Khi tin tặc mũ trắng hành động

Khi Charles Dardaman, một tin tặc yêu thích trò chơi điện tử chừng 20 tuổi sống ở Dallas (Mỹ) và bạn Jason Wheeler, một chuyên gia an ninh thông tin, mở mạng máy tính, họ phát hiện ra mật khẩu của quản trị viên trên thẻ nhớ.

Những mạng máy tính thông minh như mạng do công ty công nghệ Zipato thiết lập kiểm soát nhiều thiết bị từ khóa cho tới máy điều nhiệt và hệ thống an ninh. Có quyền tiếp cận của quản trị viên vào mạng máy tính này cũng giống như có chìa khóa chủ của một ngôi nhà dùng công nghệ của Zipato.

Các tin tặc mũ trắng không bao giờ thực hiện hành vi xâm nhập bất hợp pháp

Dardaman và Wheeler ngay lập tức báo cho Zipato về lỗ hổng trên. Họ là những tin tặc có đạo đức, tức là những người làm nghề đột nhập vào các hệ thống để kiếm sống nhằm làm cho công nghệ an toàn hơn. Những tin tặc mũ trắng này khác tin tặc tội phạm mũ đen ở chỗ họ sẽ không làm gì phi pháp. Nhiều người làm việc cho các tập đoàn, cơ quan chính phủ, nhưng cũng có người làm việc ở nhà và đột nhập các mạng lưới chỉ để cho vui.

Không phải mọi hành vi xâm nhập của tin tặc mũ trắng đều được ủy quyền. Ví dụ như Dardaman và Wheeler, ban ngày, họ xâm nhập vào hệ thống mạng các công ty đề nghị họ thực hiện để kiểm tra tính dễ bị tổn thương. Còn ban đêm và cuối tuần, họ theo đuổi những “dự án bên lề” không chính thức. Một trong những thí nghiệm cuối tuần của họ là xâm nhập công ty Zipato như kể trên.

Những hành động của tin tặc mũ trắng có tác động thực sự tới an toàn của mọi người.

Năm 2015, các tin tặc công bố có thể cướp quyền điều khiển từ xa một chiếc xe Jeep trong khi có người đang lái nó. Sự việc này khiến hãng Chrysler phải triệu hồi 1,4 triệu xe. Các tin tặc thuộc nhóm mũ trắng Anonymous Calgary Hivemind đã xâm nhập máy quay an ninh của công ty Nest để đặt lại mật khẩu và khuyến khích người dùng áp dụng hình thức xác thực hai yếu tố để ngăn chặn hành vi xâm nhập.

Đầu năm nay, các tin tặc mũ trắng đã tiết lộ rằng những điểm dễ bị tổn thương về mặt an ninh trong thiết bị cấy tim của Medtronic có thể cho phép một người cách bệnh nhân khoảng 5m cũng có thể thay đổi thiết lập thiết bị cấy ghép của bệnh nhân đó. Cục Quản lý Thực phẩm và Dược phẩm đang phối hợp với Medtronic để vá lỗi sau khi các tin tặc mũ trắng thông báo.

Những tin tặc này biết rằng phần lớn mọi người thường nghĩ họ là tội phạm. Một tin tặc đề nghị giấu tên nói: “Mọi người thường nghĩ tin tặc máy tính là những người mặc áo trùm đầu đáng sợ. Nhưng vì sao thợ khóa không bao giờ bị hỏi tại sao không đi ăn trộm như chúng tôi?”

Dù có ý tốt nhưng một số công ty hoan nghênh đóng góp của tin tặc mũ trắng, số khác lại xem tin tặc là kẻ thù và khó phân biệt tin tặc mũ trắng và tội phạm mạng.

Vào kỳ nghỉ hè trước khi học đại học, Dardaman đã bắt đầu viết mã gian lận (cheat code) cho trò chơi điện tử Minecraft và yêu thích sự hóc búa của quá trình xâm nhập hợp pháp. Khi tốt nghiệp đại học với tấm bằng công nghệ thông tin, Dardaman biết mình sẽ là một tin tặc mũ trắng.

Hiện nay, Dardaman làm việc tại Critical Start, một công ty kết nối tin tặc mũ trắng ký hợp đồng với ngân hàng, tập đoàn lớn. Công ty này là một phần trong ngành bảo mật thông tin ngày càng phát triển nhằm ngăn chặn làn sóng tấn công mạng gia tăng.

Lĩnh vực này bắt đầu phát triển vào đầu những năm 2000 trong bối cảnh rò rỉ dữ liệu tràn lan và sự xuất hiện của mạng xã hội cũng như xu hướng bán lẻ trực tuyến. Trong những ngày đó, việc mọi người chuyển từ xâm nhập có tính chất tội phạm sang làm tin tặc mũ trắng sau khi bị chính quyền bắt là điều bình thường. Những người như Dardaman có thể học khóa học xâm nhập hợp pháp ở trường và nhận chứng chỉ an ninh mạng trực tuyến.

Hợp đồng của Dardaman từ một tới hai tuần. Công ty thuê Dardaman sẽ không nói với nhóm an ninh mạng về sự có mặt của anh, cho phép anh đi lại thầm lặng quanh các mạng lưới, quan sát mọi thứ và tìm cách xâm nhập sâu hơn vào hệ thống.

Dardaman cho biết mục tiêu của anh là chiếm quyền tiếp cận miền vào máy chủ công ty để kích hoạt cảnh báo với nhóm an ninh. Anh nói: “Nếu họ không thể phát hiện ra tôi vào cuối tuần, họ cần phải đánh giá lại các công cụ an ninh”.

Trong thời gian rảnh, Dardaman xâm nhập công nghệ ngôi nhà thông minh, nơi mà các thiết bị có thể được kích hoạt bằng giọng nói hoặc bằng điều khiển từ xa thông qua cảm biến hoặc kết nối internet. Anh cho rằng mọi người thường không hiểu đầy đủ về các rủi ro an ninh của công nghệ này.

Ông Phillip Wylie, giáo sư về xâm nhập hợp pháp tại Đại học Richland, nói: “Cách tốt nhất để bảo vệ hệ thống của mình là kiểm tra hệ thống với tư cách là kẻ thù. Đây là cách mà tội phạm mạng và tin tặc sẽ thử để đột nhập hệ thống”.

Không phải tin tặc nào cũng phơi bày những rủi ro an ninh. Jane Manchun Wong, nhà khoa học máy tính 23 tuổi ở Hong Kong, lại dành thời gian rảnh theo cách khác. Cô nói: “Thứ tôi tìm là thông tin công cộng. Thông tin này ẩn trong điện thoại mọi người”.

Hồi tháng 4, cô là người tiết lộ Instagram đang tìm cách giấu con số đếm lượt “like” của từng bức ảnh với một số người dùng. Khi bị Wong tiết lộ thông tin, Instagram nói họ không làm điều đó nhưng về sau thừa nhận đang thử nghiệm ẩn lượt like với một số người dùng ở 7 nước. Thông tin của Wong gây chấn động nhưng cô cũng biết rằng các công ty không thích những gì cô đang làm.

Dù vậy, mục đích chung của Wong cũng tương tự các tin tặc mũ trắng. Khi cô tìm ra dữ liệu người dùng bị rò rỉ, cô báo cáo với công ty để sửa lỗ hổng. Cô cũng làm việc này vì thú vui ham thích tìm tòi những thứ hóc búa.

Các tin tặc mũ trắng họ sẽ thông báo riêng cho tổ chức đó và cho họ 90 ngày để vá lỗi an ninh – tiêu chuẩn mà Google đặt ra trong Dự án Zero. Nếu sau thời đó mà họ không vá lỗi, tin tặc mũ trắng sẽ tung báo cáo về lỗ hổng an ninh.

Thùy Dương