Tin tặc làm lộ danh tính hơn 40.000 nhân viên Bộ An ninh Nội địa Mỹ

Một nhóm tin tặc hoạt động theo hình thức hacktivist tuyên bố đã đánh cắp hồ sơ nhân sự của Bộ An ninh Nội địa Mỹ (DHS), làm lộ danh tính của hơn 40.000 nhân viên, đặc vụ và cộng sự — trong đó có cả những người đang tham gia các chiến dịch bí mật.

Vụ việc được đánh giá là một trong những đợt rò rỉ dữ liệu nghiêm trọng nhất nhắm vào lực lượng thực thi pháp luật của Mỹ, đặt ra câu hỏi lớn về mức độ an toàn của các hệ thống xác thực tập trung.

Cách thức xâm nhập và dữ liệu bị lộ

Theo các bài đăng trực tuyến, nhóm tin tặc tự xưng là Department of Peace cho biết đã lấy được dữ liệu bằng cách vượt qua hệ thống đăng nhập một lần (Single Sign-On - SSO) của DHS. Đây là kiến trúc xác thực phổ biến cho phép người dùng truy cập nhiều hệ thống nội bộ chỉ với một tài khoản duy nhất — tiện lợi, nhưng cũng là mục tiêu hấp dẫn vì chỉ cần một điểm yếu là có thể mở rộng quyền truy cập ra toàn bộ hệ sinh thái.

Sau khi đánh cắp, nhóm này đã chuyển dữ liệu cho tổ chức Distributed Denial of Secrets (DDoSecrets), nơi công bố chúng trong một cơ sở dữ liệu trực tuyến có thể tra cứu mang tên Icepick.

Bên cạnh đó, dữ liệu cũng được chia sẻ với nhà báo Mỹ Ryan Ottignon và một tin tặc quốc tịch Thụy Sĩ có biệt danh maia arson crimew. Crimew đảm nhận toàn bộ phần kỹ thuật để xây dựng công cụ tra cứu.

Quy mô của vụ rò rỉ

Khối dữ liệu bị lộ bao gồm:

• Hơn 21.000 bản ghi liên quan đến nhân viên Cơ quan Hải quan và Bảo vệ Biên giới Mỹ (CBP)
• Khoảng 10.000 bản ghi của nhân viên Cơ quan Thực thi Di trú và Hải quan (ICE) và đơn vị Điều tra An ninh Nội địa (HSI)
• Phần còn lại thuộc nhiều đơn vị khác trong DHS

Dù con số 40.000 rất lớn, cơ sở dữ liệu này vẫn chưa đầy đủ, chỉ tương đương khoảng 1/5 lực lượng lao động của DHS, vốn có hơn 220.000 người. Thông tin bị lộ gồm tên, số điện thoại và địa chỉ của các đặc vụ, trong đó có những người đang tham gia hoạt động bí mật — yếu tố khiến vụ việc đặc biệt nhạy cảm.

Tranh cãi về "doxxing" và giám sát quyền lực

Đồng sáng lập DDoSecrets, Emma Best, mô tả vụ rò rỉ là "phi thường nhưng đơn giản một cách đánh lừa", bởi nó phơi bày mối liên hệ trực tiếp giữa các quan chức giám sát hoạt động bí mật với đội ngũ chủ chốt trong các chương trình trục xuất và hồi hương của DHS.

Nhà báo Ottignon bác bỏ cáo buộc rằng ông và cộng sự đang doxxing (công khai thông tin cá nhân nhằm gây hại) nhân viên chính phủ. Ông lập luận:

"Chúng ta đang ở trong tình huống mà một nhóm quan chức đi khắp các thành phố, các bang và cả nước, tìm cách che giấu danh tính — thường xuyên đeo khẩu trang, mặc thường phục. Và họ làm những điều không thể nói thành lời với các cộng đồng này."

Theo Ottignon, loại hành vi đó là không thể chấp nhận trong một xã hội tự do, và việc công bố dữ liệu là "một bước trong quá trình giám sát cần thiết đối với bộ máy chính phủ". Ông cũng cho rằng thông tin này sẽ hữu ích cho những người điều tra hoạt động của DHS hoặc gửi yêu cầu tiếp cận thông tin công khai — vốn thường không có kết quả nếu thiếu tên hay địa chỉ email cụ thể.

Trong ghi chú đính kèm, DDoSecrets viết: "Họ có thông tin của chúng ta, nên công bằng mà nói, chúng ta cũng nên có thông tin của họ."

Phản ứng của DHS

Về phía cơ quan chức năng, DHS ra tuyên bố cho biết đã "nhận thức được sự cố tiềm tàng và đang tích cực xử lý một cách nhanh chóng, hiệu quả", đồng thời khẳng định đang thực hiện các bước cần thiết để "đảm bảo mọi người được bảo vệ đúng mức".

Góc nhìn về an ninh hệ thống

Vụ việc này là lời cảnh tỉnh cho các tổ chức lớn về rủi ro tập trung của kiến trúc SSO. Khi mọi dịch vụ nội bộ đều xoay quanh một cổng xác thực duy nhất, kẻ tấn công chỉ cần một lỗ hổng để tiếp cận diện rộng. Các khuyến nghị thường được đưa ra bao gồm:

• Triển khai xác thực đa yếu tố (MFA) và mô hình zero trust thay vì chỉ dựa vào mật khẩu
• Phân quyền tối thiểu (least privilege) để hạn chế phạm vi thiệt hại khi bị xâm nhập
• Mã hóa dữ liệu nhân sự ở mức lưu trữ, đặc biệt với thông tin của các đặc vụ hoạt động bí mật
• Giám sát và ghi nhật ký truy cập bất thường theo thời gian thực

Vụ rò rỉ DHS diễn ra không lâu sau những vụ tấn công tương tự nhắm vào FBI, cho thấy các cơ quan chính phủ — vốn nắm giữ dữ liệu cực kỳ nhạy cảm — đang ngày càng trở thành mục tiêu ưu tiên của các nhóm hacktivist có động cơ chính trị. Bài học về bảo mật hệ thống xác thực, vì thế, mang tính toàn cầu, không riêng gì nước Mỹ.