Hacker Trung Quốc do thám hàng nghìn doanh nghiệp sau khi xâm nhập "ông lớn" IT ConnectWise

Tuần lễ tồi tệ của ngành an ninh mạng vừa trở nên nghiêm trọng hơn với hàng nghìn doanh nghiệp khác, khi họ bị gián điệp mạng nhắm tới sau vụ xâm nhập vào ConnectWise – "ông lớn" chuyên cung cấp giải pháp quản lý IT và truy cập từ xa.

Lỗ hổng từ dịch vụ sao lưu đám mây

Theo các nhà nghiên cứu bảo mật tại Microsoft, nhóm hacker được cho là có liên hệ với nhà nước Trung Quốc đã đột nhập vào dịch vụ sao lưu đám mây của ConnectWise và đánh cắp thông tin xác thực ứng dụng. Đây chính là loại chứng chỉ dùng để thiết lập kết nối dữ liệu giữa ConnectWise và các khách hàng doanh nghiệp – những đơn vị phụ thuộc vào dịch vụ đám mây này để sao lưu dữ liệu công ty.

Với thông tin xác thực bị đánh cắp, kẻ tấn công có thể đăng nhập vào môi trường Microsoft do khách hàng thuê như thể là một người dùng hợp pháp, từ đó truy cập vào email và các tệp tin khác. Đây là dạng tấn công đặc biệt nguy hiểm vì nó không cần phá vỡ lớp bảo vệ bên ngoài mà mạo danh chính chủ tài khoản để vượt qua các kiểm soát truy cập.

AI agent đẩy tốc độ tấn công lên mức chưa từng thấy

Điểm đáng lo ngại nhất trong vụ việc là tốc độ của đợt tấn công hàng loạt. Theo Microsoft, hacker đã sử dụng AI agent để xâm nhập vào khoảng 2.250 tổ chức với tốc độ gần 3.000 lần thử đăng nhập mỗi phút.

Tốc độ này khiến lực lượng phòng thủ có "rất ít thời gian để phát hiện và phản ứng", Microsoft nhận định.

Công cụ được cho là đứng sau tốc độ này là ARTEX, một framework AI mã nguồn mở có khả năng phối hợp với các mô hình AI để kiểm thử áp lực lên hệ thống phòng thủ mạng. Đáng chú ý, phần mềm AI tương tự cũng từng được sử dụng trong một vụ xâm nhập gần đây vào hệ thống tài chính của Hàn Quốc – nơi nhiều hệ thống có bảo mật yếu và thiếu xác thực đa yếu tố (MFA).

Phản ứng từ ConnectWise

ConnectWise cho biết đã tạm dừng quyền truy cập vào hệ thống sao lưu đám mây của mình và đang tiến hành điều tra vụ xâm nhập. Tính đến thứ Năm, công ty này cho biết đang nỗ lực khôi phục dịch vụ.

Bài học cho doanh nghiệp Việt Nam

Sự việc này là lời cảnh tỉnh rõ ràng cho các doanh nghiệp Việt Nam, đặc biệt là những đơn vị phụ thuộc vào nhà cung cấp bên thứ ba cho các dịch vụ hạ tầng quan trọng:

• Bật xác thực đa yếu tố (MFA) cho mọi tài khoản quản trị và tài khoản có quyền truy cập dữ liệu nhạy cảm.
• Rà soát quyền truy cập của các nhà cung cấp bên thứ ba, đặc biệt là các chứng chỉ ứng dụng dùng để kết nối giữa hệ thống nội bộ và dịch vụ đám mây.
• Áp dụng nguyên tắc đặc quyền tối thiểu, không cấp quyền rộng hơn mức cần thiết cho các tích hợp dịch vụ.
• Giám sát hành vi đăng nhập bất thường, đặc biệt là các đợt thử đăng nhập với tần suất dày đặc từ các địa chỉ IP lạ.
• Xây dựng kế hoạch ứng phó sự cố cho tình huống nhà cung cấp bên thứ ba bị xâm nhập.

Việc AI ngày càng được tin tặc khai thác để tự động hóa và tăng tốc các cuộc tấn công cho thấy cuộc đua giữa tấn công và phòng thủ đang bước sang một giai đoạn mới, nơi tốc độ phản ứng của con người ngày càng khó theo kịp máy móc.