Một Cuộc Gọi Điện Thoại Duy Nhất, 1,6 Triệu Hồ Sơ Bị Lộ

RingCentral, công ty chuyên cung cấp hệ thống điện thoại doanh nghiệp dựa trên đám mây cho các tổ chức trên toàn thế giới, đã xác nhận dữ liệu khách hàng bị lộ sau khi tin tặc dùng thủ đoạn trò chuyện để vượt qua hệ thống phòng thủ của hãng. Băng nhóm tống tiền ShinyHunters tuyên bố chúng không cần khai thác bất kỳ lỗ hổng phần mềm nào hay viết một dòng mã độc nào. Thay vào đó, nhóm này cho biết chúng đã lừa đảo qua điện thoại một nhân viên duy nhất, thuyết phục người đó cung cấp quyền truy cập cần thiết để vào được các hệ thống nội bộ.

Kết quả là khoảng 1,6 triệu hồ sơ khách hàng bị lộ, bao gồm tên, địa chỉ email, địa chỉ vật lý và số điện thoại. Đối với một công ty mà toàn bộ mô hình kinh doanh phụ thuộc vào truyền thông an toàn, sự trớ trêu khó có thể bỏ qua: vụ vi phạm không đến từ lỗ hổng trong công nghệ của RingCentral, mà đến từ một cuộc trò chuyện.

Vì Sao Lừa Đảo Qua Điện Thoại Vượt Qua Được Phòng Thủ Kỹ Thuật

Đây là bài học cốt lõi từ vụ vi phạm dữ liệu RingCentral do lừa đảo qua điện thoại: không một tường lửa, tiêu chuẩn mã hóa hay hệ thống phát hiện xâm nhập nào có thể ngăn một nhân viên bị thuyết phục làm điều mà họ tin là hợp lệ. Tấn công vishing hoạt động bằng cách giả danh những người đáng tin cậy như nhân viên hỗ trợ CNTT, giám đốc điều hành hoặc nhà cung cấp, đồng thời tạo ra cảm giác khẩn cấp để gây áp lực buộc mục tiêu bỏ qua các bước xác minh thông thường.

Các công ty thường đầu tư mạnh vào việc vá lỗi phần mềm, giám sát mạng và mã hóa dữ liệu khi lưu trữ cũng như khi truyền tải. Những khoản đầu tư đó rất quan trọng, nhưng chúng không thể ngăn một kẻ tấn công chỉ cần nhấc điện thoại và hỏi một câu đầy tự tin, chuẩn bị kỹ càng. Một khi một nhân viên duy nhất cấp quyền truy cập, dù là đặt lại mật khẩu, phê duyệt yêu cầu đăng nhập hay chuyển một tệp tin, kẻ tấn công đã ở bên trong hàng rào bảo vệ, và hầu hết các phòng thủ kỹ thuật đã bị vượt qua.

Đây là lý do các nhà nghiên cứu bảo mật ngày càng coi kỹ thuật xã hội là vectơ vi phạm hàng đầu, vượt qua cả các vụ khai thác truyền thống. Nó không đòi hỏi phải tìm ra lỗ hổng zero-day hay viết phần mềm độc hại tùy chỉnh. Nó chỉ cần biết cách khiến người khác tin lời mình.

Mô Hình Của ShinyHunters Ngày Càng Quen Thuộc

RingCentral không phải là trường hợp cá biệt đối với nhóm này. ShinyHunters đã tạo dựng danh tiếng với các chiến dịch tống tiền dựa vào việc thao túng con người thay vì phá mã. Nhóm này trước đó đã nhận trách nhiệm về vụ tấn công Addi.com, công ty dịch vụ tài chính Colombia, nơi chúng tuyên bố đã đánh cắp 16 triệu hồ sơ tài chính. Kết hợp lại, những sự việc này cho thấy một kịch bản có thể lặp lại: xác định một công ty có dữ liệu khách hàng giá trị, nhắm vào một nhân viên duy nhất thông qua lừa dối qua điện thoại, và dùng bất kỳ quyền truy cập nào có được để trích xuất và đe dọa làm lộ lượng lớn hồ sơ.

Sự nhất quán trong cách tiếp cận này qua nhiều ngành khác nhau, từ dịch vụ tài chính đến truyền thông doanh nghiệp, cho thấy ShinyHunters không dựa vào một điểm yếu kỹ thuật cụ thể nào trong hạ tầng của bất kỳ công ty nào. Chúng dựa vào thực tế rằng con người, dưới áp lực phù hợp, có thể bị thuyết phục bỏ qua các quy trình bảo mật mà họ biết là tồn tại.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu bạn là khách hàng của RingCentral, tên, địa chỉ email, địa chỉ vật lý hoặc số điện thoại của bạn có thể đang được lưu hành trong giới tội phạm chuyên về các vụ lừa đảo tiếp nối. Loại thông tin liên lạc bị lộ này thường được dùng cho các vụ lừa đảo có chủ đích, cố gắng chiếm quyền SIM và các kế hoạch trộm cắp danh tính. Độc giả muốn tìm hiểu chi tiết thực tế về những rủi ro này, bao gồm cách hoạt động của chiêu chiếm quyền SIM và cách bảo vệ tài khoản liên kết với dữ liệu cá nhân bị lộ, có thể xem bài viết về vụ vi phạm dữ liệu HDFC AMC, trong đó trình bày các bước giám sát tương tự.

Nếu bạn làm việc trong lĩnh vực CNTT, nhân sự hoặc hỗ trợ khách hàng, vụ vi phạm dữ liệu RingCentral do lừa đảo qua điện thoại là lời nhắc nhở rằng các quy trình xác minh cần được coi trọng như các biện pháp kiểm soát kỹ thuật. Nhân viên cần được đào tạo để tự xác minh độc lập mọi yêu cầu truy cập, đặt lại mật khẩu hoặc thay đổi tài khoản, ngay cả khi người gọi nghe có vẻ hợp pháp hoặc tuyên bố tình huống khẩn cấp. Gọi lại cho một số điện thoại đã biết và được xác minh, thay vì tin vào số hiển thị trên ID người gọi, vẫn là một trong những biện pháp phòng thủ đơn giản và hiệu quả nhất chống lại vishing.

Cũng đáng lưu ý rằng các vụ vi phạm liên quan đến lượng lớn dữ liệu khách hàng đôi khi dẫn đến các vụ dàn xếp kiện tập thể về sau, như đã thấy trong hậu quả của vụ vi phạm dữ liệu Krispy Kreme. Các khách hàng bị ảnh hưởng của RingCentral nên lưu giữ hồ sơ về mọi hoạt động đáng ngờ liên quan đến tài khoản của mình trong trường hợp các biện pháp khắc phục tương tự được triển khai.

Những Điểm Hành Động Cần Ghi Nhớ

Theo dõi email và điện thoại của bạn để phát hiện các yêu cầu đặt lại mật khẩu bất ngờ hoặc nỗ lực đăng nhập không quen thuộc, đặc biệt nếu bạn có tài khoản RingCentral. Kích hoạt xác thực đa yếu tố ở bất cứ nơi nào được hỗ trợ, và tránh phê duyệt bất kỳ yêu cầu đăng nhập hoặc xác minh nào mà bạn không tự mình khởi xướng. Nếu bạn nhận được cuộc gọi tự xưng là từ bộ phận hỗ trợ của RingCentral, hãy cúp máy và liên hệ trực tiếp với công ty qua các kênh chính thức thay vì tiếp tục cuộc trò chuyện. Đối với các tổ chức, vụ vi phạm này là một lý lẽ mạnh mẽ cho việc đào tạo thường xuyên về kỹ thuật xã hội và các bước xác minh bắt buộc rõ ràng trước khi bất kỳ nhân viên nào cấp quyền truy cập hệ thống qua điện thoại. Vụ vi phạm dữ liệu RingCentral do lừa đảo qua điện thoại đã chứng minh rằng một cuộc gọi được đặt đúng chỗ có thể gây thiệt hại nhiều hơn hàng tháng trời cố gắng tấn công kỹ thuật, và biện pháp phòng thủ tốt nhất là một lực lượng lao động biết cách nhận diện và chống lại áp lực đó.