Binance đã công bố chi tiết về cách sàn giao dịch tiền mã hóa của mình bị xâm phạm trong một vụ trộm trị giá 6,3 tỷ USD. Theo The Guardian, công ty cho biết những kẻ tấn công đã sử dụng mã độc và các buổi phỏng vấn xin việc giả mạo, và chiến dịch này bắt đầu từ tháng Sáu. Câu chuyện về vụ hack Binance với các buổi phỏng vấn xin việc giả mạo phát tán mã độc là một nghiên cứu điển hình hữu ích vì nó chỉ ra rằng vấn đề không nằm ở những kỹ thuật khai thác lỗ hổng tinh vi, mà ở một điều gì đó bình thường hơn nhiều: một người bị thuyết phục để tương tác với những kẻ không đáng tin.

Các thông tin công khai cho đến nay còn ngắn gọn, và chúng tôi sẽ chỉ đề cập đến những gì đã được nêu. Ở những chỗ chúng tôi đi xa hơn, chúng tôi sẽ nói rõ, và trình bày đó như hướng dẫn chung chứ không phải là khẳng định về cách Binance bị xâm phạm.

Vụ xâm phạm Binance đã diễn ra như thế nào

Những sự kiện chính từ báo cáo khá rõ ràng. Binance đã tiết lộ cách sàn giao dịch của mình bị xâm phạm, và công ty cho biết chiến dịch bắt đầu từ tháng Sáu. Con số gắn với sự cố là 6,3 tỷ USD, điều này sẽ khiến nó trở thành một vụ trộm đặc biệt lớn ngay cả theo tiêu chuẩn của một ngành đã quen với những con số lớn.

Mốc thời gian rất quan trọng. Một chiến dịch bắt đầu từ tháng Sáu và chỉ được giải thích công khai vào đầu tháng Mười Một cho thấy đây là một chiến dịch diễn ra theo thời gian chứ không phải một vụ đập phá và cướp giật đơn lẻ. Điều này phù hợp với một mô thức mà các đội ngũ bảo mật đã quen thuộc: kẻ tấn công thiết lập chỗ đứng, tìm hiểu môi trường, và hành động khi chúng đã ở vị trí gây thiệt hại lớn nhất. Chúng tôi không có thêm chi tiết kỹ thuật từ nguồn tin, nên sẽ không suy đoán về các giai đoạn hay công cụ cụ thể.

Vụ hack Binance: cách các buổi phỏng vấn xin việc giả mạo phát tán mã độc

Yếu tố gây ấn tượng nhất là phương thức phát tán. Binance cho biết những kẻ tấn công đã sử dụng các buổi phỏng vấn xin việc giả mạo cùng với mã độc. Nói chung, kiểu mồi nhử này hiệu quả vì nó có vẻ bình thường. Các chuyên gia đã quen với việc nhà tuyển dụng liên hệ, với các cuộc gọi video với người lạ, và với việc được yêu cầu hoàn thành các bài đánh giá hoặc mở tệp như một phần của quy trình tuyển dụng.

Chính sự bình thường đó là thứ mà kẻ tấn công khai thác. Một buổi phỏng vấn giả mạo cho chúng một lý do đáng tin để liên hệ với ai đó, một lý do để xây dựng mối quan hệ, và một lý do để yêu cầu mục tiêu tải xuống hoặc chạy một thứ gì đó. Yêu cầu này không trông giống như một cuộc tấn công vì nó đến được bao bọc trong các bước thông thường của việc ứng tuyển xin việc.

Nguồn tin không cho biết ai là mục tiêu, mã độc đã làm gì, hay bước nào trong quy trình giả mạo đã kích hoạt nhiễm bệnh. Đó là những câu hỏi còn bỏ ngỏ, và độc giả nên thận trọng với bất kỳ tuyên bố nào vượt ra ngoài báo cáo của chính Binance cho đến khi có thêm chi tiết được công bố.

Tại sao kỹ thuật xã hội vẫn luôn đánh bại các biện pháp phòng thủ kỹ thuật

Các sàn giao dịch lớn chi rất nhiều cho bảo mật, nhưng điểm yếu nhất thường là một con người đưa ra một quyết định có vẻ hợp lý. Các biện pháp kiểm soát kỹ thuật có thể chặn các tệp độc hại đã biết và đánh dấu lưu lượng mạng bất thường, nhưng chúng khó xử lý hơn với một người sẵn lòng mở một thứ gì đó vì họ tin rằng đó là một phần của quy trình hợp pháp.

Kỹ thuật xã hội cũng dễ mở rộng quy mô đối với kẻ tấn công. Một nhân vật nhà tuyển dụng đáng tin cậy tốn rất ít chi phí để xây dựng, và nó có thể nhắm vào nhân viên của hầu như bất kỳ tổ chức nào. Một khi mã độc xâm nhập vào một máy trạm, kẻ tấn công có thể có được con đường dẫn đến những hệ thống có giá trị hơn.

Điều này không chỉ riêng trong lĩnh vực tiền mã hóa. Các cuộc tấn công khai thác lòng tin vào một kênh quen thuộc xuất hiện khắp ngành. Trong trường hợp của một gói crate Rust bị đầu độc để đánh cắp thông tin xác thực, điểm xâm nhập là một tài khoản người bảo trì bị xâm phạm, một ví dụ khác về việc kẻ tấn công nhắm vào con người và các tài khoản mà hệ thống phụ thuộc vào, chứ không chỉ nhắm vào bản thân hệ thống.

Cách bảo vệ bản thân khỏi mã độc từ nhà tuyển dụng giả mạo

Bạn không cần phải làm việc tại một sàn giao dịch lớn để gặp kiểu mồi nhử này. Bất kỳ ai có hồ sơ nghề nghiệp công khai đều có thể nhận được nó. Những thói quen chung sau đây giúp giảm rủi ro:

  • Xác minh nhà tuyển dụng một cách độc lập. Tra cứu trang tuyển dụng chính thức của công ty và liên hệ với công ty thông qua các kênh bạn tự tìm được, không phải qua các liên kết trong tin nhắn.
  • Coi các yêu cầu chạy mã là dấu hiệu cảnh báo. Đặc biệt thận trọng nếu quy trình tuyển dụng yêu cầu bạn chạy một script, cài đặt một công cụ, hoặc mở một tệp không quen thuộc như một "bài kiểm tra" hoặc "bài đánh giá.
  • Sử dụng một thiết bị riêng. Nếu bạn buộc phải mở tệp từ một bên không rõ nguồn gốc, hãy làm điều đó trên một máy dùng một lần hoặc máy cách ly không chứa thông tin đăng nhập công việc, ví tiền mã hóa, hay tài khoản cá nhân nào.
  • Chậm lại khi lời đề nghị quá tốt. Mức lương cao bất thường, sự khẩn cấp, hoặc áp lực phải hành động nhanh chóng là dấu hiệu phổ biến của sự thao túng.
  • Giữ phần mềm và công cụ bảo mật được cập nhật. Các hệ thống được cập nhật với bảo vệ điểm cuối sẽ không ngăn được mọi cuộc tấn công, nhưng chúng nâng cao mức độ phòng thủ.
  • Báo cáo các liên hệ đáng ngờ. Hãy báo cho đội ngũ bảo mật của nhà tuyển dụng bạn, và báo cáo hồ sơ cho nền tảng nơi họ đã liên hệ với bạn.

Điều này có ý nghĩa gì với bạn

Nếu bạn nắm giữ tiền mã hóa, tiêu đề này là một lời nhắc rằng ngay cả những nền tảng lớn nhất cũng có thể bị xâm phạm, và bạn không nên cho rằng bất kỳ đơn vị lưu ký đơn lẻ nào là miễn nhiễm. Phân tán rủi ro và bảo vệ tài khoản của chính bạn bằng thông tin đăng nhập mạnh, duy nhất và xác thực đa yếu tố vẫn là điều hợp lý.

Nếu bạn làm việc trong hoặc xung quanh lĩnh vực công nghệ, tài chính, hoặc tiền mã hóa, bạn là một mục tiêu khả dĩ cho các hoạt động tuyển dụng giả mạo. Kỹ năng và quyền truy cập của bạn là thứ khiến bạn trở nên thú vị, và mồi nhử sẽ được điều chỉnh để trông giống như một cơ hội nghề nghiệp tốt. Hãy đối xử với các tiếp cận việc làm không được yêu cầu giống như cách bạn đối xử với một hóa đơn bất ngờ: xác minh trước.

Đối với tất cả những người khác, bài học vẫn được giữ nguyên. Kẻ tấn công ưa thích con đường ít kháng cự nhất, và một tin nhắn thân thiện từ một người lạ thường rẻ hơn một kỹ thuật khai thác lỗ hổng.

Những điểm chính cần ghi nhớ

Báo cáo về vụ hack Binance với các buổi phỏng vấn xin việc giả mạo phát tán mã độc cho thấy yếu tố con người vẫn là điểm xâm nhập đáng tin cậy nhất đối với kẻ tấn công, ngay cả với những công ty có nguồn lực tốt. Hãy hoài nghi với các tiếp cận tuyển dụng không được yêu cầu, và không bao giờ chạy mã hoặc cài đặt phần mềm theo yêu cầu của người mà bạn chưa xác minh độc lập.

Để xem cách mã độc đến được với nạn nhân thông qua các kênh trông có vẻ đáng tin cậy, hãy đọc bài viết của chúng tôi về phân tích của Microsoft về mã độc NeedyMantis và cuộc tấn công chuỗi cung ứng Rank Math PRO. Phương thức phát tán khác nhau, nhưng mô thức thì giống nhau: lòng tin chính là lỗ hổng.