Công nghệ · Nhịp Mới · Tổng hợp · 1122 chữ ·
GMO phân tích máy khách hàng, phối hợp doanh nghiệp bảo mật sau vụ xâm nhập đám mây
Nhà cung cấp Nhật Bản đang kiểm tra dấu vết mã độc trên thiết bị, trong khi các đề nghị hỗ trợ từ bên ngoài tiếp tục được điều phối.
GMO Internet sáng 27/10 phân tích máy tính của khách hàng sau vụ truy cập trái phép vào Onamae.com Desktop Cloud tại Nhật Bản. Trong bản cập nhật chốt thông tin lúc 9 giờ 30 theo giờ Nhật Bản, doanh nghiệp cho biết đang trao đổi với các công ty AI và doanh nghiệp bảo mật, trong đó có Trend Micro, về những đề nghị hỗ trợ điều tra và ứng phó.
Các máy đã được tiếp nhận đang lần lượt được chuyên gia bảo mật kiểm tra; những thiết bị khác sẽ được phân tích khi tới. Công việc bao gồm xác định có phần mềm độc hại, kể cả mã độc tống tiền, được cài vào máy hay không. Nội dung hợp tác với các bên đề nghị giúp đỡ vẫn trong quá trình xác nhận và điều phối.
Sức ép đặt ra trước mốc 12 giờ ngày 27/10 theo giờ Nhật Bản, tương ứng 10 giờ cùng ngày tại Việt Nam. Trong bản cập nhật tối 26/10, GMO nói đã nhận được lời đe dọa sẽ công khai thông tin khách hàng và thực hiện tấn công bằng mã độc tống tiền vào thời điểm này. Doanh nghiệp khẳng định không đáp ứng yêu cầu của phía tấn công, vì việc trả tiền không bảo đảm dữ liệu bị lấy đi sẽ được xóa hoặc không bị sử dụng trái phép.
Từ chương trình lạ tới máy chủ ngừng hoạt động
Vụ việc được điều tra từ ngày 19/10, sau khi khách hàng liên hệ với nhà cung cấp. Một ngày sau, GMO xác nhận chương trình trái phép xuất hiện trong một số môi trường máy chủ của dịch vụ, rồi dừng nhận đăng ký mới và ngừng bảng điều khiển. Từ 4 giờ ngày 21/10, máy chủ của tất cả các gói được lần lượt dừng hoạt động để hạn chế thiệt hại lan rộng.
Thông báo ngày 22/10 xác định 26.739 máy chủ có khả năng nằm trong phạm vi ảnh hưởng. Đây là quy mô môi trường cần xem xét, không phải số người đã mất tiền. Khi ấy, nhà cung cấp đã nhận được phản ánh về thao tác không do chủ tài khoản thực hiện trên các công cụ giao dịch chứng khoán và ngoại hối chạy trong môi trường máy chủ, đồng thời liên hệ các đơn vị liên quan để xác nhận thiệt hại.
Đến bản giải thích ngày 23/10, GMO làm rõ vì sao đổi mật khẩu chưa đủ để chấm dứt nguy cơ giao dịch trái phép. Tùy cách vận hành của công ty chứng khoán hoặc ngoại hối, phiên kết nối đang mở có thể tiếp tục tồn tại một thời gian sau khi mật khẩu được thay. Vì vậy, doanh nghiệp yêu cầu cắt toàn bộ phiên đăng nhập, kể cả thông qua đơn vị cung cấp tài khoản giao dịch.
Phạm vi dữ liệu cần xem xét gồm thông tin được lưu trong máy chủ, như thông tin đăng nhập của công cụ MT4, MT5 và tài khoản giao dịch. GMO cho biết mình không giữ thông tin thanh toán của khách hàng, bao gồm dữ liệu thẻ tín dụng, trên máy chủ dịch vụ này. Tuy nhiên, dữ liệu do người sử dụng tự lưu vào môi trường máy chủ vẫn thuộc diện có thể bị ảnh hưởng. Việc lấy và sử dụng thông tin ở từng trường hợp tiếp tục được điều tra.
Thu nhận thiết bị để lần theo dấu vết
Quá trình rà soát đã mở rộng từ máy chủ sang thiết bị khách hàng dùng để kết nối. Trong hướng dẫn ngày 26/10, GMO đề nghị những người nghi có thao tác trái phép và tự nguyện hợp tác cho mượn máy tính để phục vụ điều tra. Trước khi nhận máy, công ty sẽ cung cấp văn bản xác nhận phạm vi kiểm tra, cách xử lý, lưu giữ, xóa dữ liệu và phương thức trả lại thiết bị.
Theo văn bản này, chỉ các dấu vết liên quan đến vụ việc được kiểm tra; dữ liệu không được sử dụng cho mục đích khác. GMO cũng yêu cầu người dùng liên quan quét toàn bộ thiết bị, sao lưu dữ liệu quan trọng sang ổ đĩa ngoài trong trạng thái tách mạng và thực hiện việc bảo vệ tài khoản từ một thiết bị an toàn khác. Đây là yêu cầu ứng phó của nhà cung cấp dành cho khách hàng dịch vụ bị sự cố.
Trong bài viết công bố ngày 25/10 trên trang cá nhân chính thức, ông Masatoshi Kumagai, đại diện GMO Internet Group, thừa nhận nhóm chuyên gia nội bộ đã chỉ ra những điểm cần cải thiện trước vụ tấn công. Theo ông, đội vận hành có triển khai đối sách nhưng mức độ và tốc độ xử lý chưa đủ, trong lúc phải cân nhắc ảnh hưởng đến khả năng cung cấp dịch vụ và thứ tự ưu tiên các công việc.
Phần bổ sung ngày 26/10 của bài viết nêu yêu cầu tiền từ phía tấn công là 50 triệu USD. Ông Kumagai nói tập đoàn chưa trả khoản nào, đồng thời cho biết các chuyên gia của GMO Cybersecurity by Ierae và GMO Flatt Security đang tham gia phân tích dấu vết. Những thông tin này là công bố của lãnh đạo tập đoàn về cách ứng phó, chưa phải kết quả điều tra của cơ quan chức năng về danh tính thủ phạm.
Tách hỗ trợ khách hàng và bồi thường giao dịch
Song song với điều tra, phương án hỗ trợ công bố ngày 24/10 tách khoản 5.000 yen dành cho mỗi khách hàng đang sử dụng dịch vụ khỏi phần bồi thường tổn thất giao dịch. Phần bồi thường chỉ áp dụng với tổn thất đã thực hiện, được GMO xác nhận bắt nguồn từ giao dịch trái phép liên quan vụ xâm nhập; không bao gồm biến động thị trường, lợi nhuận kỳ vọng hay thiệt hại gián tiếp.
Doanh nghiệp dự kiến chuyển khách hàng có nhu cầu sang một nền tảng đám mây độc lập, miễn phí sáu tháng, thay vì mở lại nguyên trạng hệ thống đã bị xâm nhập. Việc chuyển chỉ diễn ra khi có sự đồng ý của khách hàng. Thông tin nhận khoản hỗ trợ và dịch vụ thay thế được hẹn gửi trước 23 giờ 59 ngày 30/10; thủ tục bồi thường tổn thất giao dịch được hẹn công bố trước ngày 6/11.
Theo thông báo tối 26/10, GMO đã làm việc với cảnh sát và tiếp tục phối hợp các cơ quan liên quan. Khi điều tra xác định được biện pháp khách hàng cần thực hiện, nhà cung cấp sẽ thông báo riêng qua email đăng ký, đồng thời đăng trên trang cập nhật sự cố.