Cảnh báo chuỗi cung ứng

Typosquatting không còn là lỗi của người dùng: Kỷ nguyên tấn công Supply Chain

Các tên miền giả mạo do AI tạo ra hiện đang được nhúng sâu bên trong các mã nguồn (script) của bên thứ ba đang chạy trên trang web của bạn. Đây là lý do tại sao các hệ thống bảo mật hiện tại không thể phát hiện và giải pháp thực sự nằm ở đâu.

Sự tiến hóa nguy hiểm của Typosquatting

Typosquatting truyền thống dựa vào việc người dùng gõ sai địa chỉ URL. Tuy nhiên, trong năm 2025 và 2026, hình thức này đã tiến hóa thành một phần của tấn công chuỗi cung ứng (Supply Chain Attack). Thay vì chờ đợi người dùng nhầm lẫn, kẻ tấn công nhúng trực tiếp các tên miền giả mạo vào các thư viện mã nguồn mở hoặc script của bên thứ ba mà doanh nghiệp tin dùng.

Bùng nổ nhờ AI: Các mô hình ngôn ngữ lớn (LLM) có thể tạo ra hàng ngàn biến thể tên miền thuyết phục chỉ trong vài phút. Việc triển khai chiến dịch hiện nay mất chưa đầy 10 phút.

Điểm mù bảo mật: Các công cụ như Firewall, WAF hay EDR hoàn toàn không có khả năng giám sát những gì một script đã được phê duyệt thực thi bên trong trình duyệt của người dùng.

Ba vụ tấn công điển hình minh chứng cho lỗ hổng

1. Trust Wallet (12/2025): Một mã độc tự nhân bản đã chiếm đoạt thông tin đăng nhập của nhà phát triển, đẩy phiên bản extension chứa mã độc lên Chrome Web Store chính thức. Kết quả: 8.5 triệu USD bị đánh cắp trong 48 giờ.

2. Thư viện npm chalk/debug (09/2025): 18 thư viện tin cậy với hơn 2 tỷ lượt tải mỗi tuần đã bị tiêm mã độc sau khi một nhà phát triển bị lừa đảo chiếm quyền truy cập.

3. Solana Web3.js (12/2024): Tin tặc can thiệp vào thư viện để đánh chặn khóa bí mật ngay giữa giao dịch và chuyển dữ liệu về tên miền giả mạo vừa đăng ký trước đó vài ngày.

Tại sao các giải pháp hiện tại thất bại?

Nhiều chuyên gia cho rằng Chính sách bảo mật nội dung (CSP) là đủ. Tuy nhiên, CSP chỉ giống như một danh sách khách mời - nó cho phép một script chạy nhưng không theo dõi hành vi của script đó. Một script nằm trong danh sách trắng vẫn có thể đọc dữ liệu thẻ thanh toán và gửi về máy chủ của tin tặc nếu nó bị sửa đổi ngầm.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO CISO

🛡️ Kiểm soát ngay lập tức: Kiểm tra toàn bộ script bên thứ ba đang chạy trên các trang thanh toán và đăng nhập.
🔍 Giám sát hành vi Runtime: Triển khai các công cụ có khả năng quan sát script thực sự làm gì sau khi thực thi trong trình duyệt.
⚠️ Phát hiện thay đổi: Thiết lập cảnh báo khi một script thay đổi hành vi truy cập các trường dữ liệu nhạy cảm hoặc cookies.
✅ Cơ chế SRI: Áp dụng Subresource Integrity (SRI) để đảm bảo các script không bị thay đổi nội dung từ phía nhà cung cấp.

Nguồn tham khảo: The Hacker News & Reflectiz

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Typosquatting: Từ lỗi gõ sai URL đến cuộc tấn công chuỗi cung ứng tinh vi