Điểm tin an ninh mạng tuần: Chiêu trò “thẻ ma” mới, T-Mobile dùng kéo chặn hacker và màn lật kèo của GitHub

An ninh mạng luôn là cuộc chạy đua không hồi kết giữa “khóa và chìa khóa”. Tuần qua, giới bảo mật quốc tế dậy sóng với hàng loạt sự kiện quan trọng nhưng ít được chú ý, từ một phương thức tấn công thanh toán không tiếp xúc hoàn toàn mới, cho tới một hành động “xử lý thô bạo” nhưng hiệu quả của một nhà mạng lớn tại Mỹ.

Bài viết này sẽ tổng hợp những câu chuyện nổi bật nhất, mang đến cho độc giả Lehuy.net cái nhìn toàn cảnh về bối cảnh mối đe dọa đang thay đổi từng ngày.

Chiến thuật “Zombie Card”: Thanh toán bằng thẻ tín dụng đã hết hạn

Các nhà nghiên cứu học thuật vừa công bố một phương thức tấn công mới có tên Zombie Card. Kỹ thuật này cho phép kẻ gian thực hiện các giao dịch thanh toán không tiếp xúc (contactless) bằng thẻ Visa đã hết hạn vật lý, bằng cách vượt qua các lớp kiểm tra mật mã.

Cụ thể, kẻ tấn công sử dụng một thiết lập điện thoại thông minh làm cầu nối để thay đổi ngày hết hạn được truyền tới thiết bị đầu cuối (POS). Điểm mấu chốt nằm ở “khoảng trống giao tiếp” giữa phần cứng cục bộ và ngân hàng phát hành thẻ.

Điều đáng nói là cuộc tấn công này dường như không hoạt động hiệu quả với thẻ Mastercard, American Express và Discover, đồng thời cũng không thành công với tất cả các ngân hàng.

Visa hiện vẫn chưa đưa ra bình luận chính thức về lỗ hổng này. Đây có thể là một rủi ro tiềm ẩn cho người dùng thẻ tại Việt Nam khi thanh toán không tiếp xúc ngày càng phổ biến.

T-Mobile dùng kéo cắt cáp mạng để ngăn chặn hacker Trung Quốc

Trong một diễn biến hy hữu, nhân viên an ninh mạng của T-Mobile đã phải dùng đến kéo để cắt đứt dây cáp mạng của một bộ định tuyến tại trung tâm dữ liệu ở Bellevue nhằm ngăn chặn một cuộc xâm nhập đang diễn ra vào năm 2024.

Sự việc xảy ra trong bối cảnh T-Mobile bị nhóm hacker do nhà nước Trung Quốc hậu thuẫn mang tên Salt Typhoon nhắm đến trong một chiến dịch gián điệp quy mô lớn, ảnh hưởng đến nhiều nhà mạng lớn khác của Mỹ. Hành động “chặt đứt” vật lý này cho thấy mức độ nghiêm trọng và sự quyết đoán cần có khi đối phó với các mối đe dọa tinh vi từ các tác nhân nhà nước.

GitHub bác bỏ cáo buộc: Lỗ hổng bảo mật không phải do AI tạo ra

Công cụ AI tự động của hãng bảo mật Wiz đã phát hiện và khai thác thành công một lỗ hổng nghiêm trọng trong GitHub Actions tại một kho lưu trữ công khai của Snowflake, qua đó truy cập trái phép vào hệ thống vé Jira nội bộ.

Ban đầu, lỗ hổng này được cho là do mã nguồn tạo ra bởi trợ lý lập trình GitHub Copilot gây ra. Tuy nhiên, GitHub đã chính thức làm rõ với SecurityWeek rằng đoạn mã dễ bị tấn công được viết hoàn toàn bởi con người, không liên quan đến công cụ AI của họ.

Câu chuyện này đặt ra câu hỏi lớn về trách nhiệm khi sử dụng AI trong phát triển phần mềm: khi xảy ra sự cố, đâu là ranh giới giữa lỗi do con người và do công cụ hỗ trợ?

Botnet Evooo1Bot: Mối đe dọa từ hệ sinh thái Linux

Các nhà nghiên cứu tại FortiGuard Labs đang theo dõi sát sao Evooo1Bot, một botnet Linux có cấu trúc module hóa cao, nhắm vào các thiết bị kết nối Internet thông qua việc khai thác hơn một chục lỗ hổng CVE đã biết.

Không chỉ dừng lại ở tấn công DDoS, biến thể Mirai này còn được trang bị thêm:

• Công cụ brute-force SSH.
• Bộ thu thập thông tin xác thực (credential sniffer).
• Mô-đun chuyển tiếp SOCKS5 để biến thiết bị bị nhiễm thành các nút proxy thường trực cho kẻ tấn công.

Điều này cho thấy botnet ngày càng tinh vi, không chỉ dùng để phá hoại mà còn để che giấu danh tính và thực hiện các hành vi tấn công tiếp theo.

Ransomware Medusa: Mở rộng mục tiêu vào hạ tầng quan trọng

Một cảnh báo chung từ CISA, FBI và HHS cho biết các chi nhánh của băng nhóm tống tiền Medusa đang nhanh chóng khai thác các lỗ hổng mới được tiết lộ trong Fortra GoAnywhere và BeyondTrust để tấn công các tổ chức hạ tầng quan trọng.

Bộ công cụ của Medusa ngày càng đa dạng với việc sử dụng Minidump để đánh cắp thông tin xác thực và URL động Interactsh để xác minh khả năng khai thác mạng. Theo cảnh báo, đã có hơn 500 tổ chức hạ tầng quan trọng bị tấn công cho đến nay. Đây là lời nhắc nhở cho các doanh nghiệp Việt Nam về việc phải thường xuyên cập nhật bản vá cho các phần mềm quản trị.

Các sự kiện an ninh mạng đáng chú ý khác

• Threema hứng chịu DDoS kéo dài: Nhà cung cấp dịch vụ nhắn tin mã hóa đã phải triển khai các biện pháp lọc lưu lượng truy cập chuyên dụng sau một loạt các cuộc tấn công DDoS tinh vi nhằm vào cơ sở hạ tầng của họ.
• Sakura Internet lộ dữ liệu: Nhà cung cấp dịch vụ lưu trữ Nhật Bản thông báo một vụ vi phạm dữ liệu nghiêm trọng, có khả năng ảnh hưởng đến thông tin của 1,36 triệu người dùng.
• Cảnh báo lỗ hổng Ray: CISA đã thêm một lỗ hổng tiêm mã nghiêm trọng (CVE-2025-62593) vào danh mục các lỗ hổng đang bị khai thác tích cực, sau khi bị botnet RondoDox sử dụng.
• Chứng nhận tiên phong của Crypto4A: Công ty an ninh Canada trở thành đơn vị đầu tiên trên thế giới đạt chứng nhận FIPS 140-3 Level 3 cho mô-đun bảo mật phần cứng (HSM) hỗ trợ toàn bộ thuật toán mật mã hậu lượng tử của NIST.

Ảnh minh họa về an ninh mạng

Tuần qua một lần nữa cho thấy bối cảnh an ninh mạng toàn cầu đang biến động không ngừng với những chiến thuật mới, từ lợi dụng lỗ hổng phần cứng cho đến các chiến dịch gián điệp mạng quy mô nhà nước. Việc cập nhật thông tin thường xuyên là vũ khí đầu tiên và quan trọng nhất để bảo vệ chính chúng ta.

Logo SecurityWeek