Sự cố rò rỉ dữ liệu lớn nhất năm: Nguyên nhân và hậu quả

Mỗi năm đều có một vài sự cố rò rỉ dữ liệu được gọi là "lớn nhất năm", nhưng khi nhìn lại nguyên nhân, chúng hiếm khi đến từ kỹ thuật tấn công thần bí. Phần lớn bắt nguồn từ vài lỗi quen thuộc: tài khoản bị đánh cắp mật khẩu mà không có xác thực đa yếu tố, kho dữ liệu đám mây cấu hình sai, lỗ hổng chưa vá trên phần mềm lộ ra Internet, và rủi ro từ nhà cung cấp bên thứ ba. Hậu quả thì kéo dài nhiều năm: phạt theo luật bảo vệ dữ liệu, kiện tụng, mất khách hàng và làn sóng lừa đảo nhắm vào người bị lộ thông tin. Bài viết phân tích các nguyên nhân và hậu quả này theo cách áp dụng được cho mọi tổ chức.

Năm nguyên nhân lặp lại trong các vụ rò rỉ lớn

1. Thông tin đăng nhập bị đánh cắp

Mật khẩu của nhân viên hoặc tài khoản dịch vụ bị lộ qua mã độc đánh cắp thông tin, lừa đảo, hoặc dùng lại từ vụ rò rỉ khác. Khi hệ thống không yêu cầu xác thực đa yếu tố, kẻ tấn công chỉ việc đăng nhập. Năm 2024, hàng loạt khách hàng của một nền tảng kho dữ liệu đám mây lớn bị đánh cắp dữ liệu theo đúng kịch bản này: tài khoản không bật MFA, mật khẩu lấy từ máy bị nhiễm mã độc trước đó nhiều tháng.

2. Cấu hình sai trên đám mây

Kho lưu trữ đối tượng để chế độ công khai, cơ sở dữ liệu mở ra Internet không mật khẩu, bản sao lưu nằm ở nơi ai cũng tải được. Những lỗi này không cần "hack", chỉ cần công cụ quét. Biện pháp mã hóa và quản lý khóa trên đám mây được bàn trong bài mã hóa dữ liệu đám mây, nhưng mã hóa không cứu được dữ liệu nếu chính cấu hình truy cập cho phép mọi người đọc.

3. Lỗ hổng chưa vá trên hệ thống lộ ra Internet

Phần mềm truyền tệp, cổng VPN, ứng dụng web có lỗ hổng nghiêm trọng bị khai thác hàng loạt. Vụ khai thác phần mềm truyền tệp MOVEit năm 2023 cho thấy một lỗ hổng duy nhất có thể làm rò rỉ dữ liệu của hàng nghìn tổ chức trong thời gian ngắn.

4. Bên thứ ba và chuỗi cung ứng

Dữ liệu của bạn có thể bị lộ dù hệ thống của bạn không bị xâm nhập, vì nó nằm ở nhà cung cấp dịch vụ, đối tác xử lý dữ liệu, hoặc phần mềm bạn dùng bị cài cắm. Phân tích chi tiết có trong bài tấn công chuỗi cung ứng.

5. Con người bên trong

Nhân viên vô tình gửi nhầm tệp, chia sẻ liên kết công khai, hoặc cố ý mang dữ liệu đi khi nghỉ việc. Quyền truy cập quá rộng làm hậu quả lớn hơn.

Bảng tổng hợp nguyên nhân và biện pháp

Hậu quả của một vụ rò rỉ lớn

Với tổ chức

• Pháp lý: GDPR tại châu Âu cho phép phạt tới 20 triệu euro hoặc 4% doanh thu toàn cầu, tùy mức nào cao hơn. Tại Việt Nam, khung pháp lý bảo vệ dữ liệu cá nhân đã được nâng từ Nghị định 13/2023/NĐ-CP lên Luật Bảo vệ dữ liệu cá nhân, với nghĩa vụ thông báo sự cố và chế tài xử phạt rõ ràng hơn.
• Chi phí ứng cứu: điều tra số, khôi phục hệ thống, tư vấn pháp lý, thông báo khách hàng, dịch vụ giám sát tín dụng cho người bị ảnh hưởng.
• Kiện tụng tập thể ở các thị trường cho phép.
• Uy tín và khách hàng: thiệt hại khó đo nhưng thường lớn nhất.
• Tống tiền: nhóm ransomware đe dọa công bố dữ liệu nếu không trả tiền.

Với người bị lộ dữ liệu

• Bị chiếm tài khoản nếu mật khẩu bị lộ và dùng lại ở nơi khác.
• Bị lừa đảo nhắm mục tiêu bằng chính thông tin cá nhân chính xác.
• Bị mạo danh để vay tiền, mở tài khoản, đăng ký dịch vụ.
• Rủi ro kéo dài vì dữ liệu tiếp tục lưu hành trên thị trường ngầm, như phân tích trong bài rủi ro từ Dark Web và Deep Web.

Đọc tin "rò rỉ dữ liệu lớn nhất" một cách tỉnh táo

Con số "hàng tỷ bản ghi" trong tiêu đề thường gây ấn tượng nhưng chưa nói lên mức độ nghiêm trọng. Hãy xem: dữ liệu gì bị lộ (mật khẩu dạng rõ khác xa với email đơn thuần), dữ liệu mới hay tổng hợp từ các vụ cũ, có xác minh độc lập chưa, tổ chức đã xác nhận chưa. Nhiều "vụ rò rỉ khổng lồ" thực chất là bộ sưu tập dữ liệu cũ được gộp lại.

Bài học cho doanh nghiệp

1. Bắt buộc MFA cho mọi tài khoản truy cập dữ liệu, kể cả tài khoản dịch vụ và quản trị nền tảng đám mây.
2. Thu thập và lưu giữ ít dữ liệu nhất có thể; dữ liệu không có thì không bị lộ.
3. Kiểm kê nơi chứa dữ liệu nhạy cảm, kể cả bản sao trong môi trường thử nghiệm.
4. Giám sát lưu lượng dữ liệu đi ra và truy vấn bất thường.
5. Chuẩn bị sẵn kế hoạch thông báo sự cố đáp ứng thời hạn pháp lý.

Danh sách biện pháp kỹ thuật và tổ chức để ngăn dữ liệu thất thoát được trình bày chi tiết trong bài ngăn ngừa rò rỉ dữ liệu trong doanh nghiệp. Với cá nhân, việc đầu tiên nên làm là kiểm tra tài khoản trong các cơ sở dữ liệu bị lộ.