Thành phố Columbus kiện chuyên gia đã công khai quy mô cuộc tấn công mạng

• Tòa án quận phê chuẩn lệnh cấm tiếp cận đối với chuyên gia an ninh mạng đã công khai vụ rò rỉ dữ liệu của thành phố

  • Một thẩm phán tại quận Franklin đã phê chuẩn lệnh cấm tiếp cận tạm thời đối với Connor Goodwolf, chuyên gia an ninh mạng đã công khai chủng loại và khối lượng thông tin bị rò rỉ trong vụ tấn công mạng nhằm vào thành phố vào tháng trước
  • Trong vài tuần qua, Goodwolf đã trả lời phỏng vấn với 10TV và các cơ quan báo chí khác, mô tả chi tiết những thông tin nào đang có trên dark web

• Diễn biến vụ tấn công mạng của thành phố

  • Thành phố đã ngắt kết nối Internet sau khi bộ phận công nghệ phát hiện dấu hiệu bất thường trong hệ thống vào ngày 18 tháng 7
  • Hai tuần sau, nhóm hacker Rhysida tuyên bố đã thực hiện vụ tấn công và đang nắm giữ 6.5 terabyte dữ liệu
  • Sau đó, Rhysida đã công khai 45% dữ liệu mà chúng lấy cắp từ thành phố

• Tác động của vụ rò rỉ dữ liệu

  • Ngày 13 tháng 8, thị trưởng Andrew Ginther tuyên bố dữ liệu mà hacker đánh cắp đã bị hỏng hoặc mã hóa nên không còn giá trị sử dụng
  • Tuy nhiên, trong cuộc phỏng vấn với 10TV, Goodwolf nói tuyên bố này không đúng sự thật và cho thấy những thông tin cá nhân mà anh có thể truy cập
  • Goodwolf gần đây cho biết ma trận tội phạm của cảnh sát Columbus có thể được tải xuống. Cơ sở dữ liệu này bao gồm thông tin về nhân chứng, nạn nhân và nghi phạm từ các báo cáo cảnh sát trong 10 năm qua

• Lệnh cấm tiếp cận và vụ kiện

  • Thành phố đã xin và được phê chuẩn lệnh cấm tiếp cận tạm thời đối với Goodwolf. Thành phố yêu cầu bồi thường thiệt hại tối thiểu $25,000, còn tổng số tiền sẽ được quyết định tại phiên xét xử
  • Tòa án ra lệnh cho Goodwolf ngừng truy cập, tải xuống và phân phối dữ liệu bị đánh cắp của thành phố
  • Thành phố cho rằng Goodwolf đã gây ra "thiệt hại không thể khắc phục" và "mối lo ngại lan rộng trên toàn khu vực Trung Ohio"

• Lập trường của thành phố

  • Luật sư của thành phố, Zach Klein, nhấn mạnh rằng vụ việc này không nhằm đàn áp quyền tự do ngôn luận của Goodwolf
  • Klein giải thích rằng biện pháp này nhằm ngăn chặn việc lan truyền dữ liệu có thể đe dọa các cuộc điều tra hình sự
  • Klein cho biết họ đang nỗ lực bảo vệ cảnh sát, nạn nhân và nhân chứng, đồng thời cho rằng thông tin mà Goodwolf tải xuống và chia sẻ là mối đe dọa đối với an toàn công cộng

• Kế hoạch của Goodwolf

  • Goodwolf cho biết anh dự định công khai dữ liệu bị đánh cắp của thành phố thông qua một website do mình tạo ra. Tuy nhiên, anh khẳng định website này sẽ chỉ được dùng để mọi người kiểm tra xem tên của mình có nằm trong vụ rò rỉ dữ liệu hay không

• Phản ứng của thành phố

  • Văn phòng của Klein cho biết họ tôn trọng quyết định của thẩm phán và đây là bước đi tích cực nhằm ngăn chặn sự lan truyền của dữ liệu nhân sự và dữ liệu nạn nhân bị đánh cắp vốn mang tính bảo mật
  • Thành phố đã đưa ra bốn cáo buộc đối với Goodwolf, gồm bồi thường thiệt hại do hành vi phạm tội, xâm phạm quyền riêng tư, sơ suất và chiếm dụng tài sản dân sự
  • Phiên điều trần sơ bộ cuối cùng được ấn định vào ngày 18 tháng 9 năm 2025

Tóm tắt của GN⁺

• Vụ việc này đề cập đến phản ứng pháp lý nhắm vào một chuyên gia an ninh mạng đã công khai thông tin quan trọng liên quan đến vụ rò rỉ dữ liệu của thành phố
• Goodwolf đã gây tranh cãi khi chỉ ra rằng, trái với tuyên bố của thành phố, dữ liệu bị hacker đánh cắp vẫn còn hữu ích
• Thành phố cho rằng hành động của Goodwolf là mối đe dọa đối với an toàn công cộng và đã tiến hành biện pháp pháp lý
• Vụ việc một lần nữa gợi nhắc các vấn đề pháp lý và đạo đức liên quan đến rò rỉ dữ liệu, đồng thời nhấn mạnh tầm quan trọng của bảo mật dữ liệu

[GN⁺]

Ý kiến trên Hacker News

• Với tư cách là một pentester trước đây, tôi đồng cảm với Goodwolf, nhưng công khai dữ liệu thực tế gần như luôn là một ý tưởng tồi

  • Đó là lý do các chương trình bug bounty có phạm vi giới hạn
  • Có vẻ thành phố tức giận vì Goodwolf đã chia sẻ dữ liệu về cuộc điều tra đang diễn ra và các báo cáo cảnh sát mật
  • Lấy dữ liệu rồi chuyển cho người khác rõ ràng không phải là một ý hay
  • Để chứng minh với các nhà báo rằng dữ liệu tồn tại và có thể tải xuống, có rất nhiều cách làm mà không cần truy cập dữ liệu: chụp ảnh màn hình bài đăng trên diễn đàn, gửi liên kết cho nhà báo, hoặc mô tả loại dữ liệu, v.v.
  • Nếu anh ấy đã làm vậy mà thành phố vẫn phản ứng theo kiểu này, thì đó rõ ràng là lạm dụng
  • Việc ra lệnh không được phát tán dữ liệu về một cuộc điều tra đang diễn ra cho nhà báo không phải là điều vô lý
  • Không ai muốn một vụ việc cá nhân bị lan truyền rộng hơn
  • Tôi rất đồng cảm với anh ấy vì đây là kiểu sai lầm rất dễ mắc phải
  • Trước khi bước vào ngành, tôi từng nghĩ đây là white hat hacking
  • Nâng cao nhận thức về vụ xâm phạm rõ ràng là điều tốt, nhưng cách thực hiện thực sự rất quan trọng
  • Tôi đã làm trong ngành này khoảng một năm vào 2016, nhưng đến nay tôi vẫn không nghĩ việc phát tán dữ liệu thực tế bị lộ sẽ được chấp nhận với bất kỳ ai làm pentester

• Goodwolf đang đe dọa sẽ lập trang web riêng để công bố dữ liệu bị đánh cắp của thành phố

  • Goodwolf nói với 10TV rằng anh ấy có kế hoạch dựng trang web của riêng mình, cho phép mọi người kiểm tra xem tên của họ có nằm trong vụ rò rỉ dữ liệu hay không
  • Điều này không giống với việc dựng một trang để kiểm tra xem mật khẩu của bạn có bị lộ hay không
  • Ai đó có thể nhập tên một người để kiểm tra xem người đó có phải là nhân chứng trong một cuộc điều tra hình sự hay không
  • Klein nói: "Đây không phải là vấn đề về phát ngôn, mà là về hành vi thực tế: dùng bàn phím truy cập dark web để thu thập thông tin, tải nó xuống máy tính, rồi phân phối cho báo chí hoặc người khác"

• Vấn đề là thành phố đã nói dối công chúng về việc họ không bảo vệ được dữ liệu

  • Các nhà nghiên cứu chỉ đơn giản chỉ ra hệ thống bảo mật của Columbus, OH tệ đến mức nào
  • Vào ngày 13 tháng 8, thị trưởng Andrew Ginther nói rằng dữ liệu mà hacker đánh cắp có lẽ vô dụng vì đã bị làm hỏng hoặc mã hóa
  • Vài giờ sau, Goodwolf cho thấy điều đó không đúng và cho thấy loại thông tin cá nhân mà anh ấy có thể truy cập được
  • Toàn bộ ban lãnh đạo của thành phố nên bị sa thải
  • Bị phát hiện trong tình trạng không có bảo mật, nói dối công chúng, rồi khi lời nói dối bị vạch trần một cách chính đáng thì lại đổ thêm dầu vào lửa bằng vụ kiện ngớ ngẩn này
  • Thành phố trong cơn hoảng loạn đã kiện một người phiền toái vì anh ta cho mọi người thấy thành phố đã làm rối tung mọi thứ đến mức nào
  • Kiện một nhà nghiên cứu bảo mật đang xem xét nội dung của thông tin đã bị công khai không bảo vệ được ai cả
  • Đây là trường hợp hoàn hảo để EFF hoặc ACLU hỗ trợ bào chữa chống lại lệnh cấm ngớ ngẩn và bị vũ khí hóa này

• Tôi đã sống ở Columbus nhiều năm

  • Điều này hoàn toàn đúng
  • Có điều gì đó ở một thành phố xanh trong một bang đỏ khiến họ trở nên cực kỳ táo bạo trong việc tự bảo vệ mình

• Bổ sung vào danh sách:

  • Hacking syndicate: không bị kiện
  • Trang web công khai lưu trữ hồ sơ bị hack: không bị kiện
  • Quan chức công nói dối: không bị kiện
  • Joe Schmoe, người chỉ ra cả ba điều này: bị kiện