sẽ được tung ra trong bản cập nhật bảo mật tháng 12 tới. Gã khổng lồ công nghệ cũng khẳng định rằng họ "chưa thấy bằng chứng nào về việc lỗ hổng này bị khai thác trong thực tế".

Dù vậy, sự tồn tại của Pixnapping đã gióng lên một hồi chuông cảnh báo về những giới hạn trong mô hình bảo mật của Android. Người dùng được khuyến cáo chỉ nên cài đặt ứng dụng từ các nguồn đáng tin cậy như Google Play Store và luôn cập nhật hệ điều hành của mình lên phiên bản mới nhất để được bảo vệ tốt nhất.