Tin tặc dùng AI tấn công fintech Ấn Độ vào cuối tuần

Cơ quan ứng cứu khẩn cấp máy tính Ấn Độ (CERT-IN) vừa cảnh báo ngành dịch vụ tài chính nước này về việc gia tăng mạnh các cuộc tấn công từ một nhóm tội phạm mạng có sự hỗ trợ của AI. Điều đáng chú ý là nhóm này chọn đúng cuối tuần và ngày lễ để hành động, khi đội ngũ phòng thủ ít người trực.

Nhóm tấn công có tên CRAFTY FALCON

CERT-IN lần đầu phát hiện các cuộc tấn công vào tháng 10 và phát đi khuyến cáo tới các nền tảng cho vay số, công ty fintech, nhà cung cấp dịch vụ thanh toán và đơn vị vận hành ví điện tử. Mục tiêu của tin tặc là các ứng dụng hướng internet, API (giao diện lập trình ứng dụng) bị lộ và các điểm cuối có đặc quyền cao. Khi tìm được đường vào, chúng lợi dụng các API thanh toán để chiếm đoạt tiền.

Trong bản cập nhật công bố hôm thứ Năm, CERT-IN cho biết vẫn tiếp tục nhận được báo cáo về các vụ tấn công thành công, kể cả từ những đơn vị đã cố khắc phục hệ thống sau sự cố trước đó.

"Chính những đơn vị này bị nhắm mục tiêu lại một cách có chủ đích, kể cả sau khi khắc phục chưa hoàn chỉnh, và các cuộc tấn công được canh đúng dịp lễ, cuối tuần và những khung giờ ít giám sát khác nhằm kéo dài thời gian phát hiện và ứng phó", CERT-IN cảnh báo.

Cơ quan này đã đặt tên cho nhóm tấn công là CRAFTY FALCON.

Bộ công cụ AI và chiến thuật tấn công

Theo CERT-IN, CRAFTY FALCON sử dụng các công cụ tăng cường bằng AI, gồm công cụ kiểm thử xâm nhập ARTEX, công cụ tìm kiếm tấn công Cairn và framework CyberStrikeAI. Tất cả đều từng được gắn với những người dùng có dấu hiệu nói tiếng Trung.

Chiến thuật của nhóm là săn tìm các môi trường kiểm thử hoặc phát triển bị lộ ra internet, nơi chúng tìm thấy những "dấu vết" như thông tin đăng nhập dùng chung, token (mã xác thực) hoặc đường dẫn mạng giúp chúng xâm nhập vào hệ thống vận hành thật.

Khi đã vào được, nhóm viết lại ứng dụng của nạn nhân để chúng thực hiện những việc như gọi API trái phép. Hệ thống phòng thủ của nạn nhân vốn mặc định rằng chỉ ứng dụng hợp lệ mới gọi các API đó, nên hoạt động của những ứng dụng bị chỉnh sửa không bị gắn cờ là tấn công.

Ngay cả khi nghi ngờ bị tấn công, nạn nhân cũng gặp rất nhiều khó khăn, bởi CERT-IN cho biết CRAFTY FALCON tạo ra nhiều biến thể "có chức năng giống hệt nhau, được tinh chỉnh liên tiếp với tốc độ cao; một mô thức phù hợp với mã do AI sinh ra và quy trình phát triển có AI hỗ trợ lặp đi lặp lại". Nhóm này cũng nhanh chóng khai thác các lỗ hổng mới phát hiện để giữ cho các đòn tấn công luôn mới.

Thử bằng khoản tiền 0,01 USD

Sau khi có chỗ đứng, nhóm tội phạm thực hiện những khoản thanh toán nhỏ khoảng 0,01 USD để kiểm tra đòn tấn công có hiệu quả không. Nếu các giao dịch này thành công, CRAFTY FALCON chuyển sang những khoản tiền lớn hơn. Khi mục tiêu là sàn giao dịch tiền mã hóa hoặc nhà cung cấp dịch vụ tài sản số, nhóm đánh cắp khóa ví và rút sạch ví tiền mã hóa.

CERT-IN khuyến nghị doanh nghiệp Ấn Độ nâng cao năng lực ghi log sự kiện, giám sát bất thường theo thời gian thực và gửi cảnh báo. Cơ quan này cũng yêu cầu giữ môi trường kiểm thử tách khỏi internet và hạn chế quyền truy cập tài nguyên đám mây, vì CRAFTY FALCON rất thích dùng chúng để triển khai tấn công. CERT-IN nhấn mạnh các cuộc tấn công đang "diễn ra và leo thang", do đó cần giám sát 24/7.

Góc nhìn

Với các kỹ sư và đội vận hành tại Việt Nam, câu chuyện này nhắc lại một điểm yếu quen thuộc: môi trường staging hay dev bị mở ra internet với thông tin đăng nhập dùng chung. Đây chính là cánh cửa mà kẻ tấn công tìm đến đầu tiên, và việc vá lỗi nửa vời còn nguy hiểm hơn vì tổ chức dễ chủ quan rằng mình đã an toàn.

Bài học thực tế là việc xác thực không nên chỉ dựa vào việc "ứng dụng này có quyền gọi API kia", mà cần gắn chặt với danh tính, chữ ký hay hành vi của từng phiên bản ứng dụng. Bên cạnh đó, các hệ thống giám sát và cảnh báo tự động cần chạy cả ngoài giờ hành chính, bởi kẻ tấn công có AI không nghỉ cuối tuần.