Tin tặc có luồng dữ liệu trực tiếp từ mọi công ty xác minh danh tính trong hơn một năm

Một sự cố bảo mật nghiêm trọng vừa được hé lộ, cho thấy tin tặc đã xâm nhập và theo dõi trực tiếp toàn bộ quá trình quét giấy tờ tùy thân do các công ty xác minh danh tính thực hiện trong suốt 12 tháng. Vụ rò rỉ này không chỉ khiến dữ liệu cá nhân của người dùng rơi vào tay kẻ xấu mà còn đặt ra câu hỏi lớn về độ tin cậy của hệ sinh thái bảo mật danh tính số.

Vụ tấn công xảy ra như thế nào?

Theo báo cáo, nhóm tin tặc đã không tấn công trực tiếp vào hệ thống của một công ty đơn lẻ. Thay vào đó, chúng khai thác lỗ hổng trong chuỗi cung ứng phần mềm, xâm nhập vào nền tảng trung gian mà nhiều công ty xác minh danh tính sử dụng. Từ đó, tin tặc có được "luồng dữ liệu trực tiếp" (live feed) — tức là có thể xem và trích xuất toàn bộ hình ảnh, video selfie, và dữ liệu giấy tờ được quét trong thời gian thực.

Điều đáng lo ngại là cuộc tấn công kéo dài hơn một năm mà không bị phát hiện. Điều này cho thấy khả năng che giấu hành vi của nhóm tấn công rất tinh vi, đồng thời cho thấy các biện pháp giám sát an ninh của các công ty này vẫn còn nhiều khoảng trống.

Ai là nạn nhân?

Mọi cá nhân đã sử dụng dịch vụ trực tuyến yêu cầu xác minh danh tính trong khoảng thời gian đó đều có thể bị ảnh hưởng. Các lĩnh vực bị ảnh hưởng nặng nề nhất bao gồm:

• Các ngân hàng số và ví điện tử
• Các sàn giao dịch tiền mã hóa
• Nền tảng kinh tế chia sẻ (xe công nghệ, nhà trọ)
• Dịch vụ viễn thông và mạng xã hội

Khi tin tặc có trong tay dữ liệu giấy tờ tùy thân (CCCD, hộ chiếu) kèm ảnh selfie, chúng có thể sử dụng để giả mạo danh tính, mở tài khoản trái phép hoặc thực hiện các hành vi lừa đảo tài chính.

Tác động đến người dùng Việt Nam

Tại Việt Nam, việc xác minh danh tính điện tử (eKYC) đã trở nên phổ biến, đặc biệt trong lĩnh vực ngân hàng số và các ứng dụng tài chính như MoMo, ZaloPay hay các ngân hàng như Timo, VPBank. Hàng triệu người dùng đã quét CCCD gắn chip hoặc hộ chiếu trên các ứng dụng này để mở tài khoản.

Nếu một trong các đối tác cung cấp nền tảng eKYC cho các dịch vụ trên bị tấn công, người dùng Việt Nam có nguy cơ cao bị đánh cắp thông tin. Người dùng cần lưu ý:

• Tuyệt đối không chia sẻ ảnh chụp giấy tờ tùy thân với người lạ qua mạng xã hội hay ứng dụng tin nhắn
• Chỉ thực hiện xác minh danh tính trên các ứng dụng chính thức từ các nhà cung cấp dịch vụ uy tín
• Theo dõi sao kê ngân hàng thường xuyên để phát hiện các giao dịch bất thường
• Nâng cao ý thức trước các cuộc gọi hoặc tin nhắn giả mạo nhân viên ngân hàng

Bài học lớn cho ngành công nghiệp

Vụ việc này là một hồi chuông cảnh tỉnh cho toàn bộ hệ sinh thái công nghệ định danh số. Nhiều công ty xác minh danh tính hiện nay tập trung vào trải nghiệm người dùng quá mức mà lơ là yếu tố bảo mật vòng đời của dữ liệu.

“Đây không phải là câu chuyện của một công ty, mà là điểm mù của toàn ngành. Một điểm yếu trong chuỗi cung cung có thể khiến hàng triệu hồ sơ nhạy cảm bị phơi bày.” — Một chuyên gia an ninh mạng giấu tên nhận định.

Các công ty xác minh danh tính cần phải:

• Thiết lập cơ chế mã hóa đầu cuối các luồng dữ liệu
• Tiến hành kiểm tra bảo mật định kỳ và đánh giá rủi ro từ đối tác
• Xóa dữ liệu người dùng ngay sau khi quá trình xác minh hoàn tất, thay vì lưu trữ lâu dài
• Tuân thủ nghiêm ngặt các quy định bảo vệ dữ liệu cá nhân như Nghị định 13/2023/NĐ-CP của Chính phủ Việt Nam

Vụ tấn công kéo dài hơn một năm không chỉ là thất bại của một doanh nghiệp mà còn là thất bại chung của ngành công nghệ trong việc bảo vệ một trong những loại dữ liệu giá trị và nhạy cảm bậc nhất hiện nay.