Bí ẩn những vụ vi phạm dữ liệu lớn nhất thế giới

Ngày nay, cụm từ vi phạm dữ liệu được đề cập rất nhiều lần trên các bản tin, bài báo, sự kiện và hiệp ước quốc tế. Việc bảo vệ dữ liệu người dùng ngày càng trở nên quan trọng hơn, nhất là sau một loạt khủng hoảng hàng loạt của những gã khổng lồ tại thung lũng Silicon.

Trong vài tháng ngắn ngủi gần đây, sau sự kiện vi phạm dữ liệu người dùng của Facebook, những tên tuổi lớn như Macy’s Bloomingdale’s và Reddit cũng đã gia nhập vào danh sách nạn nhân của vi phạm dữ liệu. Dữ liệu cá nhân bị xâm phạm là điều rất cần được người dùng quan tâm đến. Vi phạm dữ liệu có thể dẫn đến việc rò rỉ hàng triệu, thậm chí hàng tỷ hồ sơ cá nhân và dữ liệu bí mật. Điều đó không chỉ ảnh hưởng đến người dùng cá nhân mà còn làm thất thoát hàng tỷ USD từ các doanh nghiệp.

Vi phạm dữ liệu là gì?

Vi phạm dữ liệu xảy ra thành công khi một tội phạm công nghệ xâm nhập nguồn lưu trữ dữ liệu và đánh cắp thông tin bí mật. Điều này có thể được thực hiện bằng cách truy cập máy tính hoặc qua hệ thống mạng để đánh cắp các tệp tin cục bộ, bỏ qua hệ thống bảo mật mạng từ xa. Phương pháp này thường được sử dụng để nhắm mục tiêu vào các doanh nghiệp. Dưới đây là các giai đoạn điển hình trong một cuộc tấn công vi phạm dữ liệu:

1. Nghiên cứu hệ thống: Các tội phạm mạng tìm kiếm những điểm yếu, lỗ hổng bảo mật của hệ thống an ninh doanh nghiệp (bao gồm con người, hệ thống thiết bị hoặc kết nối mạng).
2. Tổ chức tấn công: Các tội phạm mạng bắt đầu tấn công người dùng qua điểm yếu đã khai thác được, sử dụng hình thức tấn công mạng hoặc tấn công xã hội phi kỹ thuật.
3. Diễn biến tấn công: Một cuộc tấn công mạng xảy ra khi một tội phạm mạng sử dụng cơ sở hạ tầng, hệ thống thiết bị và lỗ hổng bảo mật trên ứng dụng để xâm nhập vào kết nối mạng nội bộ của một tổ chức. Ngoài ra, tội phạm mạng còn sử dụng hình thức xã hội phi kỹ thuật như lừa đảo hoặc lôi kéo nhân viên công ty ngẫu nhiên hỗ trợ chúng truy cập vào mạng của công ty. Một nhân viên có thể bị lừa phải cung cấp thông tin đăng nhập của anh ta hoặc bị lừa phải mở một tệp tin đính kèm phần mềm độc hại.
4. Vi phạm dữ liệu: Một khi tội phạm mạng đã xâm nhập được vào hệ thống của tổ chức, chúng có thể tấn công vào các thư mục chứa dữ liệu bí mật, đánh cắp và trích xuất ra ngoài. Như vậy, cuộc tấn công này được coi là thành công.

Những vụ vi phạm dữ liệu lớn nhất từ trước đến nay

Những loại dữ liệu nào thường bị đánh cắp?

Động cơ của một tội phạm mạng thường được xác định trước khi tiến hành các cuộc tấn công. Các nguồn dữ liệu khác nhau sẽ cung cấp thông tin khác nhau. Dưới đây là ví dụ về các mục tiêu điển hình với chi tiết về loại dữ liệu mà tin tặc thường đánh cắp:

Trong Kinh doanh

• Timehop (Tháng 7 năm 2018) – Nhà cung cấp ứng dụng trên thiết bị di động: Dữ liệu của 21 triệu người dùng đã bị tấn công trong khoảng 2 giờ do sự xâm nhập của tin tặc từ kết nối mạng vào ngày 4 tháng 7 năm 2018.
• Reddit (Tháng 6 năm 2018): Tội phạm mạng đã tấn công và lấy được quyền truy cập vào cơ sở dữ liệu cũ của người dùng vào ngày 19 tháng 6. Số lượng hồ sơ bị tấn công chính xác nhất vẫn chưa được công bố.
• Dixons Carphone (Tháng 6 năm 2018) – Nhà bán lẻ: Ước tính có khoảng 10 triệu khách hàng bị ảnh hưởng bởi cuộc tấn công vào kết nối mạng của tổ chức này vào năm ngoái. Dữ liệu bị đánh cắp có thể bao gồm thông tin cá nhân như tên, địa chỉ và email người dùng. Khoảng 5,9 triệu thông tin thẻ thanh toán (gần như tất cả đều được bảo vệ bởi hệ thống Chip và PIN) đều bị đánh cắp.
• Equifax (Tháng 7 năm 2017) – Nhà cung cấp giải pháp thông tin: Sự cố về an ninh mạng này đã làm ảnh hưởng đến 143 triệu người tiêu dùng tại Mỹ. Vụ việc được phát hiện lần đầu tiên vào ngày 29 tháng 7. Toàn bộ thông tin về tên, số an sinh xã hội, ngày sinh và địa chỉ của gần nửa một dân số Hoa Kỳ bị tiết lộ. Với khoản đầu tư vào 23 quốc gia khác nhau trên toàn thế giới, khoảng 400.000 khách hàng ở Vương Quốc Anh cũng bị ảnh hưởng. Kết quả cuối cùng cho thấy tổng cộng 145,5 triệu hồ sơ đã bị đánh cắp.
• Ashley Madison (Tháng 7 năm 2015) – Website Truyền thông xã hội: Tin tặc đã đánh cắp và bán phá giá 10Gb dữ liệu trên các thị trường chợ đen. Thông tin bị đánh cắp bao gồm các chi tiết tài khoản và thông tin nhận dạng cá nhân (PII) của khoảng 32 triệu người dùng, cũng như các giao dịch thẻ tín dụng.
• Target (Tháng 1 năm 2014) – Nhà bán lẻ: Tội phạm mạng đã xâm nhập vào kết nối mạng của nhà cung cấp và lây nhiễm mã độc cho toàn bộ máy PoS. Chúng có thể đã đánh cắp gần 40 triệu thông tin thẻ tín dụng và thẻ ghi nợ để sử dụng. Thông tin bị đánh cắp bao gồm mã PIN, tên và thông tin ngân hàng.

Lĩnh vực Y tế và Chăm sóc Sức khỏe

• SingHealth (Tháng 7 năm 2018) – Nhà cung cấp dịch vụ y tế và chăm sóc sức khỏe: Dữ liệu cá nhân không chính thức của 1,5 triệu bệnh nhân bị xâm nhập và đánh cắp theo báo cáo ghi lại. Thông tin bao gồm số nhận dạng, địa chỉ, quốc tịch và ngày sinh của bệnh nhân. Dữ liệu bị đánh cắp cũng bao gồm thông tin ngoại trú của hơn 160.000 bệnh nhân.
• Sở Y tế Hồng Kông (Tháng 7 năm 2018) – Cơ quan Chính Phủ Hồng Kông: Ngay cả cơ quan Chính phủ cũng không thoát khỏi bản tay của tin tặc. Bằng việc sử dụng mã độc, tin tặc đã khiến các hệ thống của Sở Y tế Hồng Lông tê liệt trong 2 tuần bắt đầu từ ngày 15 tháng 7.
• Anthem (Tháng 5 năm 2015) – Nhà cung cấp dịch vụ Y tế và Chăm sóc sức khỏe: Một cuộc tấn công bắt đầu từ tháng 4 năm 2014 đã được tin tặc thực hiện, dẫn đến việc hơn 80 triệu hồ sơ của khách hàng bị đánh cắp. Dữ liệu mà tin tặc đã trích xuất bao gồm tên, ngày sinh, ID xã hội, địa chỉ email và thông tin tuyển dụng.

Chính phủ và Quân Đội

• Nhà thầu Quân sự Vương quốc Anh (Tháng 5 năm 2017): Tin tặc đã tấn công và đánh cắp dữ liệu bí mật từ một nhà thầu quân sự qua hệ thống mạng bằng cách sử dụng một backdoor được xác định là RoyalDNS.
• US OPM (Tháng 4 năm 2015) – Cơ quan Quân đội Mỹ: Tin tặc đã đánh cắp hơn 18 triệu hồ sơ nhân viên liên bang, bao gồm số An sinh xã hội, báo cáo công việc và chi tiết quá trình đào tạo nhân sự.

Lĩnh vực Ngân hàng, Tín dụng và Tài chính

• Deloitte (Tháng 10 và Tháng 11 năm 2016) – Công ty kiểm toán Công: Tin tặc đã thực hiện cuộc tấn công cực kì tinh vi, nhắm mục tiêu vào email và bí mật của khách hàng blue-chip. Cuộc tấn công này được phát hiện vào tháng 3 năm 2017, nhưng qua các báo cáo, có thể tin tặc đã bắt đầu thực hiện chiến dịch này vào tháng 10 hoặc tháng 11 năm 2016.
• JP Morgan & Chase (Tháng 10 năm 2014) – Nhà cung cấp dịch vụ tín dụng: Ước tính dữ liệu của 76 triệu hộ gia đình và 7 triệu doanh nghiệp đã bị đánh cắp. Thông tin bao gồm tên, địa chỉ, số điện thoại, email và các thông tin bí mật khác.

Lĩnh vực Giáo dục

• Đại học Maryland (Tháng 3 năm 2014) – Tổ chức giáo dục: Hồ sơ của hơn 300.000 sinh viên, giảng viên và nhân viên từ năm 1998 đã bị đánh cắp. Dữ liệu bao gồm tên, ngày sinh, số ID trường đại học và sổ an sinh xã hội.
• Đại học Greenwich (Năm 2004) – Tổ chức giáo dục: Trường đại học Greenwich đã phải nhận án phạt lên đến 120.000 bảng Anh vì việc tiết lộ dữ liệu cá nhân của sinh viên, bao gồm tên, địa chỉ, ngày tháng năm sinh, chữ ký và thậm chí là thông tin y tế, bắt đầu từ năm 2004.

Tin tặc tìm kiếm các dữ liệu này vì chúng có thể sử dụng để kiếm tiền dưới nhiều hình thức, ví dụ như dùng thẻ tín dụng để thanh toán hoặc thông tin cá nhân để lừa đảo, trộm cắp thông tin và tống tiền người dùng. Tin tặc cũng có thể bán thông tin dữ liệu với số tiền rất lớn tại các thị trường chợ đen. Dựa trên dữ liệu bị đánh cắp, Trend Micro liệt kê những dạng dữ liệu cụ thể có giá trị đối với tội phạm mạng, chúng bao gồm:

• Tên người dùng
• Ngày sinh
• Số an sinh xã hội
• Số ID
• Địa chỉ Email
• Địa chỉ cư trú của người dùng
• Số điện thoại
• Số tài khoản ngân hàng
• Thông tin gia đình
• Thông tin xác nhận quyền sở hữu

Người dùng cuối hầu như không bao giờ là mục tiêu của các tội phạm mạng, những kẻ tấn công đánh cắp thông tin nhạy cảm với số lượng lớn, trừ khi cá nhân đó có kết nối với ngành công nghiệp lớn.