Nhóm tin tặc ShinyHunters rò rỉ dữ liệu hàng trăm nghìn người dân Florida sau khi tấn công cơ sở dữ liệu xe cộ

Nhóm tin tặc ShinyHunters vừa công bố hàng trăm nghìn tệp dữ liệu đánh cắp từ cơ sở dữ liệu phương tiện và thông tin người lái xe của bang Florida (Mỹ). Đây là hậu quả của một cuộc tấn công mạng nghiêm trọng nhắm vào hệ thống dữ liệu của cơ quan quản lý xe cơ giới bang này.

Diễn biến vụ tấn công

Theo thông tin từ nhóm tin tặc, chúng đã xâm nhập thành công vào cơ sở dữ liệu có tên gọi DAVID vào đầu tháng 9. Sau khi cơ quan chức năng bang Florida không đáp ứng yêu cầu tiền chuộc, nhóm này đã quyết định công bố toàn bộ dữ liệu đánh cắp lên trang web rò rỉ của mình.

"Vì nạn nhân không trả tiền chuộc cũng như không hợp tác và tuân thủ các yêu cầu của chúng tôi" — ShinyHunters tuyên bố trên trang leak site.

Để chứng minh cho tuyên bố của mình, nhóm tin tặc đã đăng tải một ảnh chụp màn hình được cho là bản ghi dữ liệu liên quan đến Jeffrey Epstein, kẻ phạm tội tình dục đã qua đời và từng có nơi cư trú tại bang này.

Cơ quan chức năng xác nhận vi phạm dữ liệu

Cơ quan Quản lý An toàn và Xe cơ giới Florida (FLHSMV) đã chính thức xác nhận vụ vi phạm dữ liệu trong một tuyên bố vào tuần trước. Theo cơ quan này, tin tặc đã có được thông tin đăng nhập của một sĩ quan cảnh sát được lưu trữ trên thiết bị cá nhân, từ đó tạo bàn đạp để tấn công vào hệ thống.

Tuy nhiên, người phát ngôn của cơ quan đã không phản hồi yêu cầu bình luận của báo giới về khối lượng dữ liệu đã bị công bố.

Quy mô và loại dữ liệu bị đánh cắp

Theo bản sao dữ liệu bị đánh cắp mà giới truyền thông công nghệ đã tiếp cận được, nhóm tin tặc đã lấy đi hàng trăm nghìn giấy chứng nhận quyền sở hữu xe, bao gồm:

• Tên và địa chỉ của cả người mua lẫn người bán xe
• Số khung (VIN) của phương tiện
• Một số lượng nhỏ tệp chứa số An sinh xã hội (SSN)
• Các giấy tờ do chính phủ cấp như hộ chiếu nước ngoài và giấy tờ nhập cư

Đáng chú ý, dữ liệu bị rò rỉ dường như không bao gồm bằng lái xe hoặc ảnh chân dung của người dân — những thông tin nhạy cảm nhất thường bị tin tặc nhắm tới trong các vụ tấn công tương tự.

Bối cảnh đáng lo ngại về an ninh dữ liệu

Vụ việc này diễn ra chỉ trong cùng một tháng với một cuộc tấn công mạng quy mô lớn khác nhắm vào công ty xác minh danh tính IDScan. Vụ tấn công đó đã cho phép tin tặc đánh cắp hơn 150 triệu ảnh bằng lái xe — một trong những vụ rò rỉ dữ liệu danh tính lớn nhất từ trước đến nay.

Hai sự việc liên tiếp này cho thấy mối đe dọa ngày càng gia tăng đối với các cơ sở dữ liệu chứa thông tin cá nhân nhạy cảm. Đối với người dùng, việc các cơ quan nhà nước và doanh nghiệp xác minh danh tính trở thành mục tiêu của tin tặc đồng nghĩa với nguy cơ bị đánh cắp danh tính và lừa đảo tài chính ngày càng cao.

Bài học cho Việt Nam

Vụ việc là lời cảnh tỉnh cho các cơ quan quản lý dữ liệu công tại Việt Nam, đặc biệt trong bối cảnh quá trình chuyển đổi số đang diễn ra mạnh mẽ. Việc lưu trữ thông tin đăng nhập trên thiết bị cá nhân, thiếu xác thực đa yếu tố (MFA) và không có hệ thống giám sát truy cập bất thường là những lỗ hổng phổ biến có thể dẫn đến hậu quả nghiêm trọng tương tự.

Các tổ chức cần xem xét áp dụng nguyên tắc đặc quyền tối thiểu, mã hóa dữ liệu nhạy cảm ngay cả khi lưu trữ, và xây dựng kế hoạch ứng phó sự cố bài bản để giảm thiểu thiệt hại khi bị tấn công.