Hacker đánh cắp dữ liệu của hơn 41.000 nhân viên Bộ An ninh Nội địa Mỹ qua Okta

Một vụ xâm nhập nghiêm trọng vừa được phát hiện tại Bộ An ninh Nội địa Mỹ (DHS), khi một hacker đã lấy cắp khối lượng lớn dữ liệu cá nhân của hơn 41.000 nhân viên liên bang. Thông tin bị đánh cắp bao gồm tên, chức danh, số điện thoại, địa chỉ email và vị trí văn phòng làm việc.

Minh họa về vụ xâm nhập dữ liệu nhân viên chính phủ

Lỗ hổng đến từ hệ thống quản lý danh tính Okta

Theo thông tin từ TechCrunch và Wired, hacker có biệt danh "Department of Peace" đã tiếp cận dữ liệu thông qua Okta, nền tảng quản lý danh tính và kiểm soát truy cập (IAM) mà DHS đang sử dụng.

Trong tổng số hơn 41.000 hồ sơ bị rò rỉ, khoảng 21.000 bản ghi thuộc về nhân viên Cơ quan Bảo vệ Biên giới và Hải quan (CBP), gần 7.000 bản ghi thuộc về nhân viên Cơ quan Thực thi Di trú và Hải quan (ICE). Phần còn lại đến từ Cơ quan An ninh mạng và Hạ tầng (CISA), Cơ quan Di trú và Nhập tịch (USCIS) cùng Cơ quan Điều tra An ninh Nội địa (HSI).

Đáng chú ý, dữ liệu bị lộ còn cho thấy mối liên hệ giữa các cơ quan này với những công cụ giám sát cụ thể. Đây là mối lo ngại lớn bởi thông tin như vậy có thể bị lợi dụng để theo dõi hoặc gây áp lực lên chính các nhân viên thực thi pháp luật.

Động cơ và hệ lụy của vụ rò rỉ

Vụ việc diễn ra trong bối cảnh DHS đang nỗ lực che giấu danh tính của các nhân viên CBP và ICE – lực lượng thực hiện các đợt truy quét chống nhập cư trên khắp nước Mỹ, đồng thời theo dõi những người chỉ trích trên mạng.

"Họ nắm thông tin của chúng ta, nên công bằng mà nói chúng ta cũng nên có thông tin của họ", hacker "Department of Peace" tuyên bố, theo TechCrunch.

Dữ liệu rò rỉ được cho là đã được chuyển cho nhà nghiên cứu an ninh mạng maia arson crimew, người sau đó chia sẻ với Distributed Denial of Secrets (DDoSecrets) – một tổ chức phi lợi nhuận hiện đang lưu trữ bộ dữ liệu mang tên "Icepick".

Bộ dữ liệu này được báo cáo còn chứa thông tin về các nhóm trong DHS có quyền truy cập vào những công cụ phục vụ giám sát, chẳng hạn ứng dụng nhận diện khuôn mặt Mobile Fortify và PenLink – hệ thống có khả năng thu thập, phân tích dữ liệu từ điện thoại và các dịch vụ trực tuyến.

Chuỗi sự cố an ninh mạng đáng báo động

Vụ rò rỉ này diễn ra chỉ vài tuần sau khi tin tặc đánh cắp dữ liệu của FBI liên quan đến nhân viên và ứng viên tuyển dụng. Chuỗi sự cố cho thấy các cơ quan chính phủ Mỹ đang đối mặt với áp lực ngày càng lớn về bảo mật thông tin, đặc biệt khi phụ thuộc vào các nền tảng quản lý danh tính bên thứ ba.

Đại diện DHS chưa đưa ra phản hồi ngay lập tức trước yêu cầu bình luận của The Verge về vụ việc.

Bài học cho các tổ chức và doanh nghiệp Việt Nam

Sự cố này là lời cảnh tỉnh cho các tổ chức và doanh nghiệp tại Việt Nam về rủi ro đến từ các nền tảng quản lý danh tính tập trung. Khi một hệ thống IAM bị xâm nhập, toàn bộ dữ liệu người dùng phụ thuộc vào nó đều có thể bị lộ.

• Kiểm soát truy cập chặt chẽ: Áp dụng xác thực đa yếu tố (MFA) và nguyên tắc đặc quyền tối thiểu cho mọi tài khoản quản trị.
• Giám sát và phát hiện sớm: Triển khai các giải pháp phát hiện xâm nhập, ghi log và cảnh báo bất thường theo thời gian thực.
• Đánh giá nhà cung cấp bên thứ ba: Rà soát định kỳ năng lực bảo mật của các nền tảng SaaS và dịch vụ IAM đang sử dụng.
• Phân tách dữ liệu nhạy cảm: Hạn chế tối đa việc lưu trữ thông tin cá nhân và dữ liệu liên quan đến công cụ nội bộ trên cùng một hệ thống.

Với xu hướng chuyển đổi số mạnh mẽ, các cơ quan nhà nước và doanh nghiệp Việt Nam cần xem bảo mật danh tính là ưu tiên hàng đầu, thay vì chỉ là yếu tố bổ sung sau khi triển khai hệ thống.