FBI sa thải nhà thầu Accenture vì bỏ qua bản vá bảo mật trong vụ tấn công ShinyHunters

FBI vừa chấm dứt hợp tác với một nhà thầu thuộc Accenture sau sự cố rò rỉ dữ liệu khiến thông tin cá nhân của hàng nghìn nhân viên cơ quan này bị lộ lọt. Nguyên nhân ban đầu được xác định là do nhà thầu đã không triển khai một bản vá bảo mật quan trọng trên nền tảng nhân sự Oracle PeopleSoft, mở đường cho nhóm tin tặc ShinyHunters tấn công.

Minh họa về tấn công mạng

Bản vá bị bỏ quên và hậu quả nghiêm trọng

Theo thông tin từ Reuters, FBI đã loại một nhà thầu của Accenture khỏi hệ thống sau khi xác định được nguyên nhân của vụ rò rỉ. Phía FBI chưa công bố tên cụ thể của nhà thầu hay tổ chức liên quan, nhưng theo một quan chức cấp cao của cơ quan này, quá trình rà soát cho thấy vấn đề nằm ở một bản vá bảo mật đã được ban hành nhưng không được áp dụng.

"Đến nay, quá trình rà soát của chúng tôi xác định rằng sự cố xảy ra do lỗi bảo mật của một nền tảng do tổ chức bên thứ ba quản lý — sau khi một nhà thầu không triển khai bản vá bảo mật vốn được ban hành rõ ràng để bảo vệ nền tảng đó," ông Brett Leatherman, người đứng đầu mảng an ninh mạng của FBI, cho biết trong một tuyên bố.

Ông Leatherman nhấn mạnh thêm rằng FBI đã loại nhà thầu này và thực hiện mọi biện pháp cần thiết để giảm thiểu rủi ro cũng như bảo vệ đội ngũ nhân sự của mình.

Theo các nguồn tin của Reuters, hệ thống bị ảnh hưởng là nền tảng quản lý nhân sự PeopleSoft của Oracle, còn tổ chức bên ngoài liên quan chính là Accenture. Khi được hỏi về nhà thầu hoặc sự việc bỏ qua bản vá, Accenture không trả lời trực tiếp mà chỉ đưa ra tuyên bố: "Chúng tôi tự hào được hỗ trợ sứ mệnh của FBI và sẽ tiếp tục làm như vậy."

ShinyHunters và chuỗi tấn công nhằm vào PeopleSoft

Trước đó, ShinyHunters từng tuyên bố đã khai thác PeopleSoft để xâm nhập vào trang tuyển dụng của FBI. Google cũng đã đưa ra cảnh báo rằng nhóm tin tặc này đang nhắm vào các phiên bản PeopleSoft chưa được vá để đánh cắp dữ liệu.

Đây là một lời nhắc nhở đáng lo ngại với các doanh nghiệp và tổ chức tại Việt Nam: việc chậm trễ áp dụng bản vá — dù chỉ vài ngày — cũng có thể tạo ra lỗ hổng nghiêm trọng. Với các hệ thống quản lý nhân sự chứa dữ liệu cá nhân quy mô lớn như PeopleSoft, SAP hay các nền tảng nội bộ tương tự, đây là bài học trực tiếp về tầm quan trọng của quy trình quản lý bản vá.

Diễn biến vụ tấn công

Nhóm tội phạm mạng ShinyHunters thông báo vào ngày 22/9 rằng chúng đã xâm nhập hệ thống của FBI. Đối tượng nhắm vào website tuyển dụng của cơ quan này và tuyên bố thu được thông tin của toàn bộ nhân viên, bao gồm cả dữ liệu nhạy cảm, sau đó rò rỉ một phần cho giới truyền thông.

Theo các báo cáo, cuộc tấn công dường như nhằm gây sức ép buộc FBI sửa hoặc gỡ bỏ một báo cáo mà cơ quan này công bố hồi tháng 5 để cảnh báo các tổ chức về các cuộc tấn công của ShinyHunters. Nhóm tin tặc cho rằng báo cáo đó chứa những cáo buộc sai sự thật.

Ngay sau khi ShinyHunters công bố vụ xâm nhập, cơ quan thực thi pháp luật cho biết đã bắt giữ một đối tượng được cho là thủ lĩnh của nhóm tại Hà Lan vào ngày 15/9. Bất chấp việc này, ShinyHunters tỏ ra thách thức và kêu gọi các nạn nhân tiếp tục đàm phán, đe dọa rò rỉ dữ liệu nếu không chịu trả tiền.

Ảnh tác giả Eduard Kovacs

Đến ngày 3/10, thông tin về việc bắt giữ một thủ lĩnh khác của ShinyHunters là Saif al-Din Khader (còn gọi là Rey) được công bố. Rey được cho là bị bắt tại Jordan và đã hợp tác với nhà chức trách.

Tình hình hiện tại

Tại thời điểm bài viết, website của ShinyHunters vẫn còn hoạt động, nhưng bài đăng kêu gọi các tổ chức trả tiền đã bị gỡ. Bài đăng về nạn nhân gần nhất có ngày 22/9.

Sự việc này một lần nữa cho thấy rủi ro đến từ chuỗi cung ứng công nghệ — khi một nhà thầu bên thứ ba mắc sai sót trong vận hành bảo mật, hậu quả có thể ảnh hưởng trực tiếp đến tổ chức chủ quản. Đối với các doanh nghiệp và cơ quan tại Việt Nam đang ngày càng phụ thuộc vào dịch vụ đám mây và nhà cung cấp bên ngoài, việc giám sát tuân thủ bản vá của đối tác là yếu tố không thể xem nhẹ.