Lổ hổng mã hóa email này được các chuyên gia an ninh mạng châu Âu đặt tên là Efail. Nó sẽ tạo ra một cửa hậu để hacker đọc trộm thông tin trong thư điện tử của bất cứ ai.
Về bản chất, lỗ hổng này không bắt nguồn từ các chuẩn mã hóa email thông dụng như Pretty Good Privacy (PGP), mà nó chính là một sơ hở khi phần mềm quản lý email (email client) đọc mã HTML. Để dễ hiểu hơn các bạn có thể hình dung là mỗi email sẽ được mã hóa để giữ bí mật nội dung bên trong. Nhưng khi email này được gửi đến máy tính của bạn, phần mềm quản lý email (chẳng hạn như Outlook hay Lotus Note) sẽ đọc các nội dung HTML trong đó có cả ảnh và đường link, rồi “dịch” ra thành một đoạn văn bản đơn giản. Đây chính là quy trình mà hacker có thể khai thác để đọc trộm email của bạn cho dù nó đã được mã hóa.
Ông Sebastian Schinzel, người đã phát hiện ra lỗ hổng Efail cho biết hiện chưa có bản vá nào đủ tin cậy cho lỗ hổng này. Ông Sebatian hiện đang là giáo sư về bảo mật máy tính tại Đại học Khoa học Ứng dụng Munster.
Thực chất, hacker phải thực hiện vài bước thì mới có thể khai thác được lỗ hổng nói trên. Đầu tiên, tin tặc cần truy cập được các email đã mã hóa. Đây là các email mà anh ta muốn đọc trộm. Sau đó, anh ta phải gửi phần nội dung đang được mã hóa cho chủ sở hữu của email này, với một số xảo thuật để phần mềm quản lý email nghĩ rằng đó là HTML. Hacker phải gửi tới 3 email: email đầu tiên sẽ mở thẻ HTML, email thứ hai chứa thông tin được mã hóa và email thứ ba đóng thẻ HTML. Các phần mềm quản lý email như Apple Mail, iOS Mail và Mozilla Thunderbird sẽ coi nội dung được gửi đến là HTML thay vì nội dung mã hóa, và nó sẽ hiển thị dưới dạng một email hoàn chỉnh thay vì 3 email được gửi từ hacker.
Quy trình hacker xem trộm email
Dave Kennedy, Giám đốc điều hành của hãng bảo mật TrustedSec cho biết: “Hacker sẽ phải trải qua nhiều bước để đọc được nội dung email, vì thế đây không phải là một lỗ hổng quá nguy hiểm”.
Các chuyên gia bảo mật khuyên bạn nên tắt tính năng hiển thị HTML trong phần mềm quản lý email để ngăn không cho các email mã hóa PHP được giải mã. Tổ chức Electronic Frontier Foundation khuyến nghị mọi người ngưng sử dụng các plugin email PGP mà thay vào đó sử dụng các nền tảng không phải email như Signal để mã hóa thông điệp.
