Xiaomi M365 Electric Scooter đi kèm với một ứng dụng di động sử dụng giao tiếp Bluetooth được bảo vệ bằng mật khẩu. Ứng dụng này cho phép người lái tương tác với xe của họ từ xa để có nhiều tính năng như thay đổi mật khẩu, kích hoạt hệ thống chống trộm, kiểm soát hành trình, cập nhật firmware và xem số liệu thống kê đi xe theo thời gian thực.

Tuy nhiên, các nhà nghiên cứu nhận thấy rằng do quy trình xác thực mật khẩu được bảo mật kém, một kẻ tấn công từ xa (với khoảng cách tới 100 mét) có thể gửi các lệnh không cần xác thực qua Bluetooth đến một chiếc xe được nhắm mục tiêu.

"Trong quá trình nghiên cứu, chúng tôi nhận thấy quy trình xác nhận mật khẩu không được sử dụng đúng cách khi kết nối với xe. Chúng có thể được thực hiện mà không cần mật khẩu.", Rani Idan, nhà nghiên cứu của Zimperium zLabs chia sẻ.

Với lỗi nghiêm trọng này, kẻ tấn công có thể thực hiện các tình huống tấn công sau:

1. Khóa đột ngột bất kỳ chiếc xe M365 nào khi xe đang chạy.

2. Triển khai phần mềm độc hại do tính năng cho phép cập nhật firmware từ xa.

3. Kẻ tấn công thậm chí có thể nhắm mục tiêu vào một người lái riêng lẻ và khiến xe đột ngột thắng (phanh) hoặc tăng tốc.

Nhóm đã phát triển một ứng dụng quét các xe Xiaomi M365 gần đó và khóa chúng bằng cách sử dụng tính năng chống trộm xe tay ga mà không cần xác thực. Họ cũng phát triển một firmware có khả năng tăng tốc cho xe tay ga, nhưng do những lo ngại về an toàn của người đi xe tay ga M365 Electric, họ không phổ biến firmware này.

Zimperium đã báo cáo phát hiện của họ cho Xiaomi hai tuần trước. Công ty Trung Quốc thừa nhận vấn đề và đang tìm cách khắc phục. Do tính chất nghiêm trọng, người dùng xe M365 Electric được khuyến nghị thực hiện cập nhật bản vá ngay khi chúng xuất hiện. Còn ngay bây giờ, tạm thời bạn nên “xếp xó” xe nếu đang sử dụng.

An Nhiên (theo The Hacker News)

Thời đại IoT: Tủ lạnh thông minh cũng có thể bị hack

Với sự phát triển của IoT (Internet Vạn Vật), hiện nay hầu như bất kỳ thiết bị nào có kết nối internet đều có thể trở thành "mồi ngon" của hacker. Trường hợp mới đây là các tủ lạnh.

Trong một báo cáo được chia sẻ với trang The Hacker News, các nhà nghiên cứu từ công ty bảo mật di động Zimperium cho biết đã phát hiện ra một lỗ hổng rất dễ thực hiện nhưng nghiêm trọng trong mẫu xe điện M365 Folding Electric Scooter của Xiaomi. Lỗ hổng này có khả năng gây nguy hiểm đến tính mạng của người lái. 

Xe điện Xiaomi dễ bị tấn công từ xa đe dọa tính mạng

Xiaomi M365 Electric Scooter đi kèm với một ứng dụng di động sử dụng giao tiếp Bluetooth được bảo vệ bằng mật khẩu. Ứng dụng này cho phép người lái tương tác với xe của họ từ xa để có nhiều tính năng như thay đổi mật khẩu, kích hoạt hệ thống chống trộm, kiểm soát hành trình, cập nhật firmware và xem số liệu thống kê đi xe theo thời gian thực.

Tuy nhiên, các nhà nghiên cứu nhận thấy rằng do quy trình xác thực mật khẩu được bảo mật kém, một kẻ tấn công từ xa (với khoảng cách tới 100 mét) có thể gửi các lệnh không cần xác thực qua Bluetooth đến một chiếc xe được nhắm mục tiêu.

"Trong quá trình nghiên cứu, chúng tôi nhận thấy quy trình xác nhận mật khẩu không được sử dụng đúng cách khi kết nối với xe. Chúng có thể được thực hiện mà không cần mật khẩu.", Rani Idan, nhà nghiên cứu của Zimperium zLabs chia sẻ.

Với lỗi nghiêm trọng này, kẻ tấn công có thể thực hiện các tình huống tấn công sau:

1. Khóa đột ngột bất kỳ chiếc xe M365 nào khi xe đang chạy.

2. Triển khai phần mềm độc hại do tính năng cho phép cập nhật firmware từ xa.

3. Kẻ tấn công thậm chí có thể nhắm mục tiêu vào một người lái riêng lẻ và khiến xe đột ngột thắng (phanh) hoặc tăng tốc.

Nhóm đã phát triển một ứng dụng quét các xe Xiaomi M365 gần đó và khóa chúng bằng cách sử dụng tính năng chống trộm xe tay ga mà không cần xác thực. Họ cũng phát triển một firmware có khả năng tăng tốc cho xe tay ga, nhưng do những lo ngại về an toàn của người đi xe tay ga M365 Electric, họ không phổ biến firmware này.

Zimperium đã báo cáo phát hiện của họ cho Xiaomi hai tuần trước. Công ty Trung Quốc thừa nhận vấn đề và đang tìm cách khắc phục. Do tính chất nghiêm trọng, người dùng xe M365 Electric được khuyến nghị thực hiện cập nhật bản vá ngay khi chúng xuất hiện. Còn ngay bây giờ, tạm thời bạn nên “xếp xó” xe nếu đang sử dụng.

An Nhiên (theo The Hacker News)

Thời đại IoT: Tủ lạnh thông minh cũng có thể bị hack

Với sự phát triển của IoT (Internet Vạn Vật), hiện nay hầu như bất kỳ thiết bị nào có kết nối internet đều có thể trở thành "mồi ngon" của hacker. Trường hợp mới đây là các tủ lạnh.

Quy trình hoạt động mới của MasterCard như sau: Đầu tiên người dùng có thể đăng ký dùng thử miễn phí và cung cấp số thẻ MasterCard cho thông tin thanh toán. Khi quá trình dùng thử miễn phí đó kết thúc, người bán sẽ phải gửi cho bạn một văn bản hoặc email thông báo bạn sẽ phải trả tiền để tiếp tục sử dụng dịch vụ.

Thông báo đó phải bao gồm chi phí đăng ký, ngày thanh toán và tên người bán được trình bày rõ ràng để bạn biết chính xác bạn đang giao dịch với ai. Thông báo cũng sẽ phải bao gồm các hướng dẫn về cách hủy trong trường hợp bạn quyết định hủy dịch vụ hay tiếp tục sử dụng.

Ngay cả khi bạn chọn cho phép trừ tiền để bạn có thể tiếp tục sử dụng dịch vụ của mình, dịch vụ cũng phải cung cấp cho bạn biên lai hàng tháng cho bạn thấy chi phí mình sử dụng dịch vụ. Điều đó sẽ giúp việc theo dõi thay đổi giá trong đăng ký của bạn dễ dàng hơn để bạn không bị ảnh hưởng bởi những đợt tăng giá bất ngờ. Những biên lai hàng tháng đó cũng sẽ phải bao gồm một hướng dẫn về việc hủy đăng ký.

Mặc dù đây là một bổ sung quan trọng, những thông tin ban đầu chưa rõ ràng khiến nhiều khách hàng nghĩ rằng Mastercard sẽ áp dụng quy trình này dành cho mọi giao dịch qua thẻ Mastercard. Nhưng trong một bài blog của mình, Mastercard đã đính chính lại là quy định mới chỉ dành cho các sản phẩm vật lý, không phải dành cho dịch vụ kỹ thuật số. Nghĩa là chẳng hạn với các gói thuê bao ứng dụng trừ phí trên Appstore hay Play store thì Mastercard chưa áp dụng quy trình này.

Chưa rõ thời điểm Mastercard áp dụng chính sách mới những có lẽ sẽ được thực hiện ngay trong năm 2019.

An Nhiên (Theo Engadget)

Ngân hàng Mỹ thử nghiệm thẻ tín dụng có mã CVV động

Ngân hàng PNC có trụ sở tại Hoa Kỳ đang thí điểm một loại thẻ tín dụng mới với số xác minh thẻ (CVV) được thay đổi tự động nhằm giảm gian lận trực tuyến.

Mastercard đã công bố một chính sách mới sẽ yêu cầu các công ty phải nhận được sự cho phép từ bạn trước khi trừ tiền của bạn với các khoản phí định kỳ cho đăng ký. Mastercard cũng sẽ yêu cầu các công ty cung cấp cho bạn thông tin cập nhật hàng tháng với giá cả và hướng dẫn rõ ràng về cách hủy nếu bạn cần. 

MasterCard sẽ không cho các công ty tự trừ tiền khách hàng

Quy trình hoạt động mới của MasterCard như sau: Đầu tiên người dùng có thể đăng ký dùng thử miễn phí và cung cấp số thẻ MasterCard cho thông tin thanh toán. Khi quá trình dùng thử miễn phí đó kết thúc, người bán sẽ phải gửi cho bạn một văn bản hoặc email thông báo bạn sẽ phải trả tiền để tiếp tục sử dụng dịch vụ.

Thông báo đó phải bao gồm chi phí đăng ký, ngày thanh toán và tên người bán được trình bày rõ ràng để bạn biết chính xác bạn đang giao dịch với ai. Thông báo cũng sẽ phải bao gồm các hướng dẫn về cách hủy trong trường hợp bạn quyết định hủy dịch vụ hay tiếp tục sử dụng.

Ngay cả khi bạn chọn cho phép trừ tiền để bạn có thể tiếp tục sử dụng dịch vụ của mình, dịch vụ cũng phải cung cấp cho bạn biên lai hàng tháng cho bạn thấy chi phí mình sử dụng dịch vụ. Điều đó sẽ giúp việc theo dõi thay đổi giá trong đăng ký của bạn dễ dàng hơn để bạn không bị ảnh hưởng bởi những đợt tăng giá bất ngờ. Những biên lai hàng tháng đó cũng sẽ phải bao gồm một hướng dẫn về việc hủy đăng ký.

Mặc dù đây là một bổ sung quan trọng, những thông tin ban đầu chưa rõ ràng khiến nhiều khách hàng nghĩ rằng Mastercard sẽ áp dụng quy trình này dành cho mọi giao dịch qua thẻ Mastercard. Nhưng trong một bài blog của mình, Mastercard đã đính chính lại là quy định mới chỉ dành cho các sản phẩm vật lý, không phải dành cho dịch vụ kỹ thuật số. Nghĩa là chẳng hạn với các gói thuê bao ứng dụng trừ phí trên Appstore hay Play store thì Mastercard chưa áp dụng quy trình này.

Chưa rõ thời điểm Mastercard áp dụng chính sách mới những có lẽ sẽ được thực hiện ngay trong năm 2019.

An Nhiên (Theo Engadget)

Ngân hàng Mỹ thử nghiệm thẻ tín dụng có mã CVV động

Ngân hàng PNC có trụ sở tại Hoa Kỳ đang thí điểm một loại thẻ tín dụng mới với số xác minh thẻ (CVV) được thay đổi tự động nhằm giảm gian lận trực tuyến.

Báo cáo tình hình nguy cơ An toàn thông tin từ hệ thống Threat Intelligence của VCS trong 9 tháng đầu năm 2023 chỉ ra, Việt Nam đã có khoảng 12 triệu tài khoản bị xâm nhập với 48 triệu các bản ghi của tổ chức, cá nhân được rao bán công khai. Hơn 300 GB dữ liệu bị mã hóa tống tiền, cùng hơn 5.800 tên miền mạo danh được hacker sử dụng để lừa đảo nhằm gian lận, ăn cắp tài khoản của người dùng. 

Theo ông Hải, khi một doanh nghiệp nói “không gặp vấn đề về an toàn thông tin”, họ hoàn toàn có thể đang rơi vào tình trạng đã bị tấn công mà không biết, bởi các nhóm tấn công chuyên nghiệp, hoạt động âm thầm và lâu dài bên trong hệ thống công nghệ thông tin (CNTT) của doanh nghiệp. 

Cuộc chiến an ninh mạng “bất đối xứng”

Trước đây, các tổ chức tội phạm mạng thường chỉ tập trung vào các doanh nghiệp lớn, nhưng nay có thêm mục tiêu mới là các doanh nghiệp ở mọi quy mô, khi tất cả đều chuyển đổi số và đưa hoạt động của mình lên Internet. Điều này, theo ông Hải sẽ tạo nên một cuộc đấu “bất đối xứng” giữa doanh nghiệp và tội phạm mạng. 

“Doanh thu lớn từ hoạt động tấn công trở thành động lực cho các tổ chức tội phạm mạng hành động một cách quyết liệt. Thế lực này có bộ máy như một doanh nghiệp toàn cầu, với đủ các bộ phận từ vận hành, khai thác, nhóm nghiên cứu. Với nguồn lực khổng lồ, các tổ chức này cũng dễ dàng thuê được những hacker giỏi nhất làm việc cho mình, thực hiện công việc chính là tấn công liên tục vào các hệ thống của doanh nghiệp”, ông Hải phân tích.

Trong khi đó, đối thủ của họ là những phòng ban an toàn thông tin của doanh nghiệp được tổ chức đơn giản, đầu tư hạn chế. Trong xu hướng tấn công mạng được cung cấp dưới dạng dịch vụ, với số tiền từ vài chục USD mỗi tháng, bất cứ ai cũng có thể trở thành nạn nhân của các nhóm tội phạm mạng này. 

Đối tác đồng hành an toàn thông tin

Từ góc nhìn này, ông Nguyễn Sơn Hải cho rằng, việc đầu tiên để đảm bảo an toàn cho hệ thống là giải quyết vấn đề bất đối xứng trong năng lực an toàn thông tin. “Tội phạm mạng lớn hơn chúng ta rất nhiều, vì vậy “phép cộng” với một đối tác chuyên sâu về an toàn thông tin sẽ là cách để cân bằng “cuộc chiến” này”, ông Hải nói. 

Khác với việc cung cấp giải pháp hoặc dịch vụ đơn thuần, đối tác đồng hành an toàn thông tin được hiểu là một đối tác có thể sống cùng vòng đời với tổ chức, đồng hành giải quyết mọi vấn đề về an toàn thông tin. Kết quả sẽ được đo bằng việc cùng nâng cao mức độ trưởng thành về an toàn thông tin của tổ chức theo thời gian. 

Theo ông Nguyễn Anh Tuấn - Phó Giám đốc VCS, đây là cũng nhu cầu của thị trường hiện nay và được các doanh nghiệp ngày càng quan tâm: “Khi xác định đầu tư bài bản, họ muốn có một đối tác đồng hành, có sự cam kết chứ không chỉ là mua bán dịch vụ, giải pháp… Cách làm này cũng được đánh giá là giúp giảm chi phí, thời gian so với việc tự xây dựng một bộ phận an toàn thông tin đầy đủ”. 

Ở vai trò đơn vị hàng đầu Việt Nam về an toàn thông tin, đại diện VCS cho biết sẽ triển khai chương trình đồng hành cùng doanh nghiệp trưởng thành về an toàn thông tin (Cybersecurity Maturity Program - CSMP); nhấn mạnh về sự gắn kết sâu trong thời gian dài cùng doanh nghiệp để nâng cao độ trưởng thành an toàn thông tin.

Doanh nghiệp có thể tận dụng nguồn lực từ VCS với hơn 500 nhân sự, trong đó nhiều nhân sự tầm thế giới, được khẳng định qua các bảng xếp hạng của Microsoft, Google hay các cuộc tấn công mạng lớn nhất thế giới Pwn2Own. VCS cũng là doanh nghiệp hàng đầu tại Việt Nam về thị phần SOC, cùng thế mạnh của nhà cung cấp dịch vụ Internet, giúp ngăn chặn các cuộc tấn công DDoS ngay từ đường truyền. Đội ngũ VCS đồng hành giúp nâng cao năng lực nội tại của doanh nghiệp, thông qua việc đào tạo cho đội ngũ, chia sẻ tri thức, sẵn sàng đứng ra ứng cứu sự cố. 

“Một đối tác đồng hành tốt về an toàn thông tin là một đối tác giàu tri thức, có năng lực về con người và công cụ để phản ứng nhanh nhạy với mối nguy, đồng thời có tính cam kết cao, chi phí hiệu quả để có thể đi cùng nhau lâu dài. VCS có đủ 4 yếu tố này”, ông Hải khẳng định. 

Doãn Phong

“Khi đưa hoạt động lên Internet, chúng ta chắc chắn đã là mục tiêu tấn công, bất kể là đơn vị lớn, nhỏ hay vừa”, ông Nguyễn Sơn Hải, Giám đốc Công ty An ninh mạng Viettel (VCS) nhận định tại Hội thảo Công nghệ thông tin và An toàn thông tin 2023 (CIO/CSO Summit 2023) diễn ra tại TP.HCM và Hà Nội.

Báo cáo tình hình nguy cơ An toàn thông tin từ hệ thống Threat Intelligence của VCS trong 9 tháng đầu năm 2023 chỉ ra, Việt Nam đã có khoảng 12 triệu tài khoản bị xâm nhập với 48 triệu các bản ghi của tổ chức, cá nhân được rao bán công khai. Hơn 300 GB dữ liệu bị mã hóa tống tiền, cùng hơn 5.800 tên miền mạo danh được hacker sử dụng để lừa đảo nhằm gian lận, ăn cắp tài khoản của người dùng. 

Theo ông Hải, khi một doanh nghiệp nói “không gặp vấn đề về an toàn thông tin”, họ hoàn toàn có thể đang rơi vào tình trạng đã bị tấn công mà không biết, bởi các nhóm tấn công chuyên nghiệp, hoạt động âm thầm và lâu dài bên trong hệ thống công nghệ thông tin (CNTT) của doanh nghiệp. 

Cuộc chiến an ninh mạng “bất đối xứng”

Trước đây, các tổ chức tội phạm mạng thường chỉ tập trung vào các doanh nghiệp lớn, nhưng nay có thêm mục tiêu mới là các doanh nghiệp ở mọi quy mô, khi tất cả đều chuyển đổi số và đưa hoạt động của mình lên Internet. Điều này, theo ông Hải sẽ tạo nên một cuộc đấu “bất đối xứng” giữa doanh nghiệp và tội phạm mạng. 

“Doanh thu lớn từ hoạt động tấn công trở thành động lực cho các tổ chức tội phạm mạng hành động một cách quyết liệt. Thế lực này có bộ máy như một doanh nghiệp toàn cầu, với đủ các bộ phận từ vận hành, khai thác, nhóm nghiên cứu. Với nguồn lực khổng lồ, các tổ chức này cũng dễ dàng thuê được những hacker giỏi nhất làm việc cho mình, thực hiện công việc chính là tấn công liên tục vào các hệ thống của doanh nghiệp”, ông Hải phân tích.

Trong khi đó, đối thủ của họ là những phòng ban an toàn thông tin của doanh nghiệp được tổ chức đơn giản, đầu tư hạn chế. Trong xu hướng tấn công mạng được cung cấp dưới dạng dịch vụ, với số tiền từ vài chục USD mỗi tháng, bất cứ ai cũng có thể trở thành nạn nhân của các nhóm tội phạm mạng này. 

Đối tác đồng hành an toàn thông tin

Từ góc nhìn này, ông Nguyễn Sơn Hải cho rằng, việc đầu tiên để đảm bảo an toàn cho hệ thống là giải quyết vấn đề bất đối xứng trong năng lực an toàn thông tin. “Tội phạm mạng lớn hơn chúng ta rất nhiều, vì vậy “phép cộng” với một đối tác chuyên sâu về an toàn thông tin sẽ là cách để cân bằng “cuộc chiến” này”, ông Hải nói. 

Khác với việc cung cấp giải pháp hoặc dịch vụ đơn thuần, đối tác đồng hành an toàn thông tin được hiểu là một đối tác có thể sống cùng vòng đời với tổ chức, đồng hành giải quyết mọi vấn đề về an toàn thông tin. Kết quả sẽ được đo bằng việc cùng nâng cao mức độ trưởng thành về an toàn thông tin của tổ chức theo thời gian. 

Theo ông Nguyễn Anh Tuấn - Phó Giám đốc VCS, đây là cũng nhu cầu của thị trường hiện nay và được các doanh nghiệp ngày càng quan tâm: “Khi xác định đầu tư bài bản, họ muốn có một đối tác đồng hành, có sự cam kết chứ không chỉ là mua bán dịch vụ, giải pháp… Cách làm này cũng được đánh giá là giúp giảm chi phí, thời gian so với việc tự xây dựng một bộ phận an toàn thông tin đầy đủ”. 

Ở vai trò đơn vị hàng đầu Việt Nam về an toàn thông tin, đại diện VCS cho biết sẽ triển khai chương trình đồng hành cùng doanh nghiệp trưởng thành về an toàn thông tin (Cybersecurity Maturity Program - CSMP); nhấn mạnh về sự gắn kết sâu trong thời gian dài cùng doanh nghiệp để nâng cao độ trưởng thành an toàn thông tin.

Doanh nghiệp có thể tận dụng nguồn lực từ VCS với hơn 500 nhân sự, trong đó nhiều nhân sự tầm thế giới, được khẳng định qua các bảng xếp hạng của Microsoft, Google hay các cuộc tấn công mạng lớn nhất thế giới Pwn2Own. VCS cũng là doanh nghiệp hàng đầu tại Việt Nam về thị phần SOC, cùng thế mạnh của nhà cung cấp dịch vụ Internet, giúp ngăn chặn các cuộc tấn công DDoS ngay từ đường truyền. Đội ngũ VCS đồng hành giúp nâng cao năng lực nội tại của doanh nghiệp, thông qua việc đào tạo cho đội ngũ, chia sẻ tri thức, sẵn sàng đứng ra ứng cứu sự cố. 

“Một đối tác đồng hành tốt về an toàn thông tin là một đối tác giàu tri thức, có năng lực về con người và công cụ để phản ứng nhanh nhạy với mối nguy, đồng thời có tính cam kết cao, chi phí hiệu quả để có thể đi cùng nhau lâu dài. VCS có đủ 4 yếu tố này”, ông Hải khẳng định. 

Doãn Phong