Đã là thời gian bão dừa cho nhà cung cấp sản phẩm học tập điện tử cho trẻ em, VTech. Công ty Hong Kong công bố kế hoạch mua đối thủ trực tiếp LeapFrog với giá 72 triệu USD, mở rộng đà đen thị trường và định vị mình là một trong những nhà phát triển và cung cấp hàng đầu sản phẩm học tập điện tử cho trẻ em. Đáng tiếc, tuần đó không diễn ra như kế hoạch.
VTech cập nhật điều khoản và điều kiện sau vụ hack lớn năm 2015, thẳng thắn chuyển gánh nặng trách nhiệm cho cha mẹ và người chăm sóc chăm sóc mà không suy nghĩ lần hai.
Họ thay đổi gì? Họ bảo mật gì? Bạn nên làm gì?
Điều Gì Xảy Ra Với VTech?
VTech bị hack tháng 11 năm ngoái, kẻ tấn công lấy dữ liệu từ hơn 4 triệu tài khoản người lớn, và hơn 6 triệu tài khoản trẻ em. Hack tiết lộ dữ liệu cá nhân của mỗi tài khoản bị xâm phạm bao gồm tên, email, mật khẩu, câu hỏi bí mật và câu trả lời, địa chỉ IP, địa chỉ thư, và lịch sử tải xuống. Ngoài ra, cơ sở dữ liệu cửa hàng ứng dụng Learning Lodge của VTech cũng bị xâm phạm.
Từ đó, dữ liệu bao gồm nhật ký trò chuyện, tệp âm thanh cá nhân và ảnh chụp bị xâm phạm, nhiều thuộc trực tiếp về trẻ em dùng thiết bị.
Lỗ Hổng
Vụ hack ban đầu được lộ bởi Lorenzo Bicchierai, viết cho ấn bản công nghệ Motherboard của tạp chí Vice. Sau bài viết đầu tiên, Bicchierai được liên hệ bởi kẻ tự nhận thực hiện hack, cung cấp ảnh nhạy cảm cho phóng viên để xác minh.
Bicchierai mời chuyên gia an ninh thông tin Troy Hunt phân tích dữ liệu để xác nhận rò rỉ có thật hay giả. Sau xác nhận, Hunt phân tích sâu hơn và công bố chi tiết lỗ hổng ảnh hưởng VTech. Các lỗ hổng, như Hunt khám phá, thật tồi tệ.
Lỗi tham chiếu đối tượng cho phép người dùng dễ dàng truy cập tài khoản người khác bằng cách duyệt qua URL, toàn bộ hệ thống chủ cực nhạy cảm với mọi dạng tiêm SQL, và có:
"Không có SSL ở đâu… Tất cả truyền thông đều qua kết nối không mã hóa bao gồm khi truyền mật khẩu, chi tiết cha mẹ và thông tin nhạy cảm về trẻ em."
Hunt cũng tìm thấy mật khẩu "mã hóa" bằng MD5 đơn giản, không có salt, hoặc dấu hiệu thuật toán băm nâng cao, nghĩa là bất kỳ ai với kỹ năng tính toán hơi nâng cao cũng có thể bẻ khóa trong thời gian ngắn.
Bên cạnh đó, câu hỏi bí mật và câu trả lời được lưu dưới dạng văn bản thuần túy, không có biện pháp bảo mật thêm. Hunt cũng lưu ý chất lượng kém câu hỏi bảo mật, như "Màu yêu thích?" hoặc "Bạn sinh ở đâu?" và thông tin dễ tìm tương tự.
Người Dùng Trẻ Em
Sau khi cha mẹ tạo tài khoản người lớn, tài khoản trẻ em có thể tạo. Mỗi tài khoản trẻ em liên kết trực tiếp với tài khoản người lớn, và có thể thêm avatar, ngày sinh, giới tính.
Dữ liệu sau đó lưu trong bảng tự tham chiếu dùng "parent_id" liên kết cả hai tài khoản, như sau:
Có nghĩa là với dữ liệu thêm được bảo mật trong vi phạm, từng trẻ em có thể khớp đơn giản với cha mẹ, tiết lộ địa chỉ cùng hàng loạt thông tin cá nhân khác.
Thay Đổi Điều Khoản & Điều Kiện
Vì thường xuyên đối mặt thỏa thuận người dùng dài dòng, tuyên bố riêng tư, thay đổi điều khoản trang web, game, dịch vụ, chúng ta đã hơi thờ ơ với ngôn ngữ dùng. Tôi tuyệt đối không đếm được số điều khoản đã bấm qua, và tự hỏi có lúc nào ký bán linh hồn không.
Bạn sẽ nghĩ phản ứng chuẩn với vi phạm dữ liệu lớn là điều tra mạnh mẽ mọi thiếu hụt an ninh, có thể đón nhận công trình đã hoàn thành bởi chuyên gia an ninh thông tin cố gắng bảo vệ dữ liệu nhạy cảm trẻ em.
Không phải VTech.
Thay vào đó, họ cập nhật điều khoản với thuật ngữ rất khó chịu. Trong mục Giới Hạn Trách Nhiệm, điều khoản viết:
"Bạn xác nhận và đồng ý rằng bất kỳ thông tin nào bạn gửi hoặc nhận trong quá trình sử dụng trang web có thể không an toàn và có thể bị chặn hoặc sau đó bị chiếm lấy bởi bên không được ủy quyền"
Xin lỗi. Cái gì? Người dùng đồng ý không giận hay không kiện công ty nếu bị hack lại? Năm 2016, làm sao công ty quảng bá thiết bị kết nối mạng có trách nhiệm có thể đẩy gánh nặng cho người dùng trong kịch bản họ chủ động tìm kiếm thông tin nhạy cảm là điều vượt quá hiểu lầm của tôi.
Được Miễn Trừ?
Không bao giờ. Trước cả trò đùa điều khoản, Văn phòng Ủy viên Thông tin Anh đang điều tra vi phạm dữ liệu, cùng nhiều bang Mỹ. Tương tự, ngay sau vi phạm, Ủy viên Riêng tư Hong Kong Stephen Wong xác nhận văn phòng đã khởi động "kiểm tra tuân thủ" VTech để đánh giá công ty có tuân thủ nguyên tắc an ninh cơ bản không.
Khi tôi viết bài này, Văn phòng Ủy viên Thông tin Anh xác nhận điều khoản mới sẽ vi phạm luật Anh hiện hành, nói:
"Luật rõ ràng: tổ chức xử lý dữ liệu cá nhân của con người mới chịu trách nhiệm giữ dữ liệu đó an toàn"
Bạn Nên Làm Gì?
Thực lòng, cho đến khi VTech được chứng minh đã cải tổ hoàn toàn hoạt động an ninh, đừng dùng sản phẩm của họ, bao gồm trang web.
Tương lai, trước khi mua đồ chơi trẻ em kết nối mạng, nên tìm kiếm nhanh "[tên sản phẩm/công ty]+an ninh", hoặc "[tên sản phẩm/công ty]+hack/rò rỉ dữ liệu". Bất kỳ tổ hợp nào sẽ nhanh chóng minh họa an ninh sản phẩm bạn sắp trao cho con.
Vi phạm an ninh sẽ xảy ra. Chúng ta sống trong thế giới số hóa lớn, chia sẻ thông tin nhạy cảm qua hàng ngàn trang. Tuy nhiên, chúng ta không phải tự nhảy vào đường nòng, và như vậy, chúng ta có quyền kỳ vọng một chút tôn trọng riêng tư dữ liệu cá nhân – chứ đừng nói đến trẻ em.
Bị ảnh hưởng bởi vi phạm VTech? Hay bạn có thể đồng cảm với nhà làm đồ chơi trong thế giới mạng và an ninh thông tin? Hãy cho chúng tôi biết bên dưới!