Năm 2022, một trong những sự cố được nhắc tới nhiều nhất trong thế giới của các nhà nghiên cứu bảo mật, là việc nhiều tập đoàn lớn của Mỹ, trong đó có cả Apple và Meta đã bị tội phạm công nghệ cao lừa đảo, đóng giả nhân viên các cơ quan thuộc chính phủ, làm giả yêu cầu chuyển giao dữ liệu khẩn cấp (EDR - Emergency Data Request), từ đó giao cho chúng những dữ liệu cá nhân của người dùng các dịch vụ trực tuyến và thiết bị công nghệ của họ.
Gần đây, thông báo của FBI cho biết, những băng nhóm tội phạm công nghệ cao đang có xu hướng đẩy mạnh hành vi này, và khuyến cáo các tập đoàn công nghệ Mỹ phải xác thực lệnh EDR mà họ nhận được, kể cả những lệnh trông có vẻ như được các cơ quan hành pháp tại Mỹ hay nước ngoài gửi tới.
Thông thường thì những tập đoàn như Meta, Apple hay PayPal luôn luôn yêu cầu trát của tòa án, thứ mà các cơ quan hành pháp như cảnh sát hay cục điều tra phải xin từ bên tư pháp, rồi mới trích xuất và trao dữ liệu cá nhân từ máy chủ cho phía điều tra phá án. Nhưng cũng có một số trường hợp tình hình cấp bách, và dựa vào tình hình, các tập đoàn sẽ tuân thủ lệnh EDR của phía hành pháp.
Nhiều hacker đã lợi dụng lỗ hổng này, rồi ăn trộm địa chỉ thư điện tử của các nhân viên trong cơ quan công quyền và hành pháp tại nhiều quốc gia, rồi làm giả lệnh EDR, dùng những địa chỉ thư điện tử có thật kể trên để gửi cho những tập đoàn. Hệ quả là có thể chúng sẽ lấy được dữ liệu cá nhân nhạy cảm của người dùng dịch vụ trực tuyến hay thông tin cá nhân của khách hàng các công ty và tập đoàn.
Theo FBI, kể từ tháng 8/2023 tới tháng 8/2024, các chuyên viên điều tra tội phạm công nghệ cao của cục điều tra liên bang Mỹ đã phát hiện, những hacker đã đề cập và trò chuyện nhiều hơn về hành vi đóng giả cơ quan hành pháp để lừa đảo các công ty và tập đoàn. Có một ví dụ hacker rao bán hướng dẫn đóng giả cơ quan cảnh sát, làm giả lệnh EDR thu thập dữ liệu khẩn cấp với giá chỉ 100 USD. Một kẻ khác thì nói rằng những địa chỉ thư điện tử đuôi .gov hoàn toàn có thể được lấy cắp để gửi những mã độc, rồi thâm nhập sâu hơn vào máy chủ của chính phủ các nước.
Một trường hợp khác thì khoe khoang trên kênh chat của tội phạm công nghệ cao rằng chúng đã lấy được địa chỉ thư điện tử của nhân viên chính phủ của hơn 25 quốc gia, bao gồm cả Mỹ. Chúng hoàn toàn có thể lợi dụng những địa chỉ email đã bị chiếm đoạt này để lừa đảo, theo dõi, phản gián, tống tiền hoặc làm giả văn bản yêu cầu cung cấp dữ liệu. Đi kèm với đó là hướng dẫn chi tiết để thực hiện những hành vi kể trên.
Tháng 3/2024, một tội phạm công nghệ cao đã cung cấp bản mẫu để gửi văn bản EDR tới PayPal. Dịch vụ thanh toán trực tuyến này sau đó đã báo cáo với cơ quan chức năng bên Mỹ, rằng họ đã nhận được và từ chối một yêu cầu hỗ trợ tư pháp liên quan tới một vụ án buôn người có liên quan tới trẻ em, đương nhiên là không có thật. Dù hacker đã bịa được ra mã số vụ án và mã số tư pháp trông rất hợp lý, nhưng chính những con số này rất có ích khi các doanh nghiệp xác thực thông tin với chính các cơ quan điều tra và hành pháp.
FBI khuyến cáo, các doanh nghiệp và tập đoàn khi nhận được văn bản yêu cầu hỗ trợ tư pháp hay hỗ trợ cơ quan điều tra, bước đầu tiên là cực kỳ cảnh giác và xác thực lại với chính các cơ quan kể trên, liên hệ với họ xem có đúng là cơ quan điều tra cần dữ liệu để phục vụ điều tra hay không, và đối chiếu mã số tư pháp với từng cơ quan tương ứng. Một ví dụ được FBI đưa ra, đó là các cơ quan hành pháp Mỹ sẽ không bao giờ gửi trát yêu cầu hợp tác điều tra, hoặc văn bản thu thập dữ liệu khẩn cấp với những dòng chữ được copy y nguyên từ luật.
Cùng với đó, đương nhiên, là những khuyến cáo để giới hạn nguy cơ của mắt xích yếu nhất trong mọi hệ thống máy chủ và điện toán của các tập đoàn, đó chính là con người. Từ việc đặt mật khẩu phức tạp, cho tới việc cảnh giác trước những phần cứng và phần mềm điều khiển hệ thống từ xa do các bên thứ ba phát triển. Trong đó có một khuyến cáo đáng chú ý, đó là FBI cho rằng các doanh nghiệp không nên yêu cầu nhân sự đổi mật khẩu tài khoản quá một lần mỗi năm, ngoại trừ trường hợp máy chủ bị thâm nhập. Giải thích cho khuyến cáo có phần ngược đời này là tâm lý con người. Khi phải đổi mật khẩu quá 1 lần mỗi năm, khả năng cao một người dùng hay nhân viên sẽ có xu hướng đặt mật khẩu dễ nhớ, từ đó làm giảm tác động tích cực đối với bảo mật từ việc thay đổi mật khẩu.
Theo Techspot
Gần đây, thông báo của FBI cho biết, những băng nhóm tội phạm công nghệ cao đang có xu hướng đẩy mạnh hành vi này, và khuyến cáo các tập đoàn công nghệ Mỹ phải xác thực lệnh EDR mà họ nhận được, kể cả những lệnh trông có vẻ như được các cơ quan hành pháp tại Mỹ hay nước ngoài gửi tới.
Thông thường thì những tập đoàn như Meta, Apple hay PayPal luôn luôn yêu cầu trát của tòa án, thứ mà các cơ quan hành pháp như cảnh sát hay cục điều tra phải xin từ bên tư pháp, rồi mới trích xuất và trao dữ liệu cá nhân từ máy chủ cho phía điều tra phá án. Nhưng cũng có một số trường hợp tình hình cấp bách, và dựa vào tình hình, các tập đoàn sẽ tuân thủ lệnh EDR của phía hành pháp.
Nhiều hacker đã lợi dụng lỗ hổng này, rồi ăn trộm địa chỉ thư điện tử của các nhân viên trong cơ quan công quyền và hành pháp tại nhiều quốc gia, rồi làm giả lệnh EDR, dùng những địa chỉ thư điện tử có thật kể trên để gửi cho những tập đoàn. Hệ quả là có thể chúng sẽ lấy được dữ liệu cá nhân nhạy cảm của người dùng dịch vụ trực tuyến hay thông tin cá nhân của khách hàng các công ty và tập đoàn.
Theo FBI, kể từ tháng 8/2023 tới tháng 8/2024, các chuyên viên điều tra tội phạm công nghệ cao của cục điều tra liên bang Mỹ đã phát hiện, những hacker đã đề cập và trò chuyện nhiều hơn về hành vi đóng giả cơ quan hành pháp để lừa đảo các công ty và tập đoàn. Có một ví dụ hacker rao bán hướng dẫn đóng giả cơ quan cảnh sát, làm giả lệnh EDR thu thập dữ liệu khẩn cấp với giá chỉ 100 USD. Một kẻ khác thì nói rằng những địa chỉ thư điện tử đuôi .gov hoàn toàn có thể được lấy cắp để gửi những mã độc, rồi thâm nhập sâu hơn vào máy chủ của chính phủ các nước.
Một trường hợp khác thì khoe khoang trên kênh chat của tội phạm công nghệ cao rằng chúng đã lấy được địa chỉ thư điện tử của nhân viên chính phủ của hơn 25 quốc gia, bao gồm cả Mỹ. Chúng hoàn toàn có thể lợi dụng những địa chỉ email đã bị chiếm đoạt này để lừa đảo, theo dõi, phản gián, tống tiền hoặc làm giả văn bản yêu cầu cung cấp dữ liệu. Đi kèm với đó là hướng dẫn chi tiết để thực hiện những hành vi kể trên.
Tháng 3/2024, một tội phạm công nghệ cao đã cung cấp bản mẫu để gửi văn bản EDR tới PayPal. Dịch vụ thanh toán trực tuyến này sau đó đã báo cáo với cơ quan chức năng bên Mỹ, rằng họ đã nhận được và từ chối một yêu cầu hỗ trợ tư pháp liên quan tới một vụ án buôn người có liên quan tới trẻ em, đương nhiên là không có thật. Dù hacker đã bịa được ra mã số vụ án và mã số tư pháp trông rất hợp lý, nhưng chính những con số này rất có ích khi các doanh nghiệp xác thực thông tin với chính các cơ quan điều tra và hành pháp.
FBI khuyến cáo, các doanh nghiệp và tập đoàn khi nhận được văn bản yêu cầu hỗ trợ tư pháp hay hỗ trợ cơ quan điều tra, bước đầu tiên là cực kỳ cảnh giác và xác thực lại với chính các cơ quan kể trên, liên hệ với họ xem có đúng là cơ quan điều tra cần dữ liệu để phục vụ điều tra hay không, và đối chiếu mã số tư pháp với từng cơ quan tương ứng. Một ví dụ được FBI đưa ra, đó là các cơ quan hành pháp Mỹ sẽ không bao giờ gửi trát yêu cầu hợp tác điều tra, hoặc văn bản thu thập dữ liệu khẩn cấp với những dòng chữ được copy y nguyên từ luật.
Cùng với đó, đương nhiên, là những khuyến cáo để giới hạn nguy cơ của mắt xích yếu nhất trong mọi hệ thống máy chủ và điện toán của các tập đoàn, đó chính là con người. Từ việc đặt mật khẩu phức tạp, cho tới việc cảnh giác trước những phần cứng và phần mềm điều khiển hệ thống từ xa do các bên thứ ba phát triển. Trong đó có một khuyến cáo đáng chú ý, đó là FBI cho rằng các doanh nghiệp không nên yêu cầu nhân sự đổi mật khẩu tài khoản quá một lần mỗi năm, ngoại trừ trường hợp máy chủ bị thâm nhập. Giải thích cho khuyến cáo có phần ngược đời này là tâm lý con người. Khi phải đổi mật khẩu quá 1 lần mỗi năm, khả năng cao một người dùng hay nhân viên sẽ có xu hướng đặt mật khẩu dễ nhớ, từ đó làm giảm tác động tích cực đối với bảo mật từ việc thay đổi mật khẩu.
Theo Techspot
