Lockdown Mode trên iPhone vẫn có thể bị vượt qua bằng PDF độc hại

Lớp bảo vệ mạnh không phải lá chắn tuyệt đối

Lockdown Mode trên iPhone là chế độ bảo mật hạn chế một số tính năng và đường vào hệ thống nhằm giảm nguy cơ từ các cuộc tấn công mạng có chủ đích, đặc biệt với người có nguy cơ cao như nhà báo, luật sư và chính trị gia. Được Apple giới thiệu cùng iOS 16 vào năm 2022, chế độ phong tỏa chặn phần lớn tệp đính kèm trong Tin nhắn, tắt xem trước liên kết, hạn chế một số công nghệ web và cuộc gọi FaceTime từ người chưa từng liên lạc. Đổi lại, trải nghiệm sử dụng bị thu hẹp; đây là một lựa chọn phòng thủ có đánh đổi, không phải lời hứa rằng mọi khai thác đều thất bại. Phát hiện mới của công ty nghiên cứu Calif cho thấy các chuyên gia bảo mật đã vượt qua lớp bảo vệ này bằng mã độc tệp PDF, kể cả trên thiết bị bật chế độ phong tỏa. Vì vậy, người dùng nên xem tính năng này như một lớp giảm thiểu rủi ro, chứ không phải giấy phép mở mọi tệp an tâm.

PDF độc hại cần người dùng mở tệp

Theo mô tả của Calif, lỗ hổng iOS nghiêm trọng cho phép kẻ tấn công xâm nhập thiết bị qua một tệp PDF được gửi đến máy; nhóm nghiên cứu khai thác thành công trên iPhone 18 Pro và iPhone Duo. Trong video thử nghiệm, tệp chứa mã độc được chuyển qua AirDrop đến iPhone 18 Pro đã bật chế độ phong tỏa. Khi người dùng chấp nhận và mở tệp, thiết bị bị xâm nhập, màn hình xuất hiện những hình ảnh động ngoài ý muốn. Kịch bản được công bố cần cả việc gửi tệp đến mục tiêu lẫn thao tác chấp nhận và mở của người dùng; tài liệu hiện có không cho thấy đây là kiểu lây nhiễm tự động chỉ vì tệp đến máy. Dù vậy, PDF phổ biến trong công việc nên rất dễ tạo cảm giác quen thuộc. Mối nguy nằm ở chỗ một định dạng bình thường có thể trở thành phương tiện khai thác khi phần mềm xử lý tệp có lỗ hổng.

Bản cập nhật chưa khép lại câu chuyện

Apple phát hành iOS 27.2 sau khi nhận cảnh báo ban đầu nhằm vá lỗ hổng, nhưng Calif cho biết nhóm vẫn khai thác được trên phiên bản này, kể cả khi Lockdown Mode đang bật. Trong thử nghiệm, mã độc và hình ảnh động vẫn còn sau khi cập nhật hệ điều hành. Đây là lý do không nên đồng nhất việc cài bản mới nhất với việc thiết bị đã sạch hoặc mọi biến thể khai thác đã bị chặn. Calif cho biết đã gửi báo cáo chi tiết để Apple tìm biện pháp khắc phục triệt để; thông tin được cung cấp chưa xác nhận một bản vá sau đó đã giải quyết hoàn toàn vấn đề. Người dùng nên cập nhật iOS khi có bản phát hành mới, nhưng cần kết hợp với thói quen thận trọng khi nhận tệp. Trong bảo mật iPhone, cập nhật phần mềm là thiết yếu, song không thể thay thế việc kiểm soát những gì mình chấp nhận mở.

Cách giảm rủi ro khi nhận PDF

Điều hữu ích nhất lúc này là coi lời mời mở tệp như một quyết định cần kiểm tra, kể cả khi iPhone đang ở chế độ phong tỏa. Từ chối tệp không rõ nguồn gốc và không mở tài liệu bất ngờ là hai bước trực tiếp giúp tránh đúng kịch bản tấn công được mô tả. Nếu PDF có vẻ đến từ người quen nhưng nội dung hoặc thời điểm gửi bất thường, hãy liên hệ người đó qua một kênh khác để xác nhận trước khi mở. Không nên mặc định rằng tên người gửi hay việc tệp đến qua AirDrop chứng minh tài liệu an toàn. Người có nguy cơ cao vẫn nên cân nhắc bật Lockdown Mode, chấp nhận những hạn chế tính năng mà chế độ này tạo ra, đồng thời duy trì thói quen xác minh. Phát hiện của Calif không khiến chế độ phong tỏa trở nên vô ích; nó nhắc rằng lớp phòng thủ tốt nhất vẫn có thể có điểm yếu.

1. Từ chối nhận tệp PDF không rõ nguồn gốc hoặc không mong đợi.
2. Không mở tệp chỉ vì nó được gửi từ một địa chỉ hay liên hệ quen thuộc.
3. Nếu nghi ngờ, xác nhận trực tiếp với người gửi bằng kênh khác.
4. Cài đặt các bản cập nhật iOS mới nhất, nhưng không xem cập nhật là bằng chứng mã độc đã bị loại bỏ.

Kết luận: Lockdown Mode giảm bề mặt tấn công và vẫn đáng dùng cho người cần mức bảo vệ cao hơn, nhưng không bảo đảm an toàn tuyệt đối trước mọi khai thác. Với tình huống PDF này, quyết định nhận và mở tệp là điểm kiểm soát thiết thực nhất của người dùng.