Tin tặc tấn công hệ thống làm lạnh châu Âu: Ai đứng sau và mục tiêu tiếp theo có thể là gì?

Người dân mua sắm tại siêu thị ở Paris, Pháp. Ảnh: THX/TTXVN

Euronews cho biết các nhà nghiên cứu an ninh mạng phát hiện hoạt động thăm dò nhằm vào hệ thống làm lạnh kết nối Internet trên khắp châu Âu trước khi hàng loạt cuộc tấn công và sự cố mạng gây gián đoạn hoạt động của các siêu thị và ngân hàng máu. Những dấu hiệu thu thập được cho thấy đây có thể là một chiến dịch được phối hợp có tổ chức.

Trong hai ngày 2 và 3/11, hệ thống làm lạnh tại các siêu thị thuộc chín quốc gia châu Âu và một số ngân hàng máu tại Pháp bị tấn công. Tin tặc khai thác lỗ hổng trong hệ thống quản lý thiết bị làm lạnh AK-SM của Danfoss, chuyển tủ lạnh và tủ đông sang chế độ rã đông, thậm chí tăng nhiệt độ lên 50 độ C. Nhiều cửa hàng phải tiêu hủy thực phẩm hư hỏng.

Theo công ty an ninh mạng Lupovis, các cuộc tấn công có thể liên quan đến một chiến dịch được chuẩn bị trước, với hoạt động trinh sát kéo dài nhiều ngày. Trong khoảng 10 ngày, công ty ghi nhận hơn 276 lượt tấn công thử từ 91 tác nhân đe dọa khác nhau nhằm vào các thành phần của bộ điều khiển Danfoss. Hoạt động đạt đỉnh ngày 26/10 và chấm dứt vào cuối tháng.

Giám đốc điều hành Lupovis Xavier Bellekens nói với Euronews Next rằng từ ngày 20 đến 30/10, công ty chứng kiến sự gia tăng đột biến các hoạt động thử mật khẩu mặc định và khai thác lỗ hổng bảo mật.

Những dấu hiệu này được phát hiện thông qua hệ thống "honeypot" (bẫy tin tặc) của Lupovis. Hệ thống mô phỏng các thiết bị và công nghệ trực tuyến, cho phép công ty theo dõi cách tin tặc tìm kiếm, truy cập và khai thác mục tiêu mà không gây nguy hiểm cho hạ tầng thực tế của khách hàng.

Ông Bellekens ví hoạt động trinh sát này giống như những tên trộm lái xe quanh khu phố để xác định các ngôi nhà dự định đột nhập.

Ai đứng sau các cuộc tấn công?

Lần theo dấu vết kỹ thuật số, Lupovis phát hiện tin tặc sử dụng dịch vụ lưu trữ máy chủ "bulletproof hosting", vốn được thiết kế để chống lại các yêu cầu gỡ bỏ nội dung và sự can thiệp của cơ quan thực thi pháp luật.

Theo ông Bellekens, khác với những nhà cung cấp như Amazon Web Services có thể nhanh chóng chấm dứt tài khoản thực hiện hành vi độc hại, dịch vụ bulletproof hosting cho phép các hoạt động này tiếp diễn trên những máy chủ nằm ngoài phạm vi tài phán.

Lupovis nhận thấy một số dịch vụ lưu trữ được sử dụng trong chiến dịch từng có liên hệ với các nhóm tin tặc Nga. Tuy nhiên, công ty nhấn mạnh vị trí đặt máy chủ không chứng minh quốc tịch hoặc danh tính của người sử dụng, vì vậy chưa thể khẳng định Nga đứng sau.

Một dấu hiệu khác là hoạt động thăm dò chỉ được các cảm biến của Lupovis tại châu Âu ghi nhận, trong khi cảm biến tại Nam Mỹ, châu Phi, Bắc Mỹ và châu Á không phát hiện hoạt động tương tự.

Theo ông Bellekens, phần lớn các cuộc tấn công diễn ra trong vòng 24 giờ, cho thấy khả năng phối hợp đáng kể. Ông nhận định đây khó có thể là hành động của một tin tặc nghiệp dư hoặc cá nhân đơn lẻ, mà có vẻ là chiến dịch được lên kế hoạch kỹ lưỡng, phù hợp với đặc điểm của một tác nhân nhà nước nhưng danh tính và động cơ thực sự của những kẻ tấn công vẫn chưa được xác định.

Ông George Nott, biên tập viên công nghệ của The Grocer, cũng cảnh báo không nên vội vàng quy trách nhiệm. Theo ông, khi không có yêu cầu tiền chuộc hoặc tuyên bố nhận trách nhiệm, thủ phạm có thể là một nhóm được nhà nước bảo trợ hoặc những cá nhân thực hiện hành vi chỉ để mua vui.

Các cơ quan an ninh mạng châu Âu cũng chưa thống nhất cách phân loại sự việc. Bỉ, Luxembourg, Italy, Bồ Đào Nha và Estonia gọi đây là các cuộc tấn công mạng, trong khi Thụy Điển và Ireland sử dụng thuật ngữ sự cố mạng. Cơ quan An ninh mạng Liên minh châu Âu (ENISA) chưa chính thức xác định những sự việc này là các cuộc tấn công mạng.

Tin tặc xâm nhập hệ thống làm lạnh bằng cách nào?

Theo ông Bellekens, tin tặc có thể truy cập hệ thống làm lạnh vì các bộ điều khiển được kết nối trực tiếp với Internet để phục vụ quản lý từ xa.

Dù điều khiển thiết bị từ xa ngày càng phổ biến, nhiều hệ thống có thể được bảo vệ tốt hơn nếu đặt sau mạng riêng ảo (VPN), thay vì để lộ trực tiếp trên Internet.

Đáng chú ý, một số thiết bị được cho là vẫn sử dụng thông tin đăng nhập mặc định của nhà sản xuất, chẳng hạn tên người dùng "Supervisor" và mật khẩu "12345". Điều này cho thấy những biện pháp bảo mật cơ bản chưa được thực hiện đầy đủ.

Ông Nott nhận định tin tặc không cần sử dụng kỹ thuật đặc biệt tiên tiến. Chúng chỉ cần tìm kiếm trang đăng nhập công khai, khai thác các lỗ hổng đã có bản vá và sử dụng mật khẩu yếu.

Theo ông, ngành bán lẻ thường ưu tiên bảo vệ hệ thống thanh toán và dữ liệu khách hàng, trong khi an ninh của các thiết bị kết nối mạng phục vụ vận hành có thể bị xem nhẹ.

Sau khi chiếm quyền truy cập, tin tặc có thể điều chỉnh bộ điều khiển làm lạnh, kích hoạt chế độ rã đông và tăng nhiệt độ, khiến thực phẩm bảo quản trong tủ lạnh và tủ đông bị hư hỏng.

Những hạ tầng nào có thể trở thành mục tiêu tiếp theo?

Các cuộc tấn công làm dấy lên lo ngại về mức độ an toàn của nhiều thiết bị kết nối Internet khác.

Ông Nott cảnh báo rằng các hệ thống sưởi, thông gió, điều hòa không khí, nhãn giá điện tử và robot vệ sinh trong siêu thị đều có thể tồn tại những lỗ hổng tương tự nếu truy cập từ xa không được bảo vệ và phần mềm không được cập nhật.

Nguy cơ cũng không giới hạn trong ngành bán lẻ.

Ông Kumar Sokka, Giám đốc điều hành Acre Security, cho rằng tủ đông chỉ là một ví dụ dễ nhận thấy trong nhóm thiết bị kết nối mạng rộng lớn hơn. Những bộ điều khiển tương tự còn được sử dụng để vận hành cửa ra vào, hệ thống kiểm soát truy cập, camera, báo động, chiếu sáng, sưởi ấm và thông gió trong các tòa nhà hiện đại.

Theo ông, các điểm yếu tương tự có thể ảnh hưởng đến logistics, kho bãi, y tế, sản xuất và trung tâm dữ liệu, đặc biệt tại những nơi thiết bị kết nối mạng được triển khai mà thiếu giám sát đầy đủ.

Trong văn phòng, bệnh viện hoặc trung tâm dữ liệu, một vụ xâm nhập có thể khiến cửa tự mở, camera ngừng hoạt động hoặc hệ thống báo động không phát tín hiệu. Khác với thực phẩm hư hỏng trong siêu thị, những hậu quả này có thể không tạo ra dấu hiệu cảnh báo dễ nhận biết.

Ông Sokka nhấn mạnh nguy cơ đặc biệt nghiêm trọng khi một cuộc xâm nhập kỹ thuật số có thể lập tức gây hậu quả trong thế giới vật lý.

Vì sao các hệ thống vẫn dễ bị tấn công?

Mặc dù châu Âu đã có quy định về an ninh mạng, nhiều tổ chức vẫn chưa coi hệ thống vật lý kết nối Internet là một phần trong trách nhiệm bảo đảm an ninh tổng thể.

Chỉ thị NIS2 của Liên minh châu Âu (EU) yêu cầu các tổ chức thuộc phạm vi điều chỉnh quản lý rủi ro đối với hệ thống mạng và thông tin, bao gồm bảo mật, quản lý tài sản và xử lý sự cố.

Tuy nhiên, theo ông Sokka, nhiều tổ chức vẫn tập trung tuân thủ quy định đối với hệ thống công nghệ thông tin truyền thống như máy chủ, máy tính và email. Trong khi đó, hệ thống làm lạnh, kiểm soát ra vào và vận hành tòa nhà thường được giao cho bộ phận quản lý cơ sở vật chất, coi đây là vấn đề bảo trì thay vì an ninh.

Ông cho rằng vấn đề không nhất thiết nằm ở việc thiếu quy định, mà ở chỗ các yêu cầu hiện hành chưa được áp dụng đầy đủ đối với hạ tầng vật lý có kết nối mạng.

Theo ông Sokka, cần coi những hệ thống này là một phần của phạm vi có nguy cơ bị tấn công mà các quy định hiện hành yêu cầu bảo vệ, đồng thời xác định rõ bộ phận hoặc cá nhân chịu trách nhiệm quản lý.

AI có thể khiến các cuộc tấn công dễ dàng hơn?

Các chuyên gia cảnh báo rằng những tiến bộ của trí tuệ nhân tạo (AI) có thể giúp tin tặc phát hiện điểm yếu trong thiết bị kết nối mạng nhanh hơn và đẩy nhanh quá trình phát triển phương thức tấn công.

Ông Gianni Cuozzo, nhà sáng lập kiêm Giám đốc điều hành công ty an ninh mạng Exein của Italy, nhận định AI đang rút ngắn khoảng thời gian từ khi phát hiện lỗ hổng đến khi biến nó thành một phương thức tấn công có thể hoạt động.

Theo ông, các nhà sản xuất có thể gặp khó khăn trong việc phát triển, kiểm thử và triển khai bản vá với tốc độ tương ứng.

Những hệ thống khiến ông lo ngại nhất là thiết bị kết nối mạng được sử dụng trong nhiều năm và có khả năng điều khiển từ xa, bao gồm hệ thống làm lạnh, điều khiển tòa nhà, thiết bị công nghiệp, hệ thống y tế, trung tâm dữ liệu và một số bộ phận của hạ tầng năng lượng, giao thông.

Ông Cuozzo cho rằng các tổ chức không nên chỉ dựa vào việc vá lỗ hổng hoặc bảo vệ mạng. Bản thân thiết bị kết nối cũng cần có khả năng nhận diện và ngăn chặn hành vi độc hại trong quá trình vận hành.

Theo ông, mỗi thiết bị cần chủ động ngăn chặn những hành vi nằm ngoài chức năng được thiết kế, bất kể đã được cập nhật bản vá hay chưa và lỗ hổng liên quan đã được phát hiện hay chưa.