Không an toàn khi nhấp vào liên kết trên X

Tôi nghĩ điều tử tế nhất mà bạn có thể nói về X (mạng xã hội trước đây gọi là Twitter) vào năm 2024 là thật ấn tượng khi trang web này thực sự vẫn hoạt động. Chắc chắn, các bot spam chiếm lĩnh các chủ đề phổ biến, ngôn từ kích động thù địch đang gia tăng (nhân tiện, X đang kiện công ty theo dõi nó) và quảng cáo giảm dần, nhưng bất chấp tất cả, twitter.com vẫn tải được.

Nhưng những lý do khiến bạn phải bận tâm đến việc tải trang web vẫn tiếp tục giảm dần và nhanh chóng—không chỉ vì những lý do đã nói ở trên. Bởi vì bây giờ có vẻ như việc nhấp vào các liên kết trên X cũng không còn an toàn nữa.

Bạn không biết liên kết X đó thực sự đi đâu

Theo ghi nhận của nhà nghiên cứu bảo mật Will Dormann, một số bài đăng trên X có mục đích dẫn đến một trang web hợp pháp nhưng thực tế lại chuyển hướng đến một nơi khác. Trong ví dụ của Dormann, một quảng cáo được đăng bởi một người dùng X đã được xác minh tuyên bố dẫn đến forbes.com. Tuy nhiên, khi Dormann nhấp vào liên kết, anh ta sẽ đưa anh ta đến một liên kết khác để mở kênh Telegram, tức là “giúp các cá nhân kiếm được lợi nhuận tối đa trên thị trường tiền điện tử”, anh nói. Nói tóm lại, liên kết “Forbes” dẫn đến thư rác tiền điện tử.

Tweet có thể đã bị xóa

Kẻ xấu có thể thực hiện điều này nhờ vào các lỗ hổng trong cách X xử lý các bản xem trước URL. Như BleepingComputer giải thích, X kiểm tra đích cuối cùng của URL, thay vì chính liên kết ban đầu, trước khi tạo liên kết xem trước trên trang web. Điều đó sẽ không thành vấn đề nếu người dùng thực sự được dẫn đến đích liên kết cuối cùng mỗi lần. Thật không may, chính sách này tạo cơ hội cho những kẻ xấu lừa mọi người nhấp vào các liên kết mà lẽ ra họ sẽ không bao giờ nhấp vào.

Tất cả những gì họ phải làm là thiết lập hai đích URL khác nhau trong bài đăng của mình. Trong trường hợp được nêu ở trên, việc nhấp vào liên kết forbes.com thực sự sẽ đưa bạn đến joinchannelnow.net. Khi ở trên trang này, máy chủ sẽ kiểm tra xem liệu yêu cầu có đến từ một trình duyệt thông thường hay không (đó là bạn). Nếu vậy, nó sẽ đưa bạn đến trang web spam, trong trường hợp này là kênh Telegram lừa đảo tiền điện tử. Tuy nhiên, nếu máy chủ phát hiện yêu cầu đến từ thứ khác—chẳng hạn như bot xác minh liên kết X—nó sẽ cho rằng yêu cầu đó không phải do con người thực hiện; trong những trường hợp này nó trả về một URL hợp pháp. Vì vậy, mặc dù liên kết đầu tiên là joinchannelnow, X vẫn kiểm tra nó và được đưa đến forbes.com, sau đó nó đặt bản xem trước URL đó vào bài đăng. Trải nghiệm của bạn sẽ khác.

Tóm lại đây là bảo mật cơn ác mộng. Điều đó có nghĩa là mọi liên kết bạn nhìn thấy trên X đều có khả năng dẫn đến một trang web đang cố gắng spam bạn và lừa đảo bạn, cài đặt phần mềm độc hại trên máy của bạn hoặc tệ nhất là lợi dụng bạn, tất cả chỉ vì bạn tin tưởng một nền tảng truyền thông xã hội để hiển thị bản xem trước thích hợp cho một liên kết.

Cách giữ an toàn khi nhấp vào liên kết trên X

Cách tốt nhất để giữ an toàn trên X là ngừng sử dụng X. Nghiêm túc mà nói, cần bao nhiêu “ống hút cuối cùng” trước khi tất cả chúng ta nhận ra rằng địa điểm này không còn đáng ghé thăm nữa? Những meme cay đắng không còn biện minh cho rất nhiều sai sót và rủi ro nữa.

Tất nhiên, nhiều người trong chúng ta vẫn sẽ tiếp tục sử dụng nó (không thể nói là tôi không còn ở đó nữa), vì vậy việc thực hiện một số bước có thể thực hiện được sẽ hữu ích. Vì vậy, khi sử dụng X trên máy tính, hãy luôn di con trỏ lên phần xem trước liên kết trước khi nhấp vào nó. Vì bạn đang sử dụng trình duyệt web nên bạn sẽ có thể thấy đích đến của liên kết cuối cùng xuất hiện dưới dạng bản xem trước liên kết bật lên, nhờ đó, bạn sẽ biết liệu liên kết đó có hợp pháp hay không. Nếu bạn nhìn thấy thứ gì đó khác với liên kết mà bài viết tuyên bố, đừng nhấp vào nó.

Rất tiếc, bạn không thể thực hiện việc này trên thiết bị di động, vì vậy, thành thật mà nói, việc mở liên kết trên X trên điện thoại của bạn có lẽ không đáng. Tôi muốn nói rằng bạn chỉ nên mở liên kết từ những tài khoản mà bạn tin cậy, nhưng vì bây giờ bất kỳ ai trả tiền cho X đều có thể nhận được huy hiệu xác minh, rất dễ bị lừa bởi một tài khoản tự nhận là có quyền nhưng thực chất tài khoản đó không có quyền. Hãy nhớ: Tài khoản đăng liên kết Forbes giả mạo cũng đã được xác minh.