Rò rỉ dữ liệu quy mô lớn: Hơn 153 triệu bằng lái xe bị rao bán trên Dark Web

Thảo Nguyên
1 ngày trước
4 phút đọc

Hàng trăm triệu thông tin định danh cá nhân vừa xuất hiện trên thị trường ngầm, dấy lên mối lo ngại nghiêm trọng về an toàn thông tin đối với các hệ thống xác minh trực tuyến. Sự cố này trực tiếp đe dọa dữ liệu riêng tư của đông đảo người dân tại khu vực Bắc Mỹ.

Quy mô dữ liệu bị rao bán trên mạng ẩn danh

Dữ liệu cá nhân bị để lộ thế nào trong môi trường số?

Một dịch vụ chuyên buôn bán thông tin định danh bị trộm có tên Nexus vừa triển khai rao bán hàng loạt bản quét kỹ thuật số bằng lái xe của người dân Mỹ và Canada. Hoạt động này cũng được kẻ đứng sau quảng bá rầm rộ trên một diễn đàn tội phạm mạng của Nga, kèm lời khẳng định sở hữu dữ liệu của hơn 170 triệu cá nhân.

Thống kê thực tế trên nền tảng Nexus cho thấy khối lượng thông tin bị khai thác trái phép rất lớn:

Hơn 153 triệu bằng lái xe: Trong đó có khoảng 1,1 triệu bản ghi từ Canada, phần lớn còn lại thuộc về người dùng Mỹ.
Hơn 10 triệu thẻ căn cước cùng khoảng 580.000 thẻ y tế.
Hơn 3 triệu giấy tờ du lịch và ID quốc tế.

Con số 153 triệu bản ghi bằng lái xe này đã được nhà báo điều tra Brian Krebs xác nhận khi thực hiện một thao tác tìm kiếm trống trực tiếp trên hệ thống Nexus.

Nghi vấn rò rỉ từ nhà cung cấp dịch vụ IDScan.net

Kẻ phát tán dữ liệu cáo buộc rằng toàn bộ số tài liệu trên được trích xuất từ một đợt xâm nhập kéo dài nhắm vào một công ty xác thực danh tính - đơn vị đang cung cấp dịch vụ cho nhiều doanh nghiệp lớn thuộc danh sách Fortune 500.

Sau khi tự mình kiểm tra và tìm thấy hình ảnh bằng lái xe của chính bản thân cùng nhiều người khác trên Nexus, nhà báo Brian Krebs nhận định nguồn rò rỉ nhiều khả năng xuất phát từ IDScan.net. Đây là doanh nghiệp có trụ sở tại Louisiana (Mỹ), chuyên cung cấp các giải pháp phòng chống gian lận, quản lý truy cập, xác minh độ tuổi, khóa cửa kích hoạt bằng ID và máy quét ID di động. Công ty này xử lý hơn 21 triệu lượt xác minh mỗi tháng tại hơn 20.000 địa điểm, phục vụ nhiều ngành nghề như ngân hàng, bán lẻ, vận tải, giáo dục, giải trí, khách sạn - nhà hàng, an ninh và lực lượng hành pháp.

Không lâu sau khi bài viết của Brian Krebs được công bố, nền tảng Nexus đã bị đóng cửa. Dù trang tin SecurityWeek đã gửi yêu cầu xác minh tới IDScan.net nhưng chưa nhận được phản hồi, Cục Điều tra Liênbang Mỹ (FBI) được cho là đã nắm bắt thông tin và mở cuộc điều tra chính thức. Đáng chú ý, một số bằng lái xe bị trích xuất được xác định thuộc về chính các đặc vụ FBI.

Khuyến nghị an toàn thông tin cho tổ chức và cá nhân

Vụ việc trên mang đến bài học quan trọng cho cả tổ chức vận hành lẫn người sử dụng dịch vụ. Theo ông Tim Rawlins, Cố vấn cao cấp kiêm Giám đốc tại NCC Group, các bên cần thay đổi tư duy quản lý dữ liệu.

Dưới đây là các nguyên tắc và biện pháp ứng phó cụ thể nhằm giảm thiểu rủi ro:

Đối tượng	Tư duy quản lý cốt lõi	Biện pháp triển khai cụ thể
Tổ chức, Doanh nghiệp	Mặc định mọi giấy tờ định danh đều có nguy cơ bị lộ lọt; không xem một tài liệu trông có vẻ hợp lệ là minh chứng xác thực an toàn vĩnh viễn	Kiểm toán dữ liệu: Thống kê lại toàn bộ dữ liệu danh tính, xác định rõ người thu thập, mục đích sử dụng, luồng lưu chuyển và thời điểm cần hủy bỏ Quản lý đối tác: Hợp đồng với bên cung cấp dịch vụ xác minh phải quy định rõ việc ghi nhật ký, phân tách dữ liệu, lưu trữ, kiểm tra độc lập và thông báo khi có sự cố. Giám sát hệ thống: Theo dõi và thiết lập cảnh báo chặn đứng các hành vi truy cập hoặc tải xuống hàng loạt bất thường qua API (giao diện kết nối) hoặc tài khoản quản trị.
Cá nhân	Hạn chế tối đa việc số hóa và để lại bản sao giấy tờ tùy thân ở các dịch vụ bên ngoài nếu không thực sự bắt buộc	Cẩn trọng khi chia sẻ: Từ chối cung cấp bản sao hoặc chụp ảnh bằng lái xe, thẻ căn cước nếu cảm thấy không cần thiết Chủ động bảo vệ: Khi được yêu cầu xuất trình giấy tờ, hãy chủ động đề nghị nhân viên kiểm tra trực tiếp (nhìn bằng mắt) thay vì cho phép họ quét, chụp hay lưu trữ lại hình ảnh lên hệ thống

Sự cố này là lời nhắc nhở rằng mọi dữ liệu cá nhân khi đã chuyển sang dạng kỹ thuật số đều đối mặt với rủi ro bị xâm nhập nếu hệ thống lưu trữ không được kiểm soát toàn diện.

Tham khảo: SecurityWeek