Một lỗ hổng bảo mật đã được khắc phục trong cơ sở dữ liệu chứa hơn 125 triệu tin nhắn văn bản do các ngân hàng, công ty bảo hiểm, nhà bán lẻ và nhà cung cấp dịch vụ Latvia và Litva gửi cho khách hàng của họ. Nhà cung cấp dịch vụ đứng sau hệ thống này cho biết vấn đề đã được khắc phục. Sự việc này là một ví dụ rõ ràng về rủi ro rò rỉ dữ liệu từ nhà cung cấp SMS: các tin nhắn nhạy cảm thường nằm ở một nhà cung cấp mà khách hàng không hề lựa chọn và có thể không biết là có tồn tại.
Các thông tin được đưa ra cho đến nay còn ít ỏi, vì vậy bài viết này chỉ tập trung vào những gì đã được nêu và giải thích lý do tại sao điều đó lại quan trọng.
Những gì đã bị lộ trong cơ sở dữ liệu SMS vùng Baltic
Theo báo cáo, cơ sở dữ liệu bị ảnh hưởng chứa hơn 125 triệu tin nhắn văn bản. Đây là những tin nhắn doanh nghiệp gửi đến khách hàng của các ngân hàng, công ty bảo hiểm, nhà bán lẻ và nhà cung cấp dịch vụ Latvia và Litva. Nguồn tin mô tả vấn đề là một lỗ hổng đã được khắc phục, và tiêu đề bài viết gọi đây là một vụ rò rỉ dữ liệu có thể đã xảy ra.
Cách diễn đạt đó rất quan trọng. Một lỗ hổng nghĩa là đã tồn tại một điểm yếu. Bản thân nó không xác nhận rằng bất kỳ ai đã truy cập hoặc sao chép dữ liệu. Tài liệu nguồn mà chúng tôi có không cho biết điểm yếu này tồn tại bao lâu, ai có thể đã phát hiện ra nó, hoặc liệu có tin nhắn nào thực sự bị các bên trái phép xem hay không.
Tuy nhiên, loại nội dung mà một cơ sở dữ liệu như vậy thường chứa đáng để suy ngẫm. Các công ty thường sử dụng SMS cho mã dùng một lần, cảnh báo ngân hàng, cập nhật giao hàng và thông báo tài khoản. Những tin nhắn như vậy có thể tiết lộ một người đang ngân hàng ở đâu, họ đã mua gì, một gói hàng đang được gửi đến đâu và họ sử dụng những dịch vụ nào. Ngay cả khi không có một mật khẩu nào, bối cảnh đó vẫn có giá trị đối với kẻ đang lên kế hoạch cho một vụ lừa đảo đáng tin cậy.
Tại sao nhà cung cấp dịch vụ nhắn tin bên thứ ba lại là một rủi ro ẩn
Hầu hết mọi người cho rằng ngân hàng hoặc nhà bán lẻ tự gửi tin nhắn của mình. Trên thực tế, nhiều tổ chức giao công việc đó cho một nhà cung cấp dịch vụ nhắn tin đứng giữa công ty và mạng di động. Khách hàng giao dịch với thương hiệu, nhưng nội dung tin nhắn lại đi qua — và có thể được lưu trữ bởi — một công ty riêng biệt.
Điều này tạo ra một vài vấn đề:
- Các mối quan hệ vô hình. Khách hàng hiếm khi biết nhà cung cấp nào xử lý dữ liệu của họ, nên họ không thể đánh giá được mức độ bảo mật của nhà cung cấp đó.
- Dữ liệu tập trung. Một nhà cung cấp có thể phục vụ nhiều khách hàng tại nhiều quốc gia. Một lỗ hổng duy nhất có thể ảnh hưởng đến tin nhắn từ ngân hàng, công ty bảo hiểm và cửa hàng cùng một lúc — đó là điều khiến một con số như 125 triệu tin nhắn trở nên khả thi.
- Câu hỏi về thời gian lưu trữ. Nhật ký tin nhắn có thể được giữ lại để khắc phục sự cố hoặc báo cáo. Chúng được lưu càng lâu thì càng có nhiều thứ để bị lộ.
Mô hình tương tự cũng xuất hiện trong các sự cố khác mà chúng tôi đã đề cập. Bài viết của chúng tôi về rủi ro bên thứ ba trong vụ vi phạm Trump Mobile cho thấy dữ liệu được lưu giữ bên ngoài bức tường của chính thương hiệu vẫn có thể trở thành vấn đề của thương hiệu đó. Vụ vi phạm dữ liệu Fakturownia cũng đưa ra một điểm tương tự về một nền tảng nắm giữ nhiều thứ hơn nhiều so với tên gọi của nó.
Việc khắc phục của nhà cung cấp xác nhận và không xác nhận điều gì
Tuyên bố của nhà cung cấp rằng vấn đề đã được khắc phục là tin tốt, nhưng nó chỉ trả lời một phần câu hỏi.
Những gì nó gợi ý: điểm yếu cụ thể không còn mở nữa, vì vậy con đường tấn công tương tự sẽ không còn khả dụng trong tương lai.
Những gì nó không xác nhận, dựa trên nguồn tin:
- Liệu có bất kỳ bên thứ ba nào đã truy cập tin nhắn trước khi khắc phục hay không.
- Liệu các tin nhắn bị lộ có chứa mã hoặc thông tin cá nhân vẫn còn có thể sử dụng được hay không.
- Liệu đã có một đánh giá độc lập nào xác minh việc sửa chữa hay chưa.
- Liệu các công ty bị ảnh hưởng có thông báo cho khách hàng của họ hay không.
Cho đến khi những điểm này được giải đáp công khai, thái độ hợp lý là không hoảng loạn cũng không chủ quan. Hãy coi việc khắc phục là một bước cần thiết, chứ không phải là một tín hiệu an toàn hoàn toàn. Các tổ chức đã sử dụng nhà cung cấp này là những bên phù hợp nhất để giải thích khách hàng nên làm gì, nếu có.
Điều này có ý nghĩa gì với bạn
Nếu bạn ngân hàng, mua bảo hiểm hoặc mua sắm với các công ty Latvia hoặc Litva, tin nhắn của bạn có thể đã đi qua một hệ thống như thế này. Ngay cả khi bạn ở nơi khác, bài học vẫn áp dụng: bất kỳ dịch vụ nào gửi tin nhắn cho bạn đều dựa vào một chuỗi các nhà cung cấp mà bạn không thể kiểm tra.
Rủi ro thực tế thường không phải là một vụ chiếm đoạt tài khoản đầy kịch tính từ một tin nhắn cũ. Đó là lừa đảo có chủ đích. Một kẻ lừa đảo biết bạn vừa nhận được thông báo giao hàng hoặc cảnh báo ngân hàng có thể viết một tin nhắn giả trông có vẻ xác thực, sử dụng thông tin thật để giành được sự tin tưởng của bạn. Các mã dùng một lần cũ hơn lẽ ra đã hết hạn, nhưng bản thân việc đăng nhập dựa trên SMS vẫn là mắt xích yếu, vì tin nhắn có thể bị chặn, chuyển tiếp hoặc lộ ở những nơi bạn không kiểm soát. Bản tổng kết bảo mật hàng tuần của chúng tôi cũng ghi nhận cách các thủ đoạn lừa đảo không ngừng tiến hóa, đây là lời nhắc nhở để luôn cảnh giác với những tin nhắn bất ngờ.
Cách bảo vệ bản thân khỏi lừa đảo qua SMS và rủi ro 2FA
Bạn không thể chọn nhà cung cấp dịch vụ nhắn tin cho ngân hàng của mình, nhưng bạn có thể giảm thiểu mức độ tổn thất mà một tin nhắn bị lộ có thể gây ra.
- Tránh xa mã SMS khi có thể. Sử dụng ứng dụng xác thực hoặc khóa bảo mật phần cứng để xác thực hai yếu tố. Những phương thức này không đi qua hệ thống nhắn tin văn bản.
- Chỉ giữ SMS như một phương án dự phòng. Nếu một dịch vụ buộc phải xác minh bằng tin nhắn, hãy bật nó, nhưng thêm các tùy chọn mạnh hơn ở bất cứ nơi nào dịch vụ cho phép.
- Không tin những tin nhắn đề cập đến hoạt động thực tế. Một tin nhắn đề cập đến một đơn hàng hoặc ngân hàng thực tế không chứng minh được đó là hàng thật. Đừng nhấp vào liên kết; hãy mở ứng dụng chính thức hoặc tự gõ địa chỉ.
- Không bao giờ chia sẻ mã. Không ngân hàng hay nhà bán lẻ hợp pháp nào sẽ yêu cầu bạn đọc to mã dùng một lần.
- Theo dõi tài khoản của bạn. Kiểm tra sao kê và cảnh báo đăng nhập để phát hiện bất kỳ điều gì lạ, và báo cáo hoạt động đáng ngờ cho ngân hàng của bạn một cách nhanh chóng.
- Hỏi nhà cung cấp của bạn. Nếu bạn muốn biết cách một công ty xử lý dữ liệu tin nhắn, hãy hỏi ai xử lý nó và nó được lưu giữ bao lâu.
Điểm mấu chốt
Việc khắc phục cơ sở dữ liệu vùng Baltic này là đáng hoan nghênh, nhưng nó để ngỏ câu hỏi liệu dữ liệu có từng bị truy cập hay không. Bài học rộng hơn về rủi ro rò rỉ dữ liệu từ nhà cung cấp SMS vẫn đúng bất kể điều gì: các thông báo nhạy cảm đi qua những nhà cung cấp mà bạn chưa bao giờ chọn, và bạn chỉ có thể kiểm soát phía mình. Hãy chuyển sang 2FA dựa trên ứng dụng hoặc phần cứng, luôn cảnh giác với bất kỳ tin nhắn nào đề cập đến hoạt động thực tế, và đọc thêm về cách các nhà cung cấp bên ngoài tạo ra rủi ro phơi nhiễm trong các bài viết của chúng tôi về vụ vi phạm Trump Mobile và sự cố Fakturownia.
