Lỗ hổng không cần người dùng mở tin nhắn
SMS of Death là lỗ hổng SMS Android trong cách hệ điều hành xử lý tin nhắn WAP Push, một định dạng hệ thống có thể được dùng để gửi dữ liệu hoặc cấu hình đến điện thoại; tin nhắn được tạo sai có thể khiến máy mất ổn định mà không cần người nhận mở hay chạm vào nó. Lỗi nằm ở khâu phân tích dữ liệu: kiểm tra độ dài không đầy đủ có thể dẫn đến lỗi cấp phát bộ nhớ, làm sập tiến trình quản lý cuộc gọi và sóng di động. Đây là tấn công từ chối dịch vụ, không phải đột nhập: tin nhắn không tự đọc dữ liệu, cài ứng dụng hay chiếm quyền điều khiển điện thoại. Vì vậy, lời khuyên quen thuộc “đừng bấm liên kết lạ” không đủ để bảo vệ trước biến thể này. Tin nhắn độc hại có thể được xử lý tự động ở chế độ nền và thậm chí không xuất hiện trong hộp thư đến.
Đó là lý do người dùng không nên tự trách mình nếu thiết bị gặp sự cố: trong kịch bản được mô tả, chỉ cần máy nhận tin là đã có thể phát sinh lỗi. Tuy nhiên, đến nay chưa có báo cáo công khai xác nhận lỗ hổng được dùng để tấn công người thật. Đây là điểm cần cân nhắc khi đánh giá mức độ đe dọa, nhưng không phải lý do để trì hoãn cập nhật bảo mật Android.
Tác động có thể từ mất sóng đến treo máy
Mức độ ảnh hưởng thay đổi theo số tin nhắn và cách hệ thống, nhà mạng xử lý chúng. Trong thử nghiệm, một tin nhắn có thể làm gián đoạn chức năng gọi khoảng 1–2 giây; việc nhà mạng gửi lại tin chưa được xử lý có thể kéo dài tình trạng chập chờn, có trường hợp lên tới một tuần. Khoảng 20 tin nhắn liên tiếp có thể khiến điện thoại mất ổn định nghiêm trọng hoặc gần như không dùng được.
Hậu quả không chỉ là cuộc gọi thông thường bị ngắt. Một số biến thể có thể làm gián đoạn cả cuộc gọi khẩn cấp. Tin nhắn còn có thể bị xử lý lại sau khi khởi động, khiến thiết bị mắc vòng lặp khởi động; khôi phục cài đặt gốc có nguy cơ xóa dữ liệu và chưa chắc là lựa chọn phù hợp. Đây là một kiểu phá hoại tính sẵn sàng của thiết bị, không phải bằng chứng rằng dữ liệu cá nhân đã bị lấy cắp. Người dùng cần phân biệt hai rủi ro đó, nhưng cũng không nên xem nhẹ việc mất khả năng gọi, nhất là khi cần liên lạc khẩn cấp.
Thiết bị nào đáng lo và bản vá ra sao?
Nhà nghiên cứu ghi nhận lỗi trên Google Pixel và Samsung Galaxy; về lý thuyết, các thiết bị chạy Android 12 trở lên có thể nằm trong phạm vi ảnh hưởng, bất kể thương hiệu. Tuy vậy, nguy cơ thực tế phụ thuộc vào bản vá đã được cài hay chưa. Lỗ hổng được báo cáo cho Google ngày 5/5, mã nguồn ghi nhận bản sửa ngày 15/6 và nội dung khắc phục được đưa vào bản cập nhật bảo mật tháng 10.
Bản sửa đã được cung cấp cho Android 14 đến Android 17, nhưng thời điểm phát hành tùy nhà sản xuất và mẫu máy. Nguồn tin cũng lưu ý bản vá áp dụng cho Android 14 trở lên, còn thiết bị cũ hơn vẫn có thể chưa được bảo vệ. Vì vậy, chỉ nhìn số phiên bản Android hoặc thương hiệu không đủ để kết luận máy an toàn. Hãy kiểm tra ngày cập nhật bảo mật cụ thể trên chính thiết bị; máy chưa nhận bản vá không nên được xem là đã khắc phục.
Việc nên làm ngay khi có tin nhắn đáng ngờ
- Mở Cài đặt, vào mục Giới thiệu về điện thoại hoặc Bảo mật, rồi kiểm tra ngày cập nhật bảo mật Android.
- Nếu máy có bản cập nhật bảo mật tháng 10 hoặc bản vá mới hơn, hãy cài đặt ngay; lịch phát hành có thể khác nhau giữa nhà sản xuất và từng mẫu máy.
- Nếu nhận tin nhắn bất thường, không mở liên kết hay tệp đính kèm và không chuyển tiếp tin nhắn. Tuy nhiên, cần nhớ rằng biến thể WAP Push được mô tả có thể kích hoạt lỗi mà không cần thao tác của người dùng.
- Nếu máy mất sóng, cuộc gọi bị ngắt hoặc liên tục khởi động lại, hãy dùng một điện thoại khác để liên hệ nhà mạng hoặc bộ phận hỗ trợ của nhà sản xuất. Tránh khôi phục cài đặt gốc khi chưa được hướng dẫn, vì thao tác này có thể xóa dữ liệu.
Người dùng Android 13 hoặc cũ hơn hiện chưa có cách tự xử lý được nêu trong nguồn. Nếu thiết bị đã ngừng nhận cập nhật, hãy cân nhắc không phụ thuộc vào nó cho liên lạc khẩn cấp và hỏi nhà mạng hoặc nhà sản xuất về phương án hỗ trợ. Biện pháp thiết thực nhất vẫn là xác nhận trạng thái bản vá thay vì chỉ xóa một tin nhắn đáng ngờ khỏi hộp thư.
Kết luận: cập nhật quan trọng hơn cảnh giác với liên kết
SMS of Death đáng chú ý vì có thể tác động trực tiếp đến khả năng gọi điện mà không cần nạn nhân bấm gì; trong tình huống xấu, liên lạc khẩn cấp cũng có thể bị ảnh hưởng. Dù chưa có báo cáo công khai về việc khai thác ngoài thực tế, phạm vi tiềm năng rộng và hậu quả leo thang khi tin nhắn được gửi lặp lại khiến việc kiểm tra bản vá không nên bị trì hoãn. Hãy cập nhật Android ngay khi có bản sửa cho thiết bị của mình, đồng thời chuẩn bị cách liên lạc thay thế nếu máy có dấu hiệu mất dịch vụ. Cảnh giác vẫn cần thiết, nhưng với lỗ hổng này, cập nhật bảo mật mới là hàng rào thiết thực nhất.
