- Một sự cố mạng nhắm vào một phần mảng linh kiện và phân phối của Boeing đã dẫn tới việc công khai 45GB dữ liệu, trở thành trường hợp đe dọa ransomware chuyển thành rò rỉ thực tế
- Nhóm hacker có liên hệ với Nga LockBit nhận trách nhiệm vụ tấn công vào ngày 27/10 và cảnh báo sẽ công bố dữ liệu nhạy cảm nếu Boeing không liên hệ trong thời hạn
- Boeing thừa nhận sự cố, nhưng trong email gửi cho Cybersecurity Dive ngày 2/11 cho biết vấn đề này không ảnh hưởng đến an toàn bay
- Tài liệu bị công khai bao gồm các tệp Citrix, kiểm soát bảo mật và bản sao lưu email; nhà phân tích bảo mật Dominic Alvieri cho biết email doanh nghiệp cũng đã bị lộ
- MalwareHunter Team nhận định tài liệu này dường như xuất phát từ Aviall, công ty mà Boeing mua lại năm 2006; mức độ tích hợp hệ thống của hai công ty trong 17 năm qua có thể quyết định phạm vi xâm nhập
LockBit công khai dữ liệu của Boeing
- Nhóm ransomware LockBit đã nhận trách nhiệm về vụ tấn công Boeing vào ngày 27/10
- Nhóm này đăng trên trang rò rỉ dữ liệu rằng sẽ công bố dữ liệu nhạy cảm nếu Boeing không liên hệ trong thời hạn
- Sau khi hạn chót 10/11 trôi qua, nhóm đã công khai khoảng 45GB dữ liệu doanh nghiệp của Boeing lên mạng
- Boeing thừa nhận vụ hack trong cùng ngày
- Trong email gửi cho Cybersecurity Dive ngày 2/11, công ty cho biết đã ghi nhận “một sự cố mạng ảnh hưởng đến một phần mảng kinh doanh linh kiện và phân phối”
- Trong cùng email, công ty nói vấn đề này không ảnh hưởng đến an toàn bay
- Tài liệu bị rò rỉ bao gồm các tệp của công ty điện toán đám mây Citrix, kiểm soát bảo mật và bản sao lưu email
- Nhà phân tích bảo mật Dominic Alvieri nói với The Register rằng email doanh nghiệp nằm trong số dữ liệu bị lộ
- Dù chưa xem toàn bộ bộ dữ liệu, Alvieri cho rằng email Boeing và một số tài liệu có vẻ hữu ích cho mục đích xấu
Khả năng liên quan đến Aviall và phạm vi xâm nhập
- Sau khi xem xét tài liệu bị lộ, MalwareHunter Team đánh giá rằng dữ liệu này dường như đến từ Aviall
- Aviall là nhà phân phối linh kiện mà Boeing đã mua lại vào năm 2006
- Mức độ nghiêm trọng của vụ xâm nhập phụ thuộc vào việc hệ thống của Aviall và Boeing đã được tích hợp với nhau đến đâu trong 17 năm qua
- Nếu mạng của hai công ty không được sáp nhập nhiều và LockBit chỉ kiểm soát mạng của Aviall, thì đây được đánh giá là vấn đề “chỉ đơn giản là tồi tệ” đối với Boeing
- Nếu mức độ tích hợp mạng lớn, thì mức độ nghiêm trọng của vụ xâm nhập có thể còn cao hơn những gì hiện đã được biết
1 bình luận
Ý kiến trên Hacker News
Nhìn từ góc độ người làm trong ngành công nghiệp quốc phòng, 45GB email không được mã hóa gần như không có giá trị về mặt thương mại và cũng không phải là sự kiện lớn xét từ góc độ an ninh quốc gia
Ngược lại, nó có khả năng là mối đe dọa lớn hơn đối với từng nhân viên hơn là đối với công ty hay quốc gia
Nói cách khác, nếu dữ liệu này có giá trị thì nhóm ransomware đã không công bố miễn phí
Lý do hợp lý nhất khiến họ không trả tiền là cơ quan điều tra đã can thiệp, mà cơ quan điều tra thì không thích việc trả tiền chuộc và thậm chí đã cân nhắc cấm hẳn việc này
Điều đó hoàn toàn không có nghĩa là dữ liệu này vô giá trị; trong đó có thông tin xác thực thiết bị Citrix, nên nếu Boeing không cải thiện tư thế bảo mật, nó có thể dẫn đến các vụ xâm nhập trong tương lai
Tuy vậy, nếu lấy nghề nghiệp của mình ra làm cơ sở rồi nói theo kiểu cá nhân không quan trọng, chỉ thực thể thương mại mới quan trọng, thì điều đó có thể không phù hợp với một số vị trí liên quan đến quốc phòng
Dù chỉ là một kỹ sư cấp thấp trong tổ chức, các hệ thống tự động và Confluence vẫn tạo ra vô số thông báo email gần như không phải spam, nhưng đôi khi lại hữu ích
Nếu email là 500TB thì đáng lo, nhưng 45GB trông giống như một vụ xâm nhập một tài khoản đơn lẻ
Có thể có một ít email mật thú vị được gửi toàn công ty hoặc toàn bộ phận, nhưng nhìn chung có vẻ không có giá trị lớn, nên tôi cho rằng quyết định không trả tiền của Boeing là đúng
Những tội phạm đánh cắp mật khẩu đôi khi cũng muốn bán hàng loạt với giá thấp rồi xả đi, thay vì đào sâu vào tài khoản để kiếm lợi lớn hơn
Lần này cũng có thể nhằm cho các mục tiêu giá trị cao khác thấy rằng chúng nghiêm túc
Việc người ngoài truy cập được 45GB là phần dễ; giờ muốn tận dụng nó thì phải xây dựng được một công ty quy mô như Boeing cùng nền tảng nhà cung cấp
Có thể bị dùng theo kiểu “cùng một thiết bị mà anh đang trả thêm 50 đô la mỗi cái”
Ngay cả khi sao chép được linh kiện, để được phép xuất khẩu ra nước ngoài thì có lẽ nó phải là một phần của chuỗi cung ứng và hệ thống chứng nhận gốc
Tôi không nhớ rõ và tìm nhanh trên Google cũng không ra kết quả hay, nhưng tôi tự hỏi liệu từng có vụ rò rỉ kiểu này gây ra vấn đề quy mô lớn cho công ty bị nhắm tới chưa
Trong 2 năm qua đã có khá nhiều vụ rò rỉ tương tự, nhưng thị trường và công chúng nhìn chung có vẻ khá thờ ơ
Tất nhiên 45GB là lượng dữ liệu lớn, và nếu trong đó thật sự có nội dung khủng khiếp thì có lẽ Boeing đã trả tiền chuộc và không nói với ai
Liệu Boeing có phải chịu hậu quả tiêu cực thực sự không? Việc dễ bị tấn công là một vết nhơ, nhưng việc không trả tiền có thể được nhiều người nhìn nhận tích cực
Tôi không rõ các hệ quả sau đó của vụ rò rỉ ấy ra sao
https://slate.com/human-interest/2014/12/sony-pictures-hack-...
Một ngày nào đó nếu Airbus chế tạo máy bay mới trước Boeing hoặc giành được một hợp đồng béo bở, có thể chúng ta sẽ vĩnh viễn không biết đó là diễn biến tự nhiên hay nhờ kiến thức thu được từ dữ liệu này
45GB có thể là một lượng khổng lồ, mà cũng có thể chỉ là vài bộ tài liệu thuyết trình marketing của vài người
Tôi muốn xem người cuối cùng trong chuỗi trách nhiệm đã thật sự nói gì khi được báo rằng MCAS không hoạt động
Cũng đáng bật máy làm bỏng ngô để xem sau khoảng 150 người đầu tiên thiệt mạng, họ đã dùng lời lẽ nào để bọc lại việc kiểm soát thiệt hại, và họ phản ứng ra sao với sự cố tiếp theo
Có vẻ như vừa mới có chuyện một nhóm ransomware phá vỡ thỏa thuận và công khai dữ liệu luôn
Như vậy chẳng khác nào họ tự giết mô hình kinh doanh của mình
Nếu công ty X không thể tin rằng một tổ chức tội phạm sẽ giữ lời hứa, thì ngay từ đầu họ trả tiền để làm gì
Boeing dù sao cũng sẽ phải chịu chi phí hậu quả của vụ rò rỉ dữ liệu, nên không có lý do gì để trả thêm tiền cho tội phạm
Làm vậy sẽ khiến uy tín của các nhóm ransomware thật sự giảm mạnh
Để làm cho nó có đạo đức hơn, dữ liệu nên không quan trọng hoặc đã được mã hóa
Dù vậy báo chí vẫn sẽ đưa tin và nhận thức của công chúng có thể thay đổi
Cách tốt hơn là bí mật phối hợp với “mục tiêu” bị hack, biến toàn bộ vụ việc thành một màn trình diễn vô hại nhưng vẫn làm giảm động lực của trò bắt dữ liệu làm con tin
Cần lập một hệ thống tư pháp trung ương để nhận diện và loại bỏ những tác nhân ransomware xấu
Khoản tiền chuộc đầu tiên là để nhận khóa giải mã cho dữ liệu của mục tiêu, còn khoản thứ hai là để ngăn dữ liệu đã giải mã bị công khai
Trong đống dữ liệu dump này có gì “dùng được” không?
Bài viết nói có Citrix và email, nhưng như vậy thì có thể là bất cứ thứ gì
Một dump email và dữ liệu khác có thể hữu ích cho các vụ xâm nhập tiếp theo hoặc tấn công nhắm vào nhân viên
Đội bảo mật nội bộ chắc sẽ xem xét toàn bộ, nhưng vẫn có thể bỏ sót, và thông tin cá nhân dù đã được biết đến vẫn có thể bị lạm dụng cho lừa đảo
Với một chính phủ như Trung Quốc, hoặc các đối thủ hàng không–quốc phòng của Boeing, nếu trước đó họ chưa có quyền truy cập thì đây sẽ là một mỏ vàng
Boeing làm rất nhiều việc liên quan đến an ninh quốc gia và không gian
Thứ đã lên Internet thì gần như không biến mất
Mỹ nên cấm việc trả tiền chuộc và áp án tù với người trả hoặc phê duyệt việc trả tiền chuộc
Nếu có luật như vậy, các công ty sẽ không dám chịu rủi ro trả tiền, nên các nhóm ransomware sẽ ít có khả năng nhắm vào doanh nghiệp Mỹ hơn
Dù vậy vẫn không ngăn được các công ty trả tiền
Nếu là bệnh viện, họ sẽ phải cân nhắc giữa việc vi phạm câu chữ của luật và để nhiều người chết
[1] https://www.gma-cpa.com/technology-blog/paying-ransom-on-a-r...
[2] https://cbs12.com/news/cbs12-news-i-team/hospital-ransomware...
“Được rồi, tiền đây”
“Cảm ơn. Nếu không đưa thêm 10.000 USD nữa, tôi sẽ báo với nhà chức trách về giao dịch vừa rồi”
Ví dụ, phòng khám phẫu thuật thẩm mỹ bị hack vài tuần trước có thể sẽ cho rằng ít nhất cũng nên cố ngăn hồ sơ y tế và ảnh trước/sau phẫu thuật của bệnh nhân bị rò rỉ
Nếu cấm trả tiền chuộc, lịch sử y tế và ảnh của mọi bệnh nhân có thể bị lộ, và đó là một cơn ác mộng
Tôi tự hỏi liệu việc này có bị coi là vi phạm ITAR từ phía Boeing không
Chính phủ chỉ cần cấm doanh nghiệp trả tiền cho các nhóm ransomware
Khi đó mô hình kinh doanh ransomware sẽ biến mất, và doanh nghiệp sẽ phải tập trung vào bảo mật thực sự thay vì kỳ vọng có thể dùng tiền để giải quyết các vấn đề tiềm ẩn
Xã hội chịu đau ngắn hạn để có giải pháp tốt hơn về dài hạn
Doanh nghiệp thuê các “chuyên gia” và “nhà tư vấn” đắt tiền, rồi những người đó âm thầm trả tiền cho nhóm ransomware
Nếu đó là một tổ chức mạng có liên hệ với Nga, thì các thông tin nhạy cảm trong đó dù sao cũng nên được coi là thông tin công khai rồi
Vậy thì trả tiền để làm gì