Rò rỉ hơn 41.000 hồ sơ nhân viên Bộ An ninh Nội địa Mỹ qua hệ thống Okta

Một tin tặc tự xưng là "Department of Peace" đã công bố công khai cơ sở dữ liệu chứa thông tin cá nhân và thông tin công việc của hơn 41.000 nhân viên Bộ An ninh Nội địa Mỹ (DHS). Theo lời kẻ tấn công, dữ liệu này bị đánh cắp từ hệ thống đăng nhập một lần (SSO) của Okta mà nhân viên và nhà thầu DHS sử dụng để truy cập môi trường trung tâm của bộ.

Minh họa an ninh mạng

Trong ghi chú kèm theo, tin tặc viết: "Họ nắm thông tin của chúng ta, nên công bằng mà nói chúng ta cũng nên có thông tin của họ."

Dữ liệu bị lộ thuộc về những cơ quan nào?

Phần lớn hồ sơ bị rò rỉ liên quan đến nhân viên của Cục Hải quan và Bảo vệ Biên giới (CBP), Cơ quan Thực thi Di trú và Hải quan (ICE) và Cơ quan Điều tra An ninh Nội địa (HSI). Ngoài ra, khoảng 1.000 nhân viên thuộc CISA cùng nhân sự của một số cơ quan khác trực thuộc DHS cũng bị ảnh hưởng.

Thông tin bị xâm phạm bao gồm:

• Họ tên và địa chỉ email công vụ
• Số điện thoại và chức danh công việc
• Vị trí văn phòng làm việc
• Danh sách các hệ thống và ứng dụng nội bộ mà mỗi tài khoản có quyền truy cập

Kẻ tấn công thậm chí còn cung cấp một công cụ tra cứu trực tuyến để tìm kiếm dữ liệu trong cơ sở dữ liệu đã bị rò rỉ.

Phản hồi từ các bên liên quan

Đại diện Okta khẳng định với SecurityWeek: "Chúng tôi đã biết về báo cáo này. Okta vẫn an toàn và chúng tôi không có bằng chứng nào cho thấy dữ liệu hay hệ thống của mình bị xâm phạm."

Về phía DHS, người phát ngôn của bộ cho biết cơ quan đang tích cực xử lý sự việc: "Chúng tôi coi trọng mọi mối đe dọa an ninh nhằm vào nhân viên và cán bộ của mình, và sẽ làm việc để đảm bảo tất cả đều được bảo vệ đúng cách."

Mối nguy lớn nhất: Lộ bản đồ truy cập hệ thống

Tổ chức Distributed Denial of Secrets – đơn vị đã có được bản sao cơ sở dữ liệu và đặt tên là "Icepick" – cho rằng dữ liệu bị lộ có thể nhận diện được các quan chức phụ trách hoạt động bí mật, hoạt động ngầm cũng như nhân sự chủ chốt trong các chương trình trục xuất và hồi hương của DHS.

"Phần đáng lo ngại nhất của vụ rò rỉ này là thông tin truy cập đi kèm. Nếu kẻ tấn công biết nhân viên nào có quyền truy cập vào hệ thống và ứng dụng nào, họ gần như đã được trao tận tay một tấm bản đồ chỉ rõ cần đi tới đâu và nhắm vào ai để tới được đó", ông Gary Barlet, CTO mảng khu vực công của Illumio, nhận định.

Điều này đặc biệt nguy hiểm vì kẻ tấn công có thể dùng thông tin đó để thực hiện các cuộc tấn công lừa đảo có chủ đích (spear phishing) nhắm vào những nhân viên có đặc quyền cao, hoặc xây dựng lộ trình leo thang đặc quyền trong mạng nội bộ.

Chuỗi sự cố an ninh liên tiếp tại Mỹ

Vụ việc diễn ra chỉ một tháng sau khi nhóm tống tiền khét tiếng ShinyHunters xâm phạm hệ thống của FBI, và ba tháng sau khi Mạng thông tin An ninh Nội địa (HSIN) bị tấn công.

Đây là lời nhắc nhở rõ ràng rằng các hệ thống đăng nhập một lần (SSO) – dù được xem là lớp bảo vệ trung tâm – vẫn có thể trở thành mục tiêu giá trị cao nếu kẻ tấn công chiếm được quyền truy cập. Với các tổ chức tại Việt Nam đang đẩy mạnh chuyển đổi số và áp dụng SSO, bài học là cần triển khai xác thực đa yếu tố (MFA), giám sát quyền truy cập theo nguyên tắc đặc quyền tối thiểu và thường xuyên rà soát nhật ký hệ thống.

SecurityWeek