Hacker rò rỉ dữ liệu nhân sự của hơn 40.000 nhân viên Bộ An ninh Nội địa Mỹ

Một vụ xâm nhập dữ liệu nghiêm trọng vừa được phanh phui tại Bộ An ninh Nội địa Mỹ (DHS) khi thông tin cá nhân của hơn 40.000 nhân viên đã bị đăng tải công khai trên mạng. Đây là sự cố bảo mật chưa từng được công bố trước đó, xảy ra vào đầu năm nay và mới chỉ được phát hiện gần đây.

Theo nguồn tin từ TechCrunch, dữ liệu bị đánh cắp bao gồm họ tên, chức danh công việc và thông tin liên lạc công sở như địa chỉ email, số điện thoại di động và vị trí văn phòng của nhân viên thuộc nhiều cơ quan trực thuộc DHS.

Nguồn gốc vụ rò rỉ

Một hacker với biệt danh Department of Peace tuyên bố đã lấy được dữ liệu từ hệ thống đăng nhập một lần Okta mà DHS sử dụng để cho phép nhân viên và nhà thầu thuộc các cơ quan khác nhau truy cập vào mạng lưới trung tâm của bộ.

"Họ có thông tin của chúng ta, vậy thì công bằng thôi khi chúng ta cũng có thông tin của họ", hacker này để lại lời nhắn kèm theo dữ liệu.

Đáng chú ý, hệ thống Okta không chỉ chứa thông tin nhận dạng mà còn lưu trữ các bản ghi về công nghệ thông tin và đăng nhập gắn với tài khoản người dùng, bao gồm cả chi tiết về những hệ thống và ứng dụng nội bộ mà từng nhân viên được phép truy cập.

Phân bổ dữ liệu theo cơ quan

Tập dữ liệu khổng lồ này cho thấy bức tranh đáng lo ngại về phạm vi ảnh hưởng:

• Hơn 21.000 bản ghi liên quan đến nhân viên Cơ quan Hải quan và Bảo vệ Biên giới Mỹ (CBP), những người làm việc tại sân bay và các cửa khẩu.
• Khoảng 10.000 bản ghi thuộc về nhân viên Cơ quan Thực thi Di trú và Hải quan (ICE) cùng đơn vị Điều tra An ninh Nội địa (HSI).
• Gần 1.000 bản ghi của nhân viên Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA).
• Hàng nghìn bản ghi khác liên quan đến nhân viên trụ sở chính và các cơ quan khác như Sở Di trú và Nhập tịch Mỹ, Cơ quan Bảo vệ Liên bang.

Tổng số bản ghi bị rò rỉ tương đương khoảng một phần năm lực lượng lao động của DHS, với tổng số khoảng 220.000 nhân viên. Theo dấu thời gian trên mỗi bản ghi, dữ liệu có vẻ đã bị lấy ra vào khoảng giữa tháng 8.

Lỗ hổng bảo mật trong hệ thống chính phủ

Vụ việc này nối tiếp một loạt sự cố rò rỉ dữ liệu nhắm vào chính phủ Mỹ trong những tháng gần đây, sau các vụ đánh cắp hồ sơ nhân sự của hàng nghìn đặc vụ FBI và thông tin cá nhân của hàng triệu quân nhân tại đơn vị nhân sự thuộc Lầu Năm Góc.

Đây cũng là vụ xâm nhập thứ hai liên quan đến DHS trong năm nay, sau khi chính hacker Department of Peace tuyên bố đã lấy được hàng nghìn hợp đồng giữa bộ này với khu vực tư nhân, bao gồm các nhà thầu quốc phòng và nhà cung cấp thiết bị giám sát.

Về phía Okta, đại diện công ty khẳng định: "Okta vẫn an toàn và chúng tôi không có bằng chứng nào cho thấy dữ liệu hay hệ thống của mình bị xâm phạm". Tuy nhiên, phía DHS chưa đưa ra bình luận chính thức về vụ việc, và vẫn chưa rõ liệu lỗ hổng đã được khắc phục hay chưa.

Những tiết lộ về công cụ giám sát và an ninh mạng

Ngoài thông tin nhận dạng cá nhân, tập dữ liệu còn hé lộ chi tiết về các công nghệ giám sát và công cụ an ninh mạng mà nhân viên DHS có thể truy cập. Dữ liệu chứa thông tin về việc nhân viên thuộc các nhóm người dùng trong Active Directory của bộ — hệ thống kiểm soát quyền truy cập vào các công cụ nội bộ và dịch vụ bên thứ ba.

Phần lớn nhân viên trong tập dữ liệu thuộc nhóm có quyền truy cập Microsoft 365, dịch vụ đám mây lưu trữ email và tệp của cơ quan, cùng các nhóm sử dụng Adobe Acrobat, Citrix và phần mềm văn phòng thông dụng khác.

Đáng chú ý, khoảng 4.500 người dùng, bao gồm đặc vụ ICE và nhân viên thực thi trục xuất, thuộc nhóm có tên "Headspace_users" — liên quan đến dịch vụ trị liệu tâm lý trực tuyến Headspace từng có hợp đồng liên bang trị giá 82.500 USD với ICE. Hàng chục nhóm khác đề cập đến Penlink, công ty giám sát web chuyên theo dõi dữ liệu vị trí của hàng trăm triệu thiết bị di động.

Một nhóm người dùng còn bao gồm hơn 200 nhân viên CBP gắn với Mobile Fortify, ứng dụng nhận diện khuôn mặt được cả CBP và ICE dùng để xác minh danh tính và tình trạng di trú. Các nhóm khác lại liên quan đến quyền truy cập ChatGPT, bao gồm cả quan chức cấp cao của DHS, cũng như các nhóm phục vụ điều tra về các nhóm hacker do Trung Quốc hậu thuẫn như Salt Typhoon và Volt Typhoon.

Hệ lụy và phản ứng

Tập dữ liệu bị rò rỉ đã được cung cấp cho nhà báo và hacker maia arson crimew, người sau đó chia sẻ bản sao với DDoSecrets — tổ chức phi lợi nhuận chuyên lưu trữ các bộ dữ liệu bị rò rỉ vì lợi ích công cộng.

Các nhà nghiên cứu và những người ủng hộ minh bạch thông tin cho rằng dữ liệu bị lộ có thể cung cấp manh mối giá trị cho các cuộc điều tra. Theo Ryan Shapiro, giám đốc điều hành tổ chức phi lợi nhuận minh bạch Property of the People: "Địa chỉ email và số điện thoại là công cụ thiết yếu đối với các nhà nghiên cứu theo Đạo luật Tự do Thông tin (FOIA), thường tạo ra sự khác biệt giữa một yêu cầu mơ hồ bị cản trở và một yêu cầu đạt kết quả".

"Dữ liệu bị lộ này sẽ là chất xúc tác cho các cuộc điều tra, trao quyền cho nhà báo, các cuộc điều trần tại Quốc hội, các thách thức pháp lý, hành động cộng đồng và các yêu cầu theo Đạo luật Tự do Thông tin", Emma Best, đồng sáng lập DDoSecrets, nhận định.

Sự cố này một lần nữa gióng lên hồi chuông cảnh báo về bảo mật hạ tầng đám mây và hệ thống quản lý danh tính trong các cơ quan chính phủ. Với giới công nghệ Việt Nam, đây cũng là bài học về tầm quan trọng của việc quản lý quyền truy cập, kiểm soát chặt chẽ hệ thống đăng nhập một lần và thường xuyên rà soát các nhóm người dùng trong hệ thống để giảm thiểu phạm vi ảnh hưởng khi xảy ra sự cố.