Mayer Brown bị rò rỉ dữ liệu bởi chiêu lừa mạo danh Luna Moth

Chuyện gì đã xảy ra trong vụ rò rỉ dữ liệu của Mayer Brown

Hãng luật Mayer Brown đã xác nhận các tài liệu nội bộ bị đăng tải trên trang rò rỉ do nhóm tống tiền Luna Moth vận hành, nhưng hãng cho biết hệ thống của mình chưa từng bị xâm nhập. Theo Mayer Brown, một nhân viên đã vô tình gửi tài liệu cho một bên thứ ba đã cố tình xuyên tạc danh tính. Nói cách khác, đây không phải là một vụ tấn công mạng theo nghĩa truyền thống là khai thác phần mềm hay đánh cắp thông tin đăng nhập. Đây là một hành vi lừa đảo có chủ đích nhằm thuyết phục một nhân viên tự nguyện trao các tệp tin nhạy cảm.

Sau đó, Luna Moth đã lấy những tài liệu đó và đăng lên trang rò rỉ tống tiền của chúng – một chiến thuật nhóm này thường dùng để gây áp lực buộc nạn nhân trả tiền thay vì để dữ liệu bị phát tán công khai. Tuyên bố của Mayer Brown rằng hệ thống của hãng không bị truy cập là một điểm đáng chú ý. Nó phân định rõ ràng ranh giới giữa một vụ xâm nhập mạng – vốn thường kích hoạt phản ứng kỹ thuật lớn hơn nhiều – và một sự cố tấn công phi kỹ thuật có chủ đích, khai thác lòng tin của con người thay vì một lỗ hổng kỹ thuật.

Chiêu mạo danh của Luna Moth vượt qua các lớp phòng thủ kỹ thuật ra sao

Luna Moth, còn được theo dõi dưới các tên gọi như Silent Ransom Group, Chatty Spider và UNC3753, đã tạo dựng danh tiếng chuyên nhắm đến các hãng luật, một phần vì hồ sơ pháp lý thường nhạy cảm, bảo mật và là đòn bẩy giá trị cho hoạt động tống tiền. Thay vì triển khai phần mềm độc hại hay mã độc tống tiền để đột nhập mạng, nhóm này ngày càng dựa vào các màn mạo danh thuyết phục: giả làm nhà cung cấp đáng tin cậy, nhân viên hỗ trợ IT hoặc một bên hợp pháp khác để khiến nhân viên tự nguyện gửi tệp hoặc cấp quyền truy cập.

Cách tiếp cận này hiệu quả chính bởi nó né được những lớp phòng thủ mà tổ chức chi nhiều tiền nhất để xây dựng. Tường lửa, phát hiện điểm cuối và các công cụ giám sát mạng được thiết kế để bắt các nỗ lực truy cập trái phép. Chúng kém hữu dụng hơn nhiều khi một nhân viên hợp lệ, hành động với thiện chí, gửi tài liệu cho người mà họ tin là được phép nhận. Sự cố Mayer Brown khớp với mô típ này: vụ rò rỉ không đòi hỏi Luna Moth phải vượt qua bất kỳ vòng ngoài nào, vì vòng ngoài chưa bao giờ là mục tiêu. Mục tiêu chính là nhân viên.

Vì sao tấn công phi kỹ thuật vẫn là mắt xích yếu nhất

Ngay cả những tổ chức được đầu tư tốt với chương trình an ninh mạng trưởng thành vẫn dễ bị tổn thương trước kiểu tấn công này vì nó nhắm vào khả năng phán đoán thay vì hạ tầng. Một hãng có thể rót tiền mạnh vào mã hóa, kiểm soát truy cập và phát hiện xâm nhập, nhưng vẫn có thể bị lộ nếu ai đó giả mạo một cách thuyết phục một liên hệ quen, một khách hàng hoặc một đồng nghiệp nội bộ. Đây không hẳn là một thất bại của công nghệ, mà là minh chứng cho thấy những kẻ tấn công quyết tâm sẽ luôn tìm con đường ít kháng cự nhất, và ngày càng con đường đó đi qua con người thay vì mã nguồn.

Chiến dịch rộng hơn của Luna Moth nhắm vào các hãng luật càng nhấn mạnh điều này. Những nhóm như vậy phát triển nhờ quy mô hoạt động, và một phần giúp chúng bền bỉ là hạ tầng hỗ trợ hoạt động phía sau, bao gồm các dịch vụ lưu trữ cho phép các trang rò rỉ và chiến dịch tống tiền tiếp tục trực tuyến. Các cơ quan thực thi pháp luật cũng đã chú ý đến lớp hạ tầng này. Vụ chính quyền Hà Lan thu giữ 800 máy chủ liên quan đến một đường dây lưu trữ chống đạn cho thấy việc triệt phá các nhà cung cấp lưu trữ bao che cho các nhóm tống tiền có thể quan trọng không kém việc nâng cao nhận thức của từng nhân viên. Cả hai mặt trận, thực thi kỹ thuật lẫn cảnh giác con người, đều cần được chú trọng nếu muốn những sự cố như vụ rò rỉ của Mayer Brown bớt phổ biến hơn.

Điều này có ý nghĩa gì với bạn

Nếu bạn làm việc tại một hãng luật, công ty dịch vụ tài chính hoặc bất kỳ tổ chức nào xử lý tài liệu khách hàng nhạy cảm, sự cố này là lời nhắc nhở rằng rủi ro lớn nhất của bạn có thể không phải là một công cụ tấn công mạng tinh vi nào cả. Mà có thể chỉ là một email hoặc cuộc điện thoại được soạn kỹ, trông và nghe rất hợp pháp. Những kẻ tấn công nghiên cứu về một nhân viên cụ thể, mối quan hệ nhà cung cấp hay một vụ án đang diễn ra có thể tùy chỉnh màn mạo danh của chúng thuyết phục đến mức ngay cả nhân viên cẩn thận cũng có thể bị lừa.

Với các khách hàng và cá nhân có thông tin đi qua các hãng luật hoặc nhà cung cấp dịch vụ chuyên nghiệp, cần hiểu rằng một vụ "rò rỉ" không phải lúc nào cũng đồng nghĩa với việc máy chủ của công ty bị xâm phạm. Đôi khi, nó chỉ có nghĩa là một hành vi lừa đảo nhắm vào một cá nhân đã thành công. Sự khác biệt ấy quan trọng với cách tổ chức phản ứng, và với mức độ tin cậy mà công chúng nên đặt vào những lời trấn an chung chung kiểu "hệ thống vẫn an toàn."

Những điều cần hành động cụ thể

• Xác minh danh tính qua một kênh thứ hai trước khi gửi tài liệu nhạy cảm, đặc biệt khi yêu cầu có vẻ khẩn cấp hoặc bất thường.
• Tập huấn nhân viên cách nhận diện các chiêu trò mạo danh cụ thể, không chỉ dừng ở email lừa đảo với những dấu hiệu rõ ràng.
• Thiết lập quy trình nội bộ rõ ràng để xác minh các yêu cầu từ nhà cung cấp, bộ phận IT và khách hàng liên quan đến chuyển giao tài liệu.
• Hiểu rằng một vụ rò rỉ dữ liệu dù không có xâm phạm mạng vẫn mang lại hậu quả thật sự và đòi hỏi một phản ứng nghiêm túc.

Vụ việc của Mayer Brown cho thấy các chiêu trò rò rỉ dữ liệu phi kỹ thuật của Luna Moth không cần vượt tường lửa để thành công, chúng chỉ cần một người tin vào một lời nói dối đủ thuyết phục. Khi các hãng luật và những mục tiêu giá trị cao khác tiếp tục đối mặt với loại áp lực này, thu hẹp khoảng trống con người cũng cấp bách chẳng kém gì củng cố mạng lưới.