Hãng bảo mật FireEye vừa công bố thông tin về lỗ hổng bảo mật iOS, cho phép hacker truy cập thiết bị của người dùng bằng cách lừa họ tải ứng dụng độc hại qua tin nhắn, email, link web. Ứng dụng độc hại này sau đó thay thế các phần mềm hợp pháp cài đặt qua App Store, bao gồm chương tình email và ngân hàng, bằng phần mềm nhiễm độc có tên “Masque Attack”.

Theo FireEye, các cuộc tấn công như vậy thường được dùng để đánh cắp tài khoản ngân hàng, email cũng như dữ liệu nhạy cảm khác. Chuyên gia bảo mật Tao Wei cho biết đây là lỗ hổng nguy hiểm và dễ bị khai thác.

Bản thân hệ điều hành iOS của Apple có cơ chế bảo mật mạnh, khiến tin tặc gặp khó khăn khi cài đặt mã độc bằng kỹ thuật truyền thống như trên Windows, Android. David Richardson, Giám đốc sản phẩm tại công ty bảo mật di động Lookout, cho biết kỹ thuật “Masque Attact” giúp chúng triển khai hệ thống mà Apple phát triển, cho phép các tổ chức lớn cài đặt phần mềm mà không cần thông qua App Store. Theo ông, người dùng sẽ nhìn thấy thông báo pop-up trên màn hình khi cài đặt ứng dụng trên thiết bị. Những gì họ cần làm để bảo vệ mình chỉ là chọn “Don’t Install”.

FireEye đã thông báo về lỗ hổng cho Apple từ tháng 7/2014 và đến nay, công ty vẫn đang tìm cách vá lỗi. Hãng bảo mật quyết định công khai phát hiện của mình sau khi Palo Alto Networks công bố tìm ra WireLurker, chiến dịch tấn công đầu tiên khai thác lỗ hổng này.