Nhận định, soi kèo Al Wasl vs Al

Tiếp đó, vào ngày 1/7, Microsoft đã công bố về lỗ hổng bảo mật thứ 2 có mã CVE-2021-34527 cũng trong ứng dụng Print Spooler của hệ điều hành Windows (được cho là liên quan đến lỗ hổng bảo mật thứ nhất CVE-2021-1675 đã công bố trước đó) để nâng mức độ nguy hiểm và đưa ra bản vá khắc phục hoàn toàn cho lỗ hổng bảo mật thứ nhất.

Chỉ sau 1 ngày, Trung tâm NCSC đã kịp thời cảnh báo đến các cơ quan, tổ chức, doanh nghiệp về lỗ hổng CVE-2021-34527 thông qua nhiều phương thức tiếp cận khác nhau, một trong số đó là nguồn thông tin được công bố qua Fanpage chính thức của NCSC.

Cả 2 lỗ hổng bảo mật CVE-2021-1675 và CVE-2021-34527 trong Windows Print Spooler đều đang được gọi chung với tên “PrinterNightmare”.

Nhờ có dự báo sớm của Trung tâm NCSC về khả năng lỗ hổng PrintNightmare có thể bị hacker khai thác, lợi dụng để thực hiện các chiến dịch tấn công có chủ đích APT trên diện rộng, các cơ quan, tổ chức đã kịp thời rà soát và xử lý, không để xảy ra sự cố tấn công mạng.

“Ứng cứu, xử lý sự cố chỉ là một trong các khâu của công tác đảm bảo an toàn thông tin, vấn đề gốc rễ vẫn là các cơ quan, đơn vị, doanh nghiệp cần phải nâng cao cảnh giác và có sự chuẩn bị tốt trước các cuộc tấn công mạng. Bởi vậy, việc dự báo sớm nguy cơ cũng đóng vai trò đặc biệt quan trọng để bảo vệ an toàn cho hệ thống thông tin”, một chuyên gia bảo mật nhận định.

Dẫu vậy, nhấn mạnh mức độ nguy hiểm cao của lỗ hổng PrinterNightmare, các chuyên gia NCSC khuyến nghị các cơ quan, tổ chức, doanh nghiệp cần tiếp tục quan tâm theo dõi, giám sát.

Cụ thể, để đảm bảo an toàn cho hệ thống thông tin của đơn vị mình, đồng thời góp phần bảo đảm an toàn cho không gian mạng Việt Nam, các cơ quan, đơn vị, doanh nghiệp cần thực hiện theo hướng dẫn tại cảnh báo số 2210 ngày 22/6 của Cục An toàn thông tin cũng như khắc phục thêm theo hướng dẫn mới nhất của Microsoft tại đường dẫn https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527.

Vân Anh

Lỗ hổng bảo mật trên Windows có thể bị lợi dụng để tấn công APT diện rộng

Theo dự báo sớm của Trung tâm NCSC, lỗ hổng CVE-2021-1675 trên hệ điều hành Windows có thể bị tận dụng để tiến hành các chiến dịch tấn công có chủ đích APT lớn trên quy mô rộng trong thời gian ngắn sắp tới vào không gian mạng Việt Nam.

Trao đổi với VietNamNet, luật sư Bùi Đình Ứng (Trưởng văn phòng luật sư Bùi Đình Ứng, Đoàn Luật sư Hà Nội) cho biết, với các vụ tấn công mạng, cơ quan chức năng cần phải làm rõ được động cơ, mục đích của đối tượng trước khi xử lý với hành vi tương ứng. 

Nếu việc làm này chỉ nhằm mục đích làm đình trệ hoạt động của một tổ chức, cá nhân và không chống chính quyền nhân dân hay chiếm đoạt tài sản, hành vi này sẽ bị xử lý theo Điều 287 của bộ Luật Hình sự về tội cản trở hoặc gây rối hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử. 

Hình phạt nhẹ nhất của hành vi này là phạt tù từ 6 tháng đến 3 năm. 

Nếu tấn công có chủ đích thì tùy theo mức độ thiệt hại về tiền bạc, vật chất, thời gian, nếu gây hậu quả nặng nề, đối tượng vi phạm có thể bị phạt từ 7-12 năm tù.

Trong trường hợp kẻ tấn công được thuê hay chịu sự tác động của người khác, kẻ chủ mưu cầm đầu sẽ phải chịu trách nhiệm chính trước pháp luật. Các hacker lúc này sẽ đóng vai trò đồng phạm. 

Như vậy, có thể thấy, đứng trước pháp luật, những kẻ tội phạm mạng hoàn toàn có thể bị xử lý hình sự với những bản án nặng không kém việc giết người, trộm cắp. 

Hậu quả thật của những trò đùa trên mạng

Có hai hình thức tội phạm mạng phổ biến hiện nay. Đầu tiên là những kẻ tấn công bất hợp pháp nhằm chiếm quyền truy nhập vào mạng máy tính hoặc thiết bị của tổ chức, cá nhân. Thứ 2 là loại tội phạm mạng sử dụng công nghệ nhằm thực hiện hành vi gian lận.

Theo Cơ quan tội phạm quốc gia (National Crime Agency) của Anh, độ tuổi trung bình của những kẻ tấn công mạng đang có chiều hướng ngày càng trẻ hóa. 

Thống kê mới đây của National Crime Agency cho thấy, những kẻ bị tình nghi là tội phạm mạng có tuổi đời rất trẻ, khoảng 17 tuổi. Độ tuổi trung bình của các hacker chỉ bằng chưa đến một nửa so với tội phạm ma túy (37 tuổi) và tội phạm tài chính (39 tuổi).

Một buổi diễn tập phòng thủ an ninh mạng đối với hệ thống ngân hàng.

Thực tế cho thấy, với nhiều bạn trẻ hiện nay, việc tấn công vào các website nổi tiếng là cách để họ thể hiện thành tích, khả năng của mình. Không phải ai cũng nhận thấy đây là những hành vi sai trái, gây ảnh hưởng lớn đến xã hội.

Theo luật sư Bùi Đình Ứng, với trường hợp hacker tấn công mạng nhằm mục đích khoe mẽ trình độ, thể hiện đẳng cấp, mặc dù không có hằn thù gì với nạn nhân, tùy theo độ tuổi và hành vi, hậu quả xảy ra, những đối tượng này sẽ phải chịu trách nhiệm tương ứng trước pháp luật. 

Với người trên 18 tuổi, họ sẽ phải chịu trách nhiệm hình sự khi vi phạm các điều khoản trong Điều 287 bộ Luật Hình sự, bất kể mục đích của hành vi là chủ ý tấn công nhằm thể hiện hay có mục đích phá hoại. 

Tấn công mạng cũng có thể bị coi là hành động khủng bố

Nhiều người vẫn có suy nghĩ cho rằng, thế giới Internet là ảo, hoạt động lỏng lẻo và không có pháp luật. Chính vì suy nghĩ này, việc hack một trang web nào đó nhiều khi được thực hiện một cách bộc phát mà không nghĩ đến những hậu quả có thể xảy ra. 

Tuy vậy, cùng là một hành vi hack website, nếu đặt vào trong một trường hợp cụ thể, với một mục đích cụ thể, hành vi này có thể bị xử phạt rất nặng, thậm chí còn bị coi là một hành vi khủng bố. 

Từng chia sẻ với báo giới về một góc nhìn khác quanh vụ việc báo điện tử VOV bị tấn công, luật sư Vũ Quốc Toản - đoàn luật sư TP.HCM cho biết, hành vi của các đối tượng hacker có thể bị xử lý theo quy định tại Điều 8, Điều 18 và Điều 19, Điều 21 của Luật An ninh mạng. 

Thực tế cho thấy, đây cũng là quan điểm của Thiếu tướng Lê Minh Mạnh - Phó Cục trưởng Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an). Theo đó, hành vi cổ vũ, tấn công mạng được quy định rõ trong Luật An ninh mạng.

Trong một số trường hợp, hành vi tấn công vào hệ thống thông tin quan trọng về an ninh quốc gia có thể bị xem là một hành vi khủng bố.

Tại Điểm g, Khoản 2, Điều 10 của Luật An ninh mạng, hệ thống thông tin quốc gia thuộc lĩnh vực báo chí cũng được xem là một hệ thống thông tin quan trọng về an ninh quốc gia. 

Điều 8 của Luật An ninh mạng cũng quy định rõ các hành vi bị nghiêm cấm, bao gồm việc xúi giục, lôi kéo, kích động người khác phạm tội và thực hiện tấn công mạng, khủng bố mạng, tội phạm mạng, gây sự cố, tấn công, xâm nhập, chiếm quyền điều khiển của hệ thống thông tin quan trọng về an ninh quốc gia. 

Theo giải thích của Luật An ninh mạng, tấn công mạng là hành vi sử dụng không gian mạng, CNTT hoặc phương tiện điện tử để phá hoại, gây gián đoạn hoạt động của mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin,...

Khủng bố mạng là việc sử dụng không gian mạng, CNTT hoặc phương tiện điện tử để thực hiện hành vi khủng bố, tài trợ khủng bố.

Luật An ninh mạng cũng ghi rõ, tùy theo tính chất, mức độ vi phạm mà người có hành vi vi phạm pháp luật về an ninh mạng sẽ bị xử lý kỷ luật, xử lý vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự, nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Đáng chú ý khi theo Điểm 1, Điều 299 quy định về Tội khủng bố trong Bộ Luật Hình sự năm 2015, việc phá hủy tài sản của cơ quan, tổ chức, cá nhân nhằm gây ra tình trạng hoảng sợ trong công chúng có thể bị phạt tù từ 10 năm đến 20 năm, tù chung thân, thậm chí tử hình.

Với những quy định cụ thể như vậy, thật đáng tiếc khi nhiều bạn trẻ đã trở thành tội phạm mạng đơn giản chỉ vì những sai lầm. Nhiều người lấn sâu vào vòng xoáy phạm pháp mà không hề hiểu rằng họ đang vi phạm pháp luật.

Không chỉ tại Việt Nam mà ở nhiều quốc gia trên thế giới, tấn công mạng là một tội hình sự nghiêm trọng. Với các hacker, những vụ tấn công mạng do họ gây ra có thể để lại những án tích mà suốt đời không thể gột rửa được. Do vậy, với những bạn trẻ yêu thích CNTT, đừng vào tù vì thiếu hiểu biết. Hãy suy nghĩ kỹ mỗi khi làm điều gì đó có thể tác động xấu tới cộng đồng. 

Trọng Đạt

Bài 1: Tấn công mạng, từ trò đùa trở thành tội phạm

Việc tấn công website hay một hệ thống nào đó nhiều người coi là một trò đùa nhưng đến khi vào vòng lao lý mới nhận ra mức độ nghiêm trọng thì đã quá muộn. 

- Người bạn thân của anh mới tiết lộ cho tôi một sự thực là anh chọn tôi vì “nhà mặt phố, bố đi Tây”. Từ giây phút nghe điều tiết lộ ấy, tôi thấy rợn về con người anh. Dù yêu anh bao nhiêu nhưng tôi vẫn không tránh khỏi ý nghĩ anh là con người hèn.

TIN BÀI KHÁC:

Nhiều người bàng hoàng vì tiền trong thẻ tín dụng tự nhiên "bốc hơi" mà không biết vì sao

Những trường hợp bất ngờ "bốc hơi" mất một khoản tiền trong thẻ tín dụng không phải là hiếm trong thời gian qua. Chia sẻ với báo chí, chị N.T.T.L tại Hà Nội cho biết, sáng 30/5, chị nhận được hàng loạt tin nhắn trừ tiền trong tài khoản thẻ Vietcombank MasterCard, thời gian từ 1h16 đến 1h33 sáng, có tất cả 7 giao dịch thành công bị trừ tiền, trong đó 3 giao dịch trừ 1 USD/lần và 4 giao dịch trừ 6 triệu đồng/lần. Mặc dù thẻ không bị mất và chị cũng không thực hiện giao dịch nào nhưng hơn 24 triệu đồng trong tài khoản đã không cánh mà bay. Đặc biệt, tất cả giao dịch này đều thanh toán cho dịch vụ quảng cáo trên Facebook mà không yêu cầu nhập mã OTP.

Sau khi mất tiền, chị L. đã gọi đến tổng đài Vietcombank và được hướng dẫn khiếu nại. Song chị L. không khỏi băn khoăn khi thẻ tín dụng được cất giữ cẩn thận nhưng vẫn bị lộ thông tin.

Một trường hợp khác là anh N.M.H cũng bị trừ tiền tại thẻ MSB Creditcard. Theo đó, năm trước anh H. có mua một dịch vụ trên internet và thanh toán bằng thẻ, sau một năm dịch vụ này tự động gia hạn mà không có thông báo với khách hàng, đồng thời trừ tiền trên thẻ cũng không yêu cầu mã OTP. Số tiền anh H. bị trừ mất 200 USD, tương đương hơn 4 triệu đồng. Anh H. đã liên hệ với ngân hàng MSB để làm rõ giao dịch thì được trả lời là do anh không tắt chức năng gia hạn nên đến "hẹn" tài khoản sẽ tự động khấu trừ.

Giải thích về việc vì sao không cần mã OTP mà thẻ vẫn bị trừ tiền, phía ngân hàng cho biết, đây là do thoả thuận giữa nhà thanh toán với các đối tác bán hàng chứ không nằm ở phía ngân hàng.

"Sau khi nghe ngân hàng phân tích, tôi đã chấp nhận mất số tiền hơn 4 triệu đồng vì không thể đề nghị bồi hoàn. Nhưng sau đó, tôi cũng yêu cầu đóng thẻ vì cảm thấy quá rủi ro khi tài khoản cứ tự động trừ tiền cho những dịch vụ mình không sử dụng, không mong muốn, thậm chí là có thể bị mất dữ liệu về sau.", anh H chia sẻ.

Theo một chuyên gia phân tích, có 3 "thủ đoạn" để hack thẻ hiện nay, đó là:

Thứ nhất, hack trang web mua bán: Hackers công nghệ có thể lấy thông tin người dùng bằng cách hack trang web mua sắm, dịch vụ,… nơi khách hàng hay sử dụng thẻ tín dụng thanh toán. Một khi kẻ gian đã hack trang web thì tất cả thông tin trong web đó sẽ bị lấy đi, có nghĩa là có thể hàng trăm, hàng ngàn thông tin thẻ tín dụng đều bị ảnh hưởng.

Thứ hai, sử dụng máy quét dữ liệu thẻ (Skimming). Hình thức này ở nước ngoài rất phổ biến, nhất là khi tới nhà hàng, khách sạn, trong lúc đưa thẻ thanh toán đã bị đặt thiết bị quét dữ liệu mà người thanh toán không hề hay biết.

Thứ ba, kẻ gian sẽ đặt máy MP3 tại cây ATM, với máy MP3 này, khi khách hàng thực hiện giao dịch trên cây ATM, mọi tiếng động gõ phím sẽ được ghi lại và chuyển hóa thành các bộ số chính và mã pin thẻ của khách hàng.

"Lỗ hổng về bảo mật mà khách hàng hay gặp phải nhất đó là bị lộ số CVV/CVC2 là mã số bảo mật của thẻ tín dụng dùng trong thanh toán quốc tế, để xác minh quyền sở hữu thẻ của người dùng. Mã CVV/CVC gồm 3 chữ số được in ở phần dưới dải băng đen do ngân hàng phát hành thẻ cấp và quản lý giao dịch mỗi khi người dùng thanh toán hoặc chi tiêu trên thẻ. Cũng không loại trừ trường hợp, ngân hàng làm lộ thông tin của khách hàng, như trường hợp tại ngân hàng MSB làm lộ thông tin 2 triệu tài khoản khách hàng trước đây", vị chuyên gia phân tích.

Đi tìm giải pháp

Thời gian vừa qua, rất nhiều ngân hàng đã áp dụng phương thức 3D-Secure (3DS) là một lớp bảo vệ tăng cường cho các chủ thẻ khi giao dịch trực tuyến. Với phương thức này, khi thực hiện các giao dịch trên các website thương mại điện tử, bên cạnh các bước xác thực thông thường, ngân hàng sẽ gửi thêm mật khẩu giao dịch một lần (OTP) qua tin nhắn hoặc email để khách hàng nhập và hoàn tất giao dịch.

Có nhiều nguyên nhân gây lộ thông tin khách hàng, bao gồm cả trách nhiệm của những nhà thanh toán khi giám sát lỏng lẻo các giao dịch

3DS đảm bảo rằng chỉ có khách hàng, với tư cách là chủ thẻ, sẽ có mật khẩu để hoàn tất giao dịch đó. 3DS được các tổ chức thẻ quốc tế áp dụng và có tên gọi khác nhau như Safe Key (Amex), Verified by Visa (Visa), Mastercard SecureCode hoặc Master ID check (Mastercard), J-Secure (JCB).

Tuy nhiên, theo một lãnh đạo ngân hàng cho biết, việc không áp dụng 3DS là do thỏa thuận giữa Visa, MasterCard với các doanh nghiệp cung cấp dịch vụ. Cụ thể, với các doanh nghiệp lớn đã được xác thực danh tính (verified merchant) như Facebook, Google, Apple…, các giao dịch đều không đòi hỏi mã OTP. Đây cũng là kẽ hở nhiều đối tượng lợi dụng để lừa đảo.

"Ngân hàng muốn áp dụng 3DS để an toàn cho khách hàng, nhưng các đơn vị cung cấp dịch vụ không hỗ trợ, thì ngân hàng cũng không có cách nào. Dù vậy, nếu khách hàng phát hiện và khiếu nại sớm, chúng tôi sẽ phối hợp với Visa, MasterCard điều tra và gần như 100% giao dịch liên quan đến Facebook, Google, Apple… đều được hoàn lại trong vòng 30 - 90 ngày, đồng thời cấp thẻ mới cho khách hàng", vị lãnh đạo khẳng định.

Trao đổi với Diễn đàn Doanh nghiệp, ông Đinh Hồng Sơn, Tổng giám đốc công ty Cổ phần Tài chính Thế hệ mới cho rằng, việc lộ thông tin bảo mật thẻ tín dụng không chỉ xuất phát từ lòng tham của các tin tặc mà một phần nguyên nhân cũng do người dùng không cẩn trọng trong việc bảo mật. Người dùng cần lưu ý một số điều sau để bảo mật thông tin thẻ an toàn:

Một là cần dán nhãn che 3 số bí mật sau thẻ (mã số CVV/CVC) hoặc ghi nhớ rồi xóa đi.

Hai là khi sử dụng thẻ tín dụng, hãy chắc chắn rằng thẻ của mình được bảo mật trước sự quan sát của người khác cũng như không cho người khác mượn thẻ tín dụng cá nhân để thanh toán, hoặc đưa thẻ thanh toán cho nhân viên phục vụ làm giúp mình.

Ba là, không truy cập vào những đường link lạ, không sử dụng các phần mềm lậu do dễ bị cài phần mềm đánh cắp thông tin tài khoản (malwave).

Bốn là, nếu thường xuyên thực hiện các giao dịch tài chính cần sử dụng các chương trình Antivirus để đảm bảo máy tính sạch, không nhiễm trojan, keylogger đồng thời cần bật chức năng chống giả mạo (Anti Phising) để đảm bảo an toàn khi truy cập các trang ngân hàng điện tử.

Năm là, sau khi đăng nhập vào các tài khoản ngân hàng, cần đăng xuất ngay và tránh đánh dấu vào tiện ích lưu mật khẩu trên trang.

Sáu là, không can thiệp vào hệ điều hành của điện thoại như root máy với Android hay jailbreak với iPhone, những hành vi này làm vô hiệu hóa khả năng bảo mật của máy.

Còn đối với các ngân hàng, cần thiết phải xây dựng hệ thống xác thực 3D-Secure cho thanh toán qua thẻ tín dụng, cũng như hệ thống cảnh báo, phát hiện giao dịch bất thường và có quy trình hỗ trợ khách hàng thương lượng với bên cung cấp sản phẩm để hoàn toàn cho khách hàng nếu có thể.

(Theo Diễn Đàn Doanh Nghiệp)

Chiêu thức tinh vi giả mạo ngân hàng lừa đảo người dùng

Các đối tượng lừa đảo dùng chiêu thức lập website hay giả mạo tin nhắn ngân hàng rồi dẫn dụ người dùng truy cập vào đường link để chiếm đoạt tiền trong tài khoản, lấy cắp thông tin người dùng.