Nhiều việc đang xảy ra mỗi tháng trong thế giới an ninh mạng, quyền riêng tư trực tuyến, và bảo vệ dữ liệu. Khó để theo kịp!
Bản tóm tắt bảo mật hàng tháng của chúng tôi sẽ giúp bạn nắm bắt tin tức quan trọng nhất về bảo mật và quyền riêng tư mỗi tháng. Đây là những gì xảy ra vào tháng Chín.
1. 50 Triệu Tài Khoản Facebook Bị Hack
Tuần cuối tháng Chín ném ra một trong những tin tức lớn nhất: 50 triệu tài khoản người dùng Facebook riêng lẻ bị hack. Facebook đặt lại mật khẩu của 90 triệu tài khoản, chỉ để chắc chắn, cho thấy số lượng tài khoản bị xâm phạm cuối cùng có thể tăng.
Kẻ tấn công khai thác lỗ hổng trong tính năng "Xem với tư cách" (View As) của Facebook, cho phép người dùng xem tài khoản của mình trông như thế nào đối với người khác. Lỗ hổng của Facebook xuất phát từ ba lỗi. Lỗi đầu tiên cho phép công cụ tải video Facebook xuất hiện trên trang View As. Lỗi thứ hai cho phép công cụ tải tạo mã truy cập. Lỗi cuối cùng cho phép trang View As tạo mã truy cập cho bất kỳ người dùng nào hacker muốn.
Vấn đề không chỉ giới hạn ở trang Facebook. Các dịch vụ Facebook khác như Instagram cũng dễ bị tổn thương, cùng với các trang và dịch vụ dùng Facebook Login hiện nay phổ biến. (Đây là cách bạn bảo mật tài khoản khi dùng đăng nhập xã hội.)
Ban đầu, cách duy nhất biết bạn có phải nạn nhân là nếu Facebook đăng xuất bạn khỏi tài khoản mà không cảnh báo. Tuy nhiên, Facebook giờ nói sẽ đăng thông báo ở đầu News Feed nếu tài khoản bạn bị liên quan.
Vụ hack Facebook có ý nghĩa đặc biệt cho độc giả MakeUseOf ở Châu Âu; đây là vi phạm dữ liệu đáng kể đầu tiên từ công ty công nghệ lớn kể từ khi EU ban hành Luật Bảo vệ Dữ liệu Chung (GDPR) vào tháng Năm 2018.
Vì Facebook đăng ký tại Ireland, Ủy ban Bảo vệ Dữ liệu Ireland có thể phạt Facebook số lớn theo GDPR, nhưng cho đến nay Commissioner chưa làm rõ "bản chất của vi phạm và rủi ro cho người dùng."
Nếu bạn là nạn nhân hack Facebook, đây là bốn việc cần làm ngay lập tức.
2. Chính Phủ Five Eyes Tấn Công Mã Hóa
"Chính phủ Hoa Kỳ, Vương quốc Anh, Canada, Úc, và New Zealand cam kết quyền cá nhân và quyền riêng tư, và hỗ trợ vai trò của mã hóa trong bảo vệ những quyền đó."
Bộ trưởng từ các chính phủ Five Eyes — Mỹ, UK, Canada, Úc, và New Zealand — gặp nhau tại Úc cho Hội nghị Bộ trưởng Năm (FCM). Tại Hội nghị Năm Quốc gia này, tuyên bố trên được soạn thảo.
Tuy nhiên, kiểm tra kỹ tuyên bố chung tiết lộ đồng minh Five Eyes đang đe dọa đưa ra luật bắt buộc các ông lớn công nghệ như Apple, Facebook, và Google cung cấp "giải pháp truy cập hợp pháp" cho sản phẩm của họ. Nói cách khác: chính phủ các nước Five Eyes muốn cửa sau mã hóa, và họ muốn ngay bây giờ.
Thật không may, điều đó không thể. Tạo cửa sau cho một người không ngăn nó tồn tại cho người khác. Một khi cửa sau mã hóa mở ra, an ninh của hàng trăm triệu người dùng tuân thủ pháp luật khác sẽ bốc hơi.
Đây không phải vấn đề sẽ biến mất sớm. Hơn nữa, có nhiều lập luận chống phá mã hóa, nhưng rất ít ủng hộ. Đôi khi, công cụ phá mã hóa như GrayKey xuất hiện để cho cơ quan thực thi pháp luật một chút nghỉ ngơi, nhưng chúng ít và xa. Các quốc gia khác đang xem xét cách tiếp cận thay thế. Ví dụ, tài liệu Bộ Nội vụ Đức tham khảo sử dụng Phần mềm Chặn Truyền Thông Từ Xa để nhắm mục tiêu thiết bị iOS, Android, và Blackberry mà không phải dựa vào nhà cung cấp dịch vụ như Apple, Google, Facebook, v.v.
Cảnh sát cài cửa sau trên thiết bị của nghi phạm? Đó là chuyện khác.
3. Vi Phạm British Airways: 300.000 Khách Hàng Bị Ảnh Hưởng
Hãng hàng không quốc gia Anh British Airways (BA) tiết lộ rằng trong giai đoạn từ 22:58 ngày 21tháng 8 năm 2018 đến 21:45 ngày 5tháng 9 năm 2018, chi tiết thanh toán của 300.000 khách hàng bị vi phạm. (Có, những thời điểm cụ thể lạ này đến từ BA.)
Thông tin bị đánh cắp chứa thông tin cá nhân và tài chính của bất kỳ khách hàng nào đặt vé với BA trong giai đoạn đó. Tuy nhiên, nó không bao gồm dữ liệu hộ chiếu hoặc giấy tờ nhận dạng cho những khách hàng đó. Nói trên chương trình Today trên BBC Radio 4 vào thứ Sáu, chủ tịch và CEO BA Alex Cruz nói vụ hack là "một cuộc tấn công tội phạm tinh vi, độc ác" và BA "cực kỳ tiếc nuối vì điều đã xảy ra." Cruz cũng cam kết BA "cam kết 100%" để bồi thường khách hàng bị ảnh hưởng.
BA chưa chính thức tiết lộ hack diễn ra như thế nào. Tuy nhiên, nhà nghiên cứu bảo mật tại RiskIQ tin hacker gieo mã độc trên trang thanh toán BA qua phiên bản sửa đổi của thư viện JavaScript Modernizr. Mã độc tải dữ liệu bị đánh cắp lên máy chủ đặt tại Romania. Điều này lần lượt là một phần của nhà cung cấp VPS tên Time4VPS, đặt tại Lithuania.
"Cơ sở hạ tầng dùng trong cuộc tấn công này được thiết lập chỉ với British Airways trong tâm trí và nhằm mục đích nhắm vào script sẽ hòa nhập với xử lý thanh toán bình thường để tránh phát hiện."
Nhà nghiên cứu truy vết hack đến nhóm tên Magecart, cũng chịu trách nhiệm cho các cuộc tấn công gần đây vào Ticketmaster và Newegg.
4. ESET Phát Hiện Rootkit Dựa Trên UEFI Đầu Tiên
Nhà nghiên cứu bảo mật tại ESET khám phá rootkit dựa trên UEFI đầu tiên trong tự nhiên. Rootkit cho phép hacker cài đặt phần mềm độc hại bền vững trên hệ thống dễ bị tổn thương với tiềm năng sống sót qua định dạng toàn hệ thống.
Việc khám phá rootkit UEFI đặc biệt gây phẫn nộ vì hệ thống UEFI truyền thống luôn an toàn trước những mối đe dọa như vậy. Tuy nhiên, rootkit đặt ra vấn đề đáng kể vì nó yêu cầu flash firmware bo mạch chủ đầy đủ để xóa; chương trình antivirus và antimalware thông thường của bạn sẽ không tiếp cận được rootkit.
"Mặc dù khó sửa đổi hình ảnh UEFI của hệ thống, vài giải pháp tồn tại để quét module UEFI của hệ thống và phát hiện cái độc hại," blog ESET đọc. "Hơn nữa, làm sạch firmware UEFI của hệ thống nghĩa là flash lại nó, một thao tác không thường làm và chắc chắn không phải bởi người dùng trung bình. Những ưu điểm này giải thích tại sao kẻ tấn công quyết tâm và có nguồn lực sẽ tiếp tục nhắm vào UEFI của hệ thống."
Rootkit, được biết đến là LoJack, được cho là công việc của nhóm hacker liên quan chính phủ Nga nổi tiếng, Fancy Bear. Hacker sửa đổi công cụ chống trộm laptop LoJack hợp pháp của Absolute Software. Công cụ cài vào BIOS hệ thống để sống sót qua xóa hệ thống. Sửa đổi thay thế phần mã LoJack gốc để viết lại chip UEFI dễ bị tổn thương.
Làm thế nào bảo vệ chống rootkit UEFI? Cách dễ nhất là giữ UEFI Secure Boot bật. Firmware hệ thống sẽ từ chối bất kỳ tệp nào không có chứng chỉ xác minh hợp lệ, giữ hệ thống an toàn.
5. Hacker Bắc Hàn Bị Kiện Trong WannaCry Và Hack Sony
Chính phủ Mỹ đã kiện và trừng phạt hacker Bắc Hàn cho cuộc tấn công ransomworm toàn cầu WannaCry năm 2017, cũng như hack Sony Pictures năm 2014 buộc công ty rút film sắp ra mắt, The Interview. (The Interview là phim hài về âm mưu ám sát lãnh đạo Bắc Hàn, Kim Jong-un.)
Lời kiện cáo cáo buộc lập trình viên Bắc Hàn, Park Jin Hyok, làm việc cho công ty mặt nạ chính phủ với văn phòng ở Trung Quốc và DPRK. Park và đồng nghiệp bị cáo buộc tham gia hoạt động độc hại thay mặt quân đội Bắc Hàn.
"Quy mô và phạm vi tội phạm mạng bị cáo buộc bởi khiếu nại là đáng sợ và xúc phạm đến tất cả những ai tôn trọng pháp luật và chuẩn mực mạng được chấp nhận bởi các quốc gia có trách nhiệm," trợ lý bộ trưởng tư pháp John Demers nói. "Khiếu nại cáo buộc chính phủ Bắc Hàn, qua nhóm tài trợ bởi nhà nước, cướp ngân hàng trung ương và công dân các quốc gia khác, trù dập tự do ngôn luận để nguội lạnh nó nửa thế giới xa, và tạo phần mềm phá hoại gây rối loạn ảnh hưởng nạn nhân trong hơn 150 quốc gia khác, gây thiệt hại hàng trăm triệu, nếu không phải tỷ đô la."
Nhóm hacker này cũng được cho là chịu trách nhiệm cho cuộc tấn công không thành công vào Lockheed Martin. Nhóm cũng chịu trách nhiệm tấn công vào Ngân hàng Bangladesh, Banco del Austro tại Ecuador, Tien Phong Bank Việt Nam, và một số sàn giao dịch tiền mã hóa.
Chính phủ Bắc Hàn đáp trả cáo trạng Mỹ, gắn mác nó "chiến dịch bôi nhọ". Nó cũng khẳng định Park là "thực thể không tồn tại". Dễ hiểu, hoàn cảnh như vậy.
Tổng Hợp Tin Tức Bảo Mật: Tháng Chín 2018
Đó là năm câu chuyện bảo mật hàng đầu từ tháng Chín 2018. Nhưng nhiều hơn nữa đã xảy ra; chúng tôi chỉ không có không gian liệt kê tất cả chi tiết. Đây là năm câu chuyện bảo mật thú vị hơn nảy sinh tháng trước:
- Bộ Ngoại giao Mỹ xác nhận vi phạm bảo mật ảnh hưởng email của "dưới 1% hộp thư nhân viên."
- Công ty quản lý dữ liệu, Veeam, lộ 445 triệu hồ sơ khoảng mười ngày.
- Văn phòng Tuyên trình Mỹ tiết lộ cách tạo ra botnet Mirai giúp FBI điều tra các vụ "phức tạp" tội phạm mạng. Sự giúp đỡ của họ giữ họ thoát khỏi tù giam.
- Uber bị phạt 148 triệu đô la cho vi phạm dữ liệu 2017.
- Kích thước tấn công DDoS trung bình tăng gấp năm lần, lên 26Gbps, theo Nexusguard.
Một lượng lớn xảy ra mỗi tháng trong an ninh mạng, quyền riêng tư, bảo vệ dữ liệu, phần mềm độc hại, và mã hóa. Quay lại đầu tháng sau cho bản tổng hợp bảo mật Tháng Mười 2018. Trong lúc đó, xem năm vi phạm bảo mật có thể đã đặt dữ liệu của bạn ở rủi ro!