Không quân Mỹ dùng USB nhiễm mã độc để lập kế hoạch tác chiến ở Afghanistan

Các phi công Không quân Mỹ từng dùng ổ USB để lập kế hoạch cho các nhiệm vụ tại Afghanistan, và những chiếc USB đó thường được mua trôi nổi ở chợ địa phương — nơi đối phương có thể dễ dàng cài sẵn mã độc trước khi bán cho lính Mỹ.

Thói quen "sneakernet" tai hại

Câu chuyện được Justin Henkel — hiện là Giám đốc An ninh thông tin (CISO) của SolarWinds, từng làm về an ninh CNTT trong Không quân Mỹ — kể lại trong chuyên mục PWNED của The Register. Thời điểm ông còn phục vụ, vào đầu những năm 2000, đĩa CD là phương tiện chính để chuyển dữ liệu nhiệm vụ.

Quy trình khi đó diễn ra như sau: ghi dữ liệu ra đĩa CD, mang đĩa đó sang hệ thống mật để hoàn tất phần còn lại của khâu lập kế hoạch bay, rồi lại mang chính chiếc đĩa ấy lên máy bay. Dữ liệu trên đĩa giúp phi công điều hướng và chứa thông tin về các mối đe dọa có thể gặp trên đường.

Khi ổ USB trở nên phổ biến, giới phi công chuyển sang dùng chúng thay cho đĩa CD — với đúng thói quen cũ.

"Họ không thực sự nghĩ tới tác động tổng thể giữa hệ thống mật và không mật. Dùng cùng một thiết bị cho cả hai, họ không hiểu rằng người ta có thể ghi mã độc vào USB. Họ không nắm được bức tranh mối đe dọa tổng thể."

Mua USB ở chợ Kabul

Điểm chí mạng nằm ở nguồn thiết bị. Theo Henkel, nhân viên Không quân thường mua ổ nhớ trực tiếp từ các nhà cung cấp địa phương thay vì đặt hàng từ nhà thầu quân sự chính thức. Nếu đang ở Afghanistan, nguồn hàng có thể chỉ là một cửa hàng ở Kabul — và đó không phải một chuỗi bán lẻ điện tử đáng tin cậy.

"Mang một máy tính từ Mỹ vào nước sở tại còn khó hơn nhiều so với việc mua đồ ngay tại chỗ. Nên họ cứ ra chợ ở Kabul hay bất kỳ thành phố nào họ đóng quân, thiết lập quan hệ với nhà bán hàng địa phương, kiểu: 'Này, tôi cần 100 cây USB'."

Đối phương nhanh chóng nhận ra cơ hội. Các ổ USB đã cài sẵn mã độc bắt đầu được bán cho những nhà cung cấp địa phương ở Trung Đông.

Điều đáng nói là Henkel đã nhận ra vấn đề từ rất sớm. Ông biết rằng việc dùng thiết bị di động để bắc cầu giữa hệ thống mật và không mật là công thức dẫn tới thảm họa. Chỉ có điều không ai chịu nghe.

"Thật sốc. Tôi chỉ là một anh chàng 22 tuổi, cấp bậc thấp nhất trong toàn hệ thống, lại đi nói với các đại tá và thiếu tá rằng việc họ đang làm là vi phạm."

Cái giá phải trả

Năm 2008, Bộ Quốc phòng Mỹ bị lây nhiễm mã độc sau khi ai đó cắm một ổ USB nhiễm bệnh vào máy tính có quyền truy cập Bộ Tư lệnh Trung tâm Mỹ. Con sâu mang tên Agent.BTZ có khả năng thu thập thông tin từ máy bị nhiễm và liên lạc với máy chủ từ xa.

Theo báo cáo năm 2016 của FBI và Bộ An ninh Nội địa Mỹ, mã độc này được quy cho một hoặc nhiều nhóm tin tặc Nga. Lầu Năm Góc mất tới 14 tháng mới quét sạch nó khỏi hệ thống.

Chính vụ việc này mới khiến Lầu Năm Góc tỉnh ngộ và ban hành lệnh cấm dùng ổ USB vào năm 2008, buộc mọi hoạt động truyền dữ liệu phải đi qua các hệ thống an toàn hơn. Đến năm 2010, ổ USB mới được cho phép trở lại trong một số trường hợp nhất định.

Bài học cho doanh nghiệp Việt Nam

Câu chuyện tưởng như chỉ liên quan tới quân đội, nhưng thực ra là lời cảnh tỉnh rất trực tiếp cho các tổ chức tại Việt Nam.

• Đừng bao giờ dùng chung thiết bị lưu trữ cho hệ thống có mức độ mật khác nhau. Đây là nguyên tắc vàng, kể cả khi tổ chức bạn không phải cơ quan quốc phòng.
• Không mua thiết bị CNTT trôi nổi, không rõ nguồn gốc. USB, ổ cứng di động hay thậm chí thiết bị mạng mua lại từ chợ đều có thể đã bị cài firmware độc hại.
• Lỗ hổng lớn nhất thường không nằm ở công nghệ mà ở con người. Một quy trình sai được lặp đi lặp lại bởi hàng trăm người sẽ tạo ra rủi ro lớn hơn bất kỳ lỗ hổng phần mềm nào.
• Ý kiến từ nhân viên cấp thấp vẫn đáng được lắng nghe. Nhiều sự cố an ninh nghiêm trọng đã được cảnh báo trước, chỉ là không ai chịu tiếp nhận.

Trong bối cảnh các doanh nghiệp Việt Nam đẩy mạnh chuyển đổi số, việc kiểm soát chặt chẽ nguồn gốc thiết bị và tách biệt hệ thống theo cấp độ bảo mật không còn là chuyện xa vời — nó là điều kiện sống còn để tránh lặp lại sai lầm mà Không quân Mỹ từng mắc phải.