“Lỗ hổng bảo mật” ứng dụng Zalo và hậu quả khó lường

Từ gọi thoại, video call cho đến nhắn tin, gửi văn bản, hình ảnh, video clip.... người sử dụng ứng dụng OTT chat trên Zalo của Công ty Cổ phần VNG đều được miễn phí miễn sao có kết nối internet.

Mỗi ngày, Zalo chat - với biệt danh "Nhắn gửi yêu thương" càng trở nên quen thuộc với đông đảo người dùng trong nước. Khi đăng ký sử dụng Zalo, người dùng cần có điện thoại thông minh (Smartphone) và số điện thoại đang sử dụng thực để nhận mã kích hoạt sử dụng Zalo, sau đó người dùng được tạo mật khẩu đăng nhập tuỳ ý để dễ nhớ hoặc bảo mật cho tài khoản.

Từ gọi thoại, video call cho đến nhắn tin, gửi văn bản, hình ảnh, video clip.... người sử dụng ứng dụng OTT chat như Zalo của Công ty Cổ phần VNG đều được miễn phí.

Trong thời gian đầu, khi sử dụng phần mềm Zalo, người dùng có thể khôi phục mật khẩu khi quên bằng hình thức nhận mã kích hoạt mới do hệ thống Zalo gửi về số điện thoại đăng ký. Vào thời gian sau, công ty phát triển ứng dụng Zalo thực hiện chính sách giới hạn nhận mã kích hoạt để khôi phục mật khẩu cho tài khoản Zalo, khi quá giới hạn nhận mã thì ngay lập tức tài khoản Zalo bị khoá trong thời gian 24 giờ.
Việc giới hạn này có thể xem là 1 trong các động thái bảo vệ người dùng, bảo vệ tài khoản Zalo, tuy nhiên đây cũng là một trong "lỗ hỏng" bảo mật gây phiền phức và ảnh hướng rất lớn cho người dùng nếu công ty chủ quản của ứng dụng Zalo không có phương án hiệu quả hơn.

Nói về "lỗ hỏng" này, chúng tôi xin nêu như sau:

Người sử dụng ứng dụng Zalo đăng ký bằng chính số điện thoại đang sử dụng. Khi quên mật khẩu thì khôi phục bằng cách nhận mã khôi phục qua chính số điện thoại đăng ký.

Câu hỏi đặt ra là: Chỉ với chính sách giới hạn nhận mã kích hoạt để khôi phục mật khẩu Zalo như hiện nay, thì khi bị "chơi khăm" nếu không nói là bị "hack" thì người dùng sẽ bị khoá tài khoản trong 24 tiếng. Hiển nhiên, khi bị như vậy người dùng Zalo không thể làm được gì khác ngoài chờ đợi, kể cả có liên hệ tổng đài hỗ trợ Zalo cũng "vô phương cứu chữa". Như vậy, có thể xem đây là một lỗ hỏng bảo mật không nhỏ của ứng dung Zalo hay không?.

Thực tế đã có nhiều người dùng ứng dụng Zalo để làm phương tiện liên lạc trong cuộc sống và công việc đã phải "ngậm đắng nuốt cay" khi tài khoản Zalo bị khoá.

Cụ thể, trường hợp của chị Nguyễn Thị Thu L. ngụ tỉnh Kon Tum từng phản ánh về việc tài khoản Zalo bị khoá, do có ai đó cố tình phá hoại bằng cách đăng nhập vào Zalo bằng chính số điện thoại của chị và sau đó yêu cầu mã khôi phục mật khẩu sử dụng tài khoản.

Chị thông tin như sau: "Chị là người không am hiểu về công nghệ, chỉ biết sử dụng, lúc chị phát hiện tài khoản bị khoá chị cũng rất thắc mắc nhưng không hiểu vì sao, sau khi được con chị giải thích là do mẹ yêu cầu khôi phục mật khẩu quá nhiều lần nên Zalo mới khoá. Lúc đó chị mới tá hoả là hoàn toàn chị không yêu cầu khôi phục mật khẩu. Một thời gian sau chị mới biết là do bạn mình chơi khăm".

Trường hợp khác xảy ra tại TPHCM, anh Đặng Ngọc Th. ngụ quận Thủ Đức cũng bị tương tự. Theo phản ánh, "Vào ngày 8/11/2018, vì phải đổi điện thoại nên anh phải đăng nhập lại tài khoản Zalo vào điện thoại mới, nhưng vì không nhớ mật khẩu nên buộc phải khôi phục lại mật khẩu theo hướng dẫn trên ứng dụng. Khi yêu cầu nhận mã khôi phục gửi về số điện thoại đăng ký thì bị báo là "Đường truyền không ổn đinh. Vui lòng thử lại", tuy nhiên khi thực hiện thao tác được vài lần khi tài khoản Zalo của anh bị khoá".

Sau khi yêu cầu khôi phục mật khẩu thì trên ứng dụng Zalo thông báo "Đường truyền không ổn đinh. Vui lòng thử lại". Nếu thực hiện nhiều lần thì tài khoản Zalo ngay lập tức bị khoá 24 giờ.

Anh T. cho biết thêm, “Sau tài khoản Zalo bị khoá anh liền liên hệ lên số tổng đài hỗ trợ Zalo 1900 561 558 (cước phí 2000đ/phút) để nhờ giúp đỡ, nhưng tổng đài viên tiếp nhận lại thông báo là phải đợi 24 giờ sau thì hãy thực hiện yêu cầu khôi phục mật khẩu theo như cách mà anh đã làm trước đó và không còn cách nào khác”. Do đó, anh T. buộc phải đợi hơn 24 giờ sau để thực hiện thao tác khôi phục. Ngoài ra, tổng đài viên còn nhắc là 24 giờ sẽ được tính từ thời điểm cuối cùng người dùng yêu cầu khôi phục tài khoản trở đi.

Anh T. cho biết thêm, “Sau tài khoản Zalo bị khoá anh liền liên hệ tổng đài hỗ trợ Zalo 1900 561 558 (cước phí 2000đ/phút) để nhờ giúp đỡ, nhưng tổng đài viên tiếp nhận lại thông báo là phải đợi 24 giờ sau thì hãy thực hiện yêu cầu khôi phục mật khẩu theo như cách mà anh đã làm trước đó và không còn cách nào khác”. Do đó, anh T. buộc phải đợi hơn 24 giờ sau để thực hiện thao tác khôi phục. Ngoài ra, tổng đài viên còn nhắc là 24 giờ sẽ được tính từ thời điểm cuối cùng người dùng yêu cầu khôi phục tài khoản trở đi.

Về sự cố này, anh T. bức xúc "Công việc của anh sử dụng ứng dụng Zalo gần như 90%, nên khi xảy ra sự cố này đã gây ảnh hưởng rất lớn đến hiệu quả công việc và anh T. cho rằng đây là một lỗ hỏng bảo mật không nhỏ của ứng dụng. Vì bất kỳ ai biết số điện thoại đăng ký Zalo hoặc tìm một số ngẫu nhiên có đăng ký Zalo và liên tục yêu cầu khôi phục mật khẩu thì đều có thể bị khoá 24 giờ. Thiết nghĩ VNG cần có phương án tốt hơn để đảm bảo hiểu quả cho người dùng."

Theo tìm hiểu, ngoài lỗi đường truyền không ổn đinh 112, còn có lỗi tương tự nhưng với mã 502, 2027,...Nếu đây là một lỗ hỏng đáng quan tâm đối với ứng dụng Zalo - Nhắn gửi yêu thương thì các tiện ích khác của Zalo như Zalo Ads hay Zalo Page có bị tương tự hay không?.

Từ những phản ánh trên, Báo Kiến Thức xin gửi đến công ty chủ quản củ ứng dụng Zalo, là Công ty Cổ phần VNG để mong rằng quý công ty có thể phát triển tốt hơn ứng dụng này nhằm mang lại hiệu quả và không phụ lòng tin tưởng của người dùng.