ShinyHunters tấn công Charter: 4,9 triệu hồ sơ bị lộ qua vishing

Vụ rò rỉ dữ liệu của Charter Communications đã trở thành lời cảnh tỉnh về các phương thức tấn công hiện đại mà không tường lửa nào ngăn được. Nhóm tống tiền ShinyHunters đã công bố dữ liệu được cho là đánh cắp từ Charter Communications, tập đoàn viễn thông đứng sau thương hiệu Spectrum, sau khi công ty này được cho là từ chối trả tiền chuộc. Trong khi ban đầu nhóm này tuyên bố có 42 triệu hồ sơ, phân tích của HaveIBeenPwned đã thu hẹp số hồ sơ khách hàng duy nhất, được xác thực xuống còn khoảng 4,9 triệu. Dữ liệu bị lộ bao gồm tên, địa chỉ nhà và số điện thoại – loại thông tin cá nhân tiếp tay cho các vụ lừa đảo theo sau và quấy rối có chủ đích.

Đối với những người dùng quan tâm đến quyền riêng tư, bao gồm cả những người dùng VPN để bảo vệ hoạt động trực tuyến của mình, vụ rò rỉ này nhắc nhở rằng một số dữ liệu nhạy cảm nhất bạn cung cấp không hề đi qua đường hầm mã hóa nào cả. Nó nằm trong hệ thống thanh toán của nhà cung cấp dịch vụ Internet (ISP) của bạn.

Cách ShinyHunters dùng vishing để vượt qua hàng rào kỹ thuật tại Charter

Véc-tơ tấn công ở đây không phải là một lỗ hổng zero-day hay một phần mềm độc hại tinh vi. Theo báo cáo về vụ tấn công vishing của ShinyHunters nhằm vào Charter, nhóm này đã sử dụng lừa đảo qua giọng nói, thường được gọi là vishing, để thao túng nhân viên cấp quyền truy cập vào hệ thống nội bộ. Trong một cuộc tấn công vishing, kẻ đe dọa gọi điện trực tiếp cho nhân viên, giả làm nhân viên hỗ trợ IT, quản lý hoặc đối tác đáng tin cậy để lấy thông tin đăng nhập hoặc thuyết phục nạn nhân phê duyệt các yêu cầu truy cập gian lận.

Cách tiếp cận này hiệu quả chính bởi vì nó nhắm vào quá trình ra quyết định của con người thay vì lỗ hổng phần mềm. Xác thực đa yếu tố, công cụ phát hiện điểm cuối và giám sát mạng đều có thể trở nên vô dụng khi một kỹ sư xã hội được đào tạo thuyết phục được đúng nhân viên tự nguyện trao chìa khóa. Các biện pháp phòng thủ kỹ thuật được thiết kế để ngăn chặn máy móc; vishing lại ngăn chặn con người.

Dữ liệu nào bị lộ và vì sao ISP nắm giữ nhiều dữ liệu như vậy

Các ISP chiếm một vị trí đặc quyền độc đáo trong hệ sinh thái dữ liệu. Để cung cấp dịch vụ, họ cần thông tin định danh đã xác thực: ít nhất là tên pháp lý, địa chỉ dịch vụ, địa chỉ thanh toán và số điện thoại. Tùy theo lịch sử tài khoản, họ còn có thể nắm giữ hồ sơ thanh toán, mã nhận dạng thiết bị và mô hình sử dụng dịch vụ. Dữ liệu đó nằm trong các cơ sở dữ liệu mà đội ngũ chăm sóc khách hàng, hệ thống thanh toán và nhóm hỗ trợ kỹ thuật phải truy cập được – chính là loại truy cập mà một cuộc tấn công vishing thành công có thể mở khóa.

4,9 triệu hồ sơ được HaveIBeenPwned xác nhận đại diện cho những người có thông tin hiện đang trôi nổi trong các mạng lưới môi giới dữ liệu và có khả năng bị dùng để tạo ra các nỗ lực lừa đảo tiếp theo. Ngay cả khi một hồ sơ chỉ chứa tên, địa chỉ và số điện thoại, sự kết hợp đó đã đủ để xây dựng những cái cớ thuyết phục cho các vụ lừa đảo theo sau nhắm trực tiếp vào những cá nhân đó.

Vì sao VPN không bảo vệ trước các cuộc tấn công kỹ thuật xã hội

VPN mã hóa lưu lượng truyền giữa thiết bị của bạn và Internet, che giấu hoạt động duyệt web khỏi ISP và ngăn chặn giám sát ở cấp mạng. Đó là một sự bảo vệ thực sự và có giá trị. Nhưng nó không làm gì để bảo vệ dữ liệu tài khoản mà ISP đã nắm giữ trước khi bất kỳ kết nối nào được thiết lập.

Khi bạn đăng ký dịch vụ Internet, bạn trao thông tin cá nhân như một phần của quan hệ hợp đồng. Dữ liệu đó tồn tại trong hệ thống của Charter bất kể bạn có sử dụng VPN trên kết nối của mình hay không. Một cuộc tấn công vishing nhắm vào nhân viên nội bộ của Charter hoàn toàn không tương tác với lưu lượng được mã hóa của bạn; nó đi thẳng vào cơ sở dữ liệu nơi lưu trữ hồ sơ thanh toán và tài khoản của bạn. Vụ rò rỉ dữ liệu của Charter Communications cho thấy một hạn chế về mặt cấu trúc: người dùng VPN không được miễn nhiễm khỏi các vụ rò rỉ dữ liệu của ISP vì dữ liệu gặp rủi ro có trước bất kỳ công cụ bảo mật nào họ có thể sử dụng.

Điều này không có nghĩa là VPN không hiệu quả. Nó có nghĩa là chúng giải quyết một vấn đề cụ thể, và vấn đề đó không phải là kỹ thuật xã hội hay các cuộc tấn công từ quyền truy cập nội bộ.

Các bước thiết thực người dùng quan tâm đến quyền riêng tư có thể thực hiện ngay bây giờ

Nếu bạn là khách hàng của Charter hoặc Spectrum, bước cấp bách nhất là kiểm tra xem hồ sơ của bạn có xuất hiện trong các cơ sở dữ liệu rò rỉ công khai hay không. Ngoài ra, có những hành động cụ thể đáng thực hiện bất kể bạn có nằm trong tập dữ liệu cụ thể này hay không.

  • Cảnh giác với các cuộc gọi vishing nhắm riêng vào bạn. Tội phạm có được tên, địa chỉ và số điện thoại của bạn thường dùng dữ liệu đó để giả mạo ngân hàng, ISP hoặc cơ quan chính phủ của bạn trong các cuộc gọi tiếp theo. Hãy hoài nghi bất kỳ cuộc gọi không mong muốn nào yêu cầu bạn xác nhận chi tiết tài khoản hoặc phê duyệt bất kỳ hành động nào.
  • Nâng cao nhận thức về giả mạo số điện thoại. ID người gọi không phải là chỉ báo đáng tin cậy về người thực sự đang gọi. Hãy coi bất kỳ cuộc gọi bất ngờ nào yêu cầu thông tin nhạy cảm là đáng ngờ, ngay cả khi số điện thoại trông quen thuộc.
  • Sử dụng thông tin liên lạc duy nhất khi có thể. Các dịch vụ tạo số điện thoại ẩn danh hoặc bí danh email sẽ hạn chế mức độ một vụ rò rỉ có thể lan sang vụ khác.
  • Kiểm tra tài khoản ISP xem có thay đổi trái phép không. Nếu địa chỉ, số liên lạc hoặc chi tiết thanh toán của bạn bị thay đổi mà bạn không hay biết, điều đó có thể chỉ ra rằng ai đó đã sử dụng dữ liệu bị lộ của bạn.
  • Phong tỏa tín dụng nếu bạn chưa làm. Dựa trên báo cáo hiện tại, vụ rò rỉ này dường như không bao gồm số An sinh Xã hội, nhưng việc ghép nối dữ liệu địa chỉ và điện thoại bị lộ với các tập dữ liệu rò rỉ khác là chiến thuật phổ biến để đánh cắp danh tính.

Để có phân tích đầy đủ hơn về tiến trình vụ việc và những gì Charter đã xác nhận công khai, bài tường thuật về vụ tấn công vishing của ShinyHunters cung cấp bối cảnh sâu hơn về cách sự việc diễn ra và những gì công ty đã tiết lộ.

Vụ rò rỉ dữ liệu của Charter Communications là lời nhắc nhở rằng bảo vệ quyền riêng tư của bạn đòi hỏi phải suy nghĩ vượt ra ngoài bất kỳ công cụ đơn lẻ nào. VPN, mật khẩu mạnh và xác thực hai yếu tố đều quan trọng, nhưng các tổ chức bạn chia sẻ dữ liệu vẫn là một yếu tố rủi ro nằm ngoài tầm kiểm soát trực tiếp của bạn. Hiểu nơi dữ liệu của bạn trú ngụ và cách nó có thể bị truy cập là bước đầu tiên để quản lý rủi ro đó một cách hiệu quả.