Hàng trăm tiện ích VPN và proxy miễn phí trên Chrome Web Store bị phát hiện thuộc cùng một chiến dịch, trong đó nhiều tiện ích giả mạo các thương hiệu VPN nổi tiếng như NordVPN và Proton VPN. Người dùng cài đặt những extension này có thể vô tình chuyển toàn bộ lưu lượng duyệt web qua máy chủ do bên thứ ba kiểm soát.
Theo TechRadar, nhóm nghiên cứu bảo mật của công ty an ninh mạng Socket đã phát hiện một mạng lưới gồm 737 tiện ích VPN và proxy miễn phí trên Chrome Web Store. Các extension này được phát hành thông qua ít nhất 40 tài khoản nhà phát triển và đã thu hút tổng cộng hơn 75.000 lượt cài đặt.
Đáng chú ý, 274 tiện ích trong số đó được xác định là giả mạo 66 thương hiệu VPN và dịch vụ bảo mật. Một số cái tên bị lợi dụng bao gồm những thương hiệu quen thuộc như NordVPN và Proton VPN, khiến người dùng rất dễ nhầm lẫn nếu chỉ nhìn vào tên hoặc biểu tượng của extension.
VPN giả nhưng lại có thể kiểm soát toàn bộ lưu lượng
Điểm nguy hiểm nhất không nằm ở việc những tiện ích VPN này chỉ giả mạo thương hiệu, mà ở cách chúng hoạt động sau khi người dùng nhấn nút kết nối.
Theo Socket, thay vì thiết lập một đường hầm VPN được mã hóa như dịch vụ VPN thực sự, các tiện ích VPN này chuyển lưu lượng duyệt web của người dùng thông qua máy chủ proxy do bên vận hành kiểm soát. Điều đó có nghĩa người dùng có thể tưởng rằng mình đang sử dụng VPN để bảo vệ quyền riêng tư, trong khi trên thực tế lưu lượng truy cập lại đang đi qua một máy chủ trung gian mà họ không kiểm soát.
Đáng lo hơn, cơ chế proxy này không tự bổ sung lớp mã hóa VPN. Bên vận hành proxy vì thế có khả năng quan sát nhiều thông tin liên quan đến hoạt động trực tuyến của người dùng, bao gồm website được truy cập, địa chỉ IP nguồn, thông tin TLS SNI và dữ liệu truyền qua các kết nối HTTP không được mã hóa.
Trong trường hợp người dùng truy cập một website vẫn sử dụng HTTP và nhập thông tin cá nhân hoặc thông tin đăng nhập, dữ liệu này thậm chí có nguy cơ bị bên trung gian nhìn thấy.
Tuy nhiên, Socket cũng lưu ý rằng nhóm nghiên cứu chưa xác định được những dữ liệu này có thực sự bị thu thập, lưu trữ hoặc sử dụng sai mục đích hay không. Vì vậy, không nên mặc định rằng mọi người dùng từng cài các extension nói trên chắc chắn đã bị đánh cắp dữ liệu.
Đáng chú ý: nhiều extension vẫn còn trên Chrome Web Store
Chiến dịch này càng đáng lo khi không phải tất cả tiện ích VPN liên quan đều đã bị gỡ khỏi Chrome Web Store.
Tại thời điểm Socket thu thập dữ liệu, 221 trong tổng số 737 extension đã bị xóa, nhưng vẫn còn 516 tiện ích VPN tồn tại trên cửa hàng. Điều này cho thấy việc một extension vẫn xuất hiện trên Chrome Web Store không đồng nghĩa với việc nó đã được xác minh hoàn toàn về nguồn gốc hoặc mức độ an toàn.
Đặc biệt, những tiện ích VPN giả mạo thương hiệu nổi tiếng có thể khiến người dùng mất cảnh giác. Một người đang tìm kiếm NordVPN hoặc một dịch vụ VPN quen thuộc có thể nhìn thấy logo, tên sản phẩm tương tự và số lượng lượt cài đặt khá lớn rồi nhanh chóng nhấn nút cài đặt mà không kiểm tra kỹ nhà phát triển.
Theo kết quả điều tra của Socket, mạng lưới extension này có liên quan đến một doanh nghiệp VPN của Nga hoạt động dưới tên Myxa VPN. Các nhà nghiên cứu phát hiện mối liên hệ dựa trên nhiều dấu vết kỹ thuật như tài khoản phân tích dùng chung, tên miền và hạ tầng lưu trữ.
Những tiện ích VPN miễn phí này dường như còn được sử dụng để đưa người dùng đến các gói dịch vụ VPN trả phí.
Vì sao tiện ích VPN miễn phí lại tiềm ẩn nhiều rủi ro?
VPN vốn được sử dụng để tăng cường quyền riêng tư và bảo vệ kết nối Internet, đặc biệt khi người dùng truy cập mạng Wi-Fi công cộng hoặc muốn che giấu địa chỉ IP thực. Nhưng bản chất của VPN cũng khiến người dùng phải đặt một mức độ tin tưởng rất lớn vào nhà cung cấp dịch vụ.
Khi kết nối VPN được thiết lập, lưu lượng Internet của người dùng thường phải đi qua hệ thống máy chủ của nhà cung cấp. Nếu lựa chọn một tiện ích VPN không đáng tin cậy, người dùng có thể vô tình chuyển quyền kiểm soát một phần hoạt động trực tuyến của mình cho chính đơn vị mà họ không biết rõ.
Các extension giả mạo còn nguy hiểm hơn bởi chúng khai thác sự tin tưởng vào thương hiệu. Người dùng không nhất thiết phải tải một phần mềm độc hại rõ ràng mới gặp nguy hiểm. Chỉ cần một extension có quyền can thiệp vào kết nối mạng và định tuyến lưu lượng qua proxy không đáng tin cậy, rủi ro về quyền riêng tư đã xuất hiện.
Đây cũng là lý do những lời quảng cáo như “tiện ích VPN miễn phí”, “bảo mật tuyệt đối” hay “ẩn IP” không nên được xem là bằng chứng cho thấy một extension an toàn.
Người dùng Chrome nên làm gì nếu đã cài tiện ích VPN đáng ngờ?
Nếu từng cài một extension VPN không rõ nguồn gốc hoặc nghi ngờ mình đã sử dụng một trong những tiện ích nằm trong chiến dịch nói trên, bước đầu tiên là gỡ extension khỏi Chrome càng sớm càng tốt.
Sau đó, người dùng nên kiểm tra lại cấu hình proxy của hệ thống để đảm bảo tiện ích VPN đó không để lại thiết lập bất thường. Có thể mở phần Settings của Chrome và tìm kiếm từ khóa “proxy” để kiểm tra các tùy chọn liên quan. Nếu phát hiện proxy lạ hoặc thiết lập không phải do mình chủ động cấu hình, cần đưa hệ thống trở về trạng thái bình thường trước khi tiếp tục sử dụng các dịch vụ trực tuyến quan trọng.
Người dùng cũng nên đặc biệt lưu ý đến các tài khoản đã đăng nhập trong thời gian tiện ích VPN hoạt động. Nếu từng nhập mật khẩu hoặc thông tin xác thực trên những website không sử dụng HTTPS, việc thay đổi mật khẩu là biện pháp thận trọng cần thiết. Với các tài khoản quan trọng, nên bật thêm xác thực hai lớp để giảm nguy cơ bị chiếm quyền truy cập ngay cả khi thông tin đăng nhập bị lộ.
Đừng chỉ nhìn vào tên thương hiệu khi cài extension
Vụ việc 737 tiện ích VPN là một lời nhắc nhở khá rõ ràng rằng Chrome Web Store không phải là lý do để người dùng bỏ qua bước kiểm tra nguồn gốc phần mềm. Trước khi cài một VPN, người dùng nên kiểm tra chính xác tên nhà phát triển, website chính thức của nhà cung cấp và đối chiếu extension với đường dẫn được công bố trên trang chính thức của dịch vụ.
Đặc biệt, nếu một extension sử dụng logo hoặc tên gần giống một thương hiệu lớn nhưng được phát hành bởi một nhà phát triển hoàn toàn khác, đó là dấu hiệu cần đặc biệt cảnh giác. Trong trường hợp này, tiện ích VPN miễn phí chưa chắc là món hời. Một dịch vụ không thu phí nhưng có quyền can thiệp vào lưu lượng Internet có thể khiến người dùng phải đánh đổi bằng chính dữ liệu và quyền riêng tư của mình.
Với hàng trăm extension giả mạo từng được phát hiện, người dùng Chrome nên coi việc kiểm tra nguồn gốc extension là một bước bắt buộc, đặc biệt đối với những tiện ích có quyền truy cập hoặc thay đổi lưu lượng mạng.
