Mật khẩu "Password1" và tài khoản test bị lãng quên khiến hai tổ chức xứ Wales bị khiển trách

Hai tổ chức tại xứ Wales vừa hứng chịu chỉ trích từ cơ quan quản lý dữ liệu Anh sau một vụ tấn công mã độc tống tiền nghiêm trọng. Điều đáng nói là lỗ hổng khởi nguồn chỉ là một tài khoản thử nghiệm với mật khẩu "Password1" bị lãng quên hơn một thập kỷ.

Vụ việc bắt đầu từ đâu?

Theo Văn phòng Ủy viên Thông tin Anh (ICO), ngày 1/11/2024, tổ chức Data Cymru – đơn vị hỗ trợ các cơ quan công quyền trên khắp xứ Wales khai thác dữ liệu hiệu quả – đã trở thành nạn nhân của một cuộc tấn công mã độc tống tiền. Kẻ xâm nhập đã lợi dụng tài khoản thử nghiệm có tên Test2 để đột nhập vào hệ thống mạng.

Trước khi triển khai mã độc, đối tượng đã đánh cắp 42 GB dữ liệu từ một máy chủ điều khiển miền chính, một máy chủ tệp và một máy chủ SQL. Sau đó, chúng mã hóa 182,7 GB dữ liệu lưu trữ trên máy chủ tệp và máy chủ cơ sở dữ liệu nội bộ.

Toàn bộ sự việc ảnh hưởng tới dữ liệu cá nhân của 3.300 người, trong đó phần lớn là trẻ em.

Chuỗi sai lầm nối tiếp sai lầm

Ogi Networks Limited (ONL) – đơn vị cung cấp hạ tầng máy chủ, kết nối, giấy phép và hỗ trợ kỹ thuật cho Data Cymru – cho biết đã tạo tài khoản Test2 từ ngày 13/1/2012 trong giai đoạn đầu của dự án hợp tác.

"ONL xác nhận rằng việc tạo tài khoản 'Test2' có thể nhằm mục đích kiểm thử quyền truy cập người dùng trước khi chuyển các người dùng 'thật' sang dịch vụ của mình. Khi được tạo, tài khoản 'Test2' được gán mật khẩu 'Password1'", ICO cho biết.

Công cụ đánh giá độ mạnh mật khẩu của Bitwarden xếp "Password1" vào mức "rất yếu", với thời gian bẻ khóa ước tính chưa đến một giây.

Nghiêm trọng hơn, ICO phát hiện ba hệ thống bị ảnh hưởng đều dùng chung một mật khẩu cho tài khoản quản trị cục bộ. Điều này đồng nghĩa chỉ cần xâm nhập một hệ thống, kẻ tấn công có thể thu thập mã băm tài khoản và dùng chúng để xác thực truy cập vào các hệ thống còn lại trong mạng của Data Cymru.

Cơ quan quản lý cũng cho biết ONL không hề rà soát lại các tài khoản quản trị cục bộ kể từ khi triển khai ban đầu. Các tài khoản này vẫn hoạt động bất kể có được dùng hay không, và tiếp tục sử dụng mật khẩu mặc định được thiết lập từ tháng 1/2012 – tức là kéo dài hơn 12,5 năm.

Cả hai bên đều có trách nhiệm

ICO đã khiển trách ONL theo Điều 32 của GDPR Anh vì không triển khai "các biện pháp kỹ thuật và tổ chức phù hợp" để bảo đảm an toàn cho hệ thống xử lý dữ liệu, đồng thời không thường xuyên đánh giá các biện pháp này. Cơ quan này cũng phát hiện ONL không có quy trình kiểm toán nào để rà soát tài khoản người dùng trong Active Directory của Data Cymru.

Ở một văn bản khiển trách riêng, ICO cũng chỉ ra những thiếu sót trong các biện pháp bảo mật của chính Data Cymru.

"Password1 không phải là một mật khẩu phù hợp, nó là một cánh cửa rộng mở cho những kẻ xấu. Sự cố này cho thấy chỉ một mật khẩu yếu gắn với một tài khoản không còn cần thiết cũng đủ mở đường cho một cuộc tấn công mạng nghiêm trọng ảnh hưởng tới hàng nghìn người", ông David Doodson, trưởng bộ phận điều tra của ICO, nhận định.

Theo ông Doodson, trách nhiệm không thuộc về riêng một tổ chức nào. ONL tạo ra tài khoản thử nghiệm, trong khi Data Cymru nắm quyền kiểm soát tổng thể hệ thống mạng, bao gồm quyền yêu cầu ONL tạo hoặc xóa tài khoản. Cả hai bên đều chưa thiết lập được các biện pháp đủ rõ ràng và hiệu quả để thường xuyên phát hiện và loại bỏ các tài khoản cũ.

Bài học cho doanh nghiệp và cơ quan Việt Nam

Sự cố này là lời cảnh tỉnh cho các tổ chức tại Việt Nam, đặc biệt trong bối cảnh chuyển đổi số đang diễn ra mạnh mẽ ở cả khu vực công lẫn tư nhân:

• Quản lý vòng đời tài khoản: Cần có quy trình rà soát định kỳ, vô hiệu hóa ngay các tài khoản thử nghiệm, tài khoản của nhân sự đã nghỉ việc.
• Không dùng chung mật khẩu quản trị: Mỗi hệ thống cần mật khẩu riêng biệt, được quản lý qua trình quản lý mật khẩu hoặc giải pháp đặc quyền (PAM).
• Xác thực đa yếu tố (MFA): Áp dụng bắt buộc cho mọi tài khoản quản trị và tài khoản truy cập từ xa.
• Kiểm toán và giám sát: Ghi log, theo dõi hành vi bất thường và thực hiện đánh giá bảo mật định kỳ.
• Phân định trách nhiệm rõ ràng: Khi thuê ngoài hạ tầng, hợp đồng cần quy định cụ thể trách nhiệm bảo mật của từng bên.

Một mật khẩu tưởng chừng vô hại như "Password1" đã mở ra chuỗi hệ lụy kéo dài hơn một thập kỷ. Với các tổ chức đang nắm giữ dữ liệu của hàng nghìn người dân, việc siết chặt quản trị tài khoản không còn là tùy chọn mà là yêu cầu bắt buộc.