Dumpster Diving (Lật rác) trong An ninh thông tin
Dumpster Diving là kỹ thuật thu thập thông tin tình báo (OSINT - Open Source Intelligence) bằng cách tìm kiếm, thu thập tài liệu, thiết bị, phương tiện lưu trữ bị vứt bỏ để lấy thông tin nhạy cảm phục vụ tấn công hoặc xâm nhập mạng.
Mục tiêu thường tìm kiếm
- Tài liệu giấy: Mật khẩu viết tay, Sticky note, Bản in cấu hình mạng, Sơ đồ topology, Danh sách tài khoản, Hợp đồng, Hóa đơn, CV, Bản nháp email.
- Phương tiện lưu trữ: Hard drive, SSD, USB, SD Card, Tape backup, Laptop/PC cũ, Điện thoại, Tablet, Server decommissioned.
- Phần cứng mạng: Router, Switch, Firewall, Load Balancer, Access Point, Console cable (chứa config).
- Thẻ/Badge: Employee badge, HID Prox card, Smart card, RFID tag (có thể clone).
- Ký hiệu vật lý: Mật khẩu viết trên bàn phím, màn hình, dưới bàn, trong tài liệu hướng dẫn.
Rủi ro & Hậu quả
| Thông tin thu được | Tấn công tiếp theo có thể |
|---|---|
| Mật khẩu/Username | Credential Stuffing, Password Spraying, VPN/Email/AD Login |
| Cấu hình mạng (IP, VLAN, Subnet) | Network Recon, Lateral Movement Planning |
| Kiến trúc hệ thống, sơ đồ | Target Selection, Attack Path Mapping | Chứng chỉ SSL/Private Key | MITM, Impersonation, Decrypt Traffic |
| Backup database (SQL dump) | Data Breach, PII Theft, Ransomware Targeting |
| Hard drive chưa xóa sạch | Full System Compromise, Source Code Leak, Crypto Wallet Theft |
| Badge/Access Card | Physical Intrusion, Tailgating, Cloning |
Kỹ thuật liên quan: Piggybacking / Tailgating
- Tailgating: Kẻ tấn công đi theo người hợp pháp vào khu vực hạn chế (giữ cửa, mượn badge).
- Piggybacking: Kẻ tấn công giả vờ là nhân viên/khách, nhờ người mở cửa ("Quên badge", "Giao hàng", "Bảo trì").
- Cả hai đều là Social Engineering vật lý, thường kết hợp với Dumpster Diving (tìm badge, uniform, tài liệu nội bộ để giả mạo).
Biện pháp phòng chống (Countermeasures)
Vật lý & Quy trình
- Phá hủy tài liệu giấy: Máy xay chéo (Cross-cut shredder) tiêu chuẩn DIN 66399 P-4/P-5 (kích thước mảnh ≤ 160mm² / 30mm²). Không dùng máy xay dọc (Strip-cut).
- Xóa dữ liệu thiết bị (Media Sanitization): Theo NIST SP 800-88 Rev. 1:
- Clear: Ghi đè logic (Overwrite) - HDD/SSD.
- Purge: Block Erase (SSD), Cryptographic Erase (SED/Opal), Degauss (HDD).
- Destroy: Nghiền vật lý (Shredder), Đốt (Incinerate), Đục (Drill), Hóa chất. Bắt buộc cho Top Secret/Classified.
- Quy trình thanh lý (Asset Disposal Policy): Ký tên, chứng từ, nhân chứng, ảnh chụp trước/sau phá hủy. Theo dõi serial number.
- Kho rác an toàn: Thùng rác có khóa, camera, khu vực hạn chế truy cập cho đến khi hủy hủy.
- Badge/Access Control: Thu hồi ngay khi nhân viên nghỉ. Anti-tailgating: Mantrap, Turnstile, Security Guard.
Kỹ thuật & Công nghệ
- SED (Self-Encrypting Drive) / OPAL / BitLocker / FileVault / LUKS: Mã hóa toàn ổ cứng. Khóa mã hóa bị xóa = Dữ liệu không thể đọc (Cryptographic Erase - nhanh, an toàn cho SSD).
- MDM (Mobile Device Management): Remote Wipe thiết bị mất/cắp/thanh lý.
- DLP (Data Loss Prevention): Chặn in, copy USB, upload cloud dữ liệu nhạy cảm.
- Asset Tracking: RFID/Bluetooth tag trên thiết bị giá trị cao.
Nhân sự & Nhận thức
- Đào tạo: "Clean Desk Policy" - Không để tài liệu nhạy cảm trên bàn khi rời chỗ.
- Đào tạo: Nhận biết Social Engineering vật lý (Tailgating, Pretexting).
- Văn hóa: "See something, say something" - Báo cáo người lạ, hành vi đáng ngờ.
Case Study nổi tiếng
- Kevin Mitnick: Dùng Dumpster Diving + Social Engineering để xâm nhập Motorola, Nokia, Sun Microsystems, Fujitsu (nhật ký "Ghost in the Wires").
- Target Breach (2013): Điểm xuất phát từ credentials của nhà cung cấp HVAC (Fazio Mechanical) - có thể qua phishing hoặc tài liệu vứt bỏ.
- Morgan Stanley (2020): Bị phạt $60M do_SERVER decommissioned chứa dữ liệu khách hàng chưa xóa sạch bị bán lại.
Kết luận
Dumpster Diving là vector tấn công rẻ, hiệu quả, thường bị bỏ qua. An ninh vật lý & Quy trình thanh lý tài sản là hàng rào đầu tiên. Không có Firewall nào chặn được kẻ tấn công đã có mật khẩu admin tìm được trong thùng rác.