Hàng chục nghìn tường lửa Fortinet bị tin tặc chiếm quyền

Hàng chục nghìn tường lửa Fortinet cùng các cổng VPN của nhiều tập đoàn lớn trên khắp thế giới đã bị tin tặc chiếm quyền, theo cảnh báo mà hai công ty an ninh mạng Hudson Rock và SOCRadar công bố trong tuần này. Chiến dịch tấn công mang tên FortiBleed vẫn đang diễn ra và lan rộng từng ngày. Điều khiến giới bảo mật lo ngại nằm ở chỗ bọn tội phạm không khai thác bất kỳ lỗ hổng bí ẩn nào trong thiết bị, mà chỉ tận dụng một sơ hở rất cơ bản. Nhiều doanh nghiệp quên thay mật khẩu cho tường lửa, đồng thời để nguyên những thông tin đăng nhập đã bị tin tặc nắm trong tay từ trước.

Tin tặc dò mật khẩu cũ thay cho việc khai thác lỗ hổng

Cách thức tấn công trong chiến dịch này đơn giản hơn nhiều so với các vụ việc từng xảy ra. Trước tiên, tin tặc dùng công cụ tự động quét khắp Internet để tìm những tường lửa Fortinet và cổng VPN đang phơi mình công khai. Sau khi khoanh vùng được mục tiêu, chúng đăng nhập bằng các danh sách mật khẩu từng bị lộ trước đó. Một khi đã lọt vào bên trong, kẻ tấn công bắt đầu rút những dữ liệu nhạy cảm hơn từ hệ thống của nạn nhân.

SOCRadar mô tả cơ chế lây lan giống một cỗ máy tự nuôi sống chính nó. Hãng này viết rằng khi một thiết bị bị chiếm, tin tặc biến nó thành trạm nghe lén, theo dõi mọi luồng dữ liệu chạy qua và thu gom thêm thông tin đăng nhập trôi nổi bên trong. Những mật khẩu vừa nhặt được lại được nạp ngược vào máy quét để đánh chiếm thêm nhiều thiết bị khác. Theo lời SOCRadar, bản thân hệ thống tự nuôi dưỡng chính mình mà gần như không cần thêm bàn tay con người.

Đại diện Fortinet, bà Tiffany Curci, xác nhận với TechCrunch rằng công ty đã nắm được thông tin về một chiến dịch thu thập dữ liệu đăng nhập từ bên thứ ba nhắm vào tường lửa và cổng VPN của hãng. Phía Fortinet cho biết qua phân tích, số dữ liệu lần này thực chất là việc chia sẻ lại dữ liệu từ những vụ rò rỉ cũ, kết hợp với hành vi dò mật khẩu, và không liên quan tới bất kỳ sự cố hay cảnh báo mới nào của công ty.

Hơn 73.000 tường lửa bị chiếm quyền, loạt tập đoàn lớn lọt danh sách

Quy mô chiến dịch khiến giới chuyên môn giật mình khi nhìn vào con số. Hudson Rock nói họ tìm thấy bằng chứng cho thấy hơn 73.000 địa chỉ tường lửa Fortinet riêng biệt đã bị xâm nhập. SOCRadar đưa ra con số dè dặt hơn với hơn 30.000 thiết bị bị chiếm quyền. Dù chênh lệch, cả hai con số đều phản ánh một mặt trận rộng lớn trải khắp nhiều châu lục.

Theo Hudson Rock, danh sách nạn nhân có tên hàng loạt thương hiệu quen thuộc gồm Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens và PwC. Một người phát ngôn của Lenovo xác nhận đã nhận được đề nghị bình luận từ TechCrunch nhưng sau đó không hồi đáp. Các công ty còn lại đều giữ im lặng trước câu hỏi của báo chí.

Xét theo quốc gia, hai hãng bảo mật cùng chỉ ra Ấn Độ, Mỹ, Đài Loan và Mexico chịu nhiều thiệt hại nhất. Dù vậy, cả hai khẳng định nạn nhân xuất hiện ở khắp nơi trên thế giới. Hudson Rock cho biết các ngành dính đòn nặng nhất gồm dịch vụ công nghệ thông tin, vật liệu xây dựng và viễn thông. SOCRadar bổ sung rằng nhiều cơ quan chính phủ cũng nằm trong số mục tiêu, đồng thời nhận định nhóm đứng sau chiến dịch nhiều khả năng nói tiếng Nga.

Toàn bộ phát hiện của hai hãng dựa trên một danh sách thông tin đăng nhập của các thiết bị Fortinet cùng những công ty liên quan. Nhà nghiên cứu bảo mật Bob Diachenko là người đầu tiên lên tiếng về chiến dịch này hồi cuối tuần qua. Chuyên gia an ninh mạng độc lập Kevin Beaumont sau đó phân tích kho dữ liệu và xác nhận trong một bài viết hôm thứ Tư rằng dữ liệu là thật.

Bài học cũ về mật khẩu vẫn chưa ai chịu thuộc

Nhìn lại vài năm qua, các thiết bị Fortinet từng nhiều lần trở thành đích ngắm của tin tặc. Những chiến dịch trước thường khai thác lỗ hổng kỹ thuật nằm sâu trong sản phẩm. Lần này, kẻ tấn công đi theo lối mòn đơn giản hơn hẳn khi chỉ dựa vào mật khẩu bị rò rỉ. Chính sự giản đơn ấy lại cho thấy một thực tế đáng suy nghĩ về thói quen bảo mật của doanh nghiệp.

Một bức tường lửa dù hiện đại đến đâu cũng hóa vô nghĩa nếu cánh cửa vào nhà vẫn dùng chiếc chìa khóa cũ đã lọt ra ngoài. Tường lửa Fortinet trong vụ việc này không gục ngã vì công nghệ yếu kém, mà vì con người ngại thay mật khẩu. Bài học về việc đổi mật khẩu định kỳ và rà soát thông tin đăng nhập đã được nhắc đi nhắc lại suốt nhiều năm. Vậy mà hàng chục nghìn thiết bị vẫn dính đòn chỉ vì một thao tác cơ bản bị bỏ quên.

Câu chuyện FortiBleed vì thế vượt khỏi phạm vi của riêng Fortinet hay vài tập đoàn lớn. Nó đặt ra câu hỏi cho mọi tổ chức đang vận hành hệ thống kết nối Internet mỗi ngày. Đổi mật khẩu thường xuyên, kiểm tra xem thông tin đăng nhập có nằm trong các kho dữ liệu rò rỉ hay chưa, đó là việc nằm trong tầm tay của bất kỳ ai. Phòng bệnh hơn chữa bệnh, và trong an ninh mạng, câu nói ấy càng đúng hơn bao giờ hết.