Curtis cho biết nhóm kiểm định chỉ dừng cuộc tấn công ở đó. Nếu có ý đồ
xấu thực sự, trò vui có lẽ còn tiếp diễn trong một thời gian dài, có thể là rốt
cuộc kẻ xấu sẽ giành được quyền truy cập vào các tài khoản của cô trên
mạng xã hội, mạng lưới văn phòng của cô tại Telegraph, thậm chí cả các tài
khoản ngân hàng. Và khả năng cao là một cuộc tấn công như vậy sẽ diễn ra
khi Curtis không hề hay biết; hầu hết các cuộc tấn công không ngay lập tức
kích hoạt Windows Defender hoặc phần mềm chống virus. Một số kẻ tấn
công còn xâm nhập và hoạt động lén lút trong nhiều tháng hoặc nhiều năm
trước khi bị người dùng phát hiện. Và vấn đề không chỉ giới hạn ở máy tính
xách tay: một cuộc tấn công bằng email cũng có thể bắt nguồn từ iPhone
hoặc một thiết bị di động Android bị bẻ khóa.
Mặc dù Google và các nhà cung cấp dịch vụ email khác có thực hiện quét
email để ngăn chặn việc lan truyền phần mềm độc hại và các nội dung khiêu
dâm – đồng thời cũng là để thu thập dữ liệu quảng cáo – nhưng không nhất
thiết là họ quét email để phát hiện các hoạt động lừa đảo. Như tôi đã nói,
tiêu chuẩn riêng tư ở mỗi người mỗi khác, thì ở đây cũng vậy, rất khó định
lượng sự lừa đảo. Và chúng ta không phải lúc nào cũng nhận ra nó, ngay cả
khi nó đang ở trước mặt chúng ta.
Trong nội dung email mời kết bạn LinkedIn giả mạo mà Curtis nhận được
chứa một hình ảnh cỡ 1x1 pixel, một chấm hình ảnh tí hon mà mắt thường
không nhìn ra, thứ mà tôi đã nói là có thể tìm thấy trên các website và được
dùng để theo dõi bạn trên mạng. Khi dấu chấm nhỏ đó gọi ra ngoài, nó sẽ
báo cho máy chủ theo dõi ở xa, có thể là bất kỳ nơi nào trên thế giới, thời
gian bạn mở email, thời gian email hiển thị trên màn hình, và thiết bị dùng
để mở email. Nó cũng có thể cho biết bạn đã lưu, chuyển tiếp, hay xóa
email. Ngoài ra, nếu kịch bản mà nhóm kiểm định trên sử dụng là thực, thì
kẻ tấn công có thể còn gửi kèm một liên kết dẫn đến trang LinkedIn giả
mạo, giống hệt trang thực, ngoại trừ một điểm là nó được lưu trữ trên một
máy chủ khác, có lẽ ở một quốc gia khác.
Đối với nhà quảng cáo, con bọ web này có thể dùng để thu thập thông tin về
người nhận. Đối với kẻ tấn công, có thể dùng nó để lấy các chi tiết kỹ thuật
