Hacker tấn công GMO Internet Group và đòi 50 triệu USD tiền chuộc, nhưng tập đoàn Nhật Bản từ chối và treo thưởng cho ai tìm ra thủ phạm.
"Không gian mạng mà tôi và các đồng nghiệp đã xây dựng, với niềm tin nó sẽ mang lại nụ cười cho mọi người, giờ đây đứng trước nguy cơ bị phá hủy hoàn toàn bởi các tác nhân xấu", CEO GMO Masatoshi Kumagai viết trên blog ngày 25/10.
GMO Internet Group thành lập năm 1991 tại Tokyo, hiện có 8.000 nhân sự và hoạt động trong lĩnh vực hạ tầng Internet, bảo mật mạng, quảng cáo, tài chính trực tuyến và các công nghệ mới. Tập đoàn có 9 công ty thành viên đã niêm yết trên sàn chứng khoán.
Đầu tuần này, bộ phận an ninh mạng của GMO thông báo hứng chịu làn sóng tấn công mạng từ bên ngoài. Ông Kumagai cho biết, vụ tấn công có thể ảnh hưởng đến 26.739 máy chủ.
Lợi dụng AI để tấn công
"Vấn đề cốt lõi là sự phát triển bùng nổ và lạm dụng AI", CEO GMO nói. "Khả năng kết hợp và phổ biến mô hình AI mã nguồn mở để tạo hàng loạt công cụ tấn công đang hạ thấp rào cản kỹ thuật, khiến những hoạt động từng đòi hỏi chuyên môn cao trở nên dễ tiếp cận với bất kỳ ai".
Theo Kumagai, sự cố nhắm vào khoảng 20 công ty Nhật Bản dùng dịch vụ của công ty, thông qua công cụ kiểm thử xâm nhập tự động bằng trí tuệ nhân tạo có tên Artex, ban đầu được thiết kế cho mục đích phòng thủ nhưng đã bị lạm dụng.
Mọi chuyện bắt đầu từ ngày 19/10, khi công ty điều tra phản ánh của khách hàng và phát hiện một chương trình độc hại trên một số máy chủ. Đến 4h ngày 21/10, những hệ thống này lần lượt được dừng hoạt động để hạn chế thiệt hại.
Công ty sau đó xác nhận 26.739 máy chủ có khả năng bị ảnh hưởng, nhưng chỉ ở "diện rủi ro" chứ không phải đã mất dữ liệu hay thông tin nhạy cảm. Đến 24/10, GMO xác nhận hệ thống có vấn đề bảo mật.
TBS News Dig ghi nhận trường hợp một nhà đầu tư 44 tuổi mất hơn 4 triệu yen (25.000 USD), và một trường hợp khác thiệt hại hơn 2 triệu yen (12.500 USD). Trong khi đó, Kumagai thừa nhận môi trường kết nối với cơ sở hạ tầng tài chính của hơn 70 công ty trong và ngoài nước đã bị nhắm mục tiêu.
Theo WSJ, đến 27/10, Bộ trưởng Tài chính Nhật Bản Satsuki Katayama cho biết 5 công ty giao dịch ngoại hối (FX) ghi nhận thiệt hại của khách hàng trong các vụ được cho là có liên quan, gồm Goldenway Japan, OANDA Securities, Ava Trade Japan, Gaitame Finest và Dukascopy Japan. Các doanh nghiệp đã áp dụng biện pháp hạn chế giao dịch, chặn lệnh đáng ngờ và yêu cầu đặt lại mật khẩu.
Cuộc đối đầu giữa hai bên
Ngày 21/10, hacker đòi 50 triệu USD cho các dữ liệu đang nắm giữ. Trong bài đăng trên diễn đàn ngày 27/10, nhóm tuyên bố tung ra thông tin về từng khách hàng, đe dọa tiết lộ dữ liệu người dùng từ hơn 26.000 máy chủ cho đến khi GMO đồng ý bồi thường, đồng thời yêu cầu chuyển một triệu USD trước 12h.
"Chúng tôi đã đặt hạn chót là 12h ngày 27/10, nhưng GMO không tham gia bất kỳ cuộc đàm phán nào. Do vậy, thông tin sẽ được lần lượt công khai", nhóm tin tặc cho hay.
Hacker nói thông tin cá nhân đã thu thập được nhiều đến mức "sẽ mất vài năm" để tiết lộ tất cả. Mọi thứ sẽ "ngừng lại" nếu nhận được tiền chuộc.
Theo Japan Times, thay vì thỏa hiệp, GMO lập tức yêu cầu người dùng dịch vụ của công ty chạy quét virus toàn diện trên máy tính, sao lưu dữ liệu và "rút phích cắm" máy tính trước hạn chót mà nhóm hacker nêu. Suốt ngày hôm đó, hãng liên tục cập nhật trên trang web về thông tin mới và cách ứng phó.
Hiện GMO ghi nhận chưa có cuộc tấn công mã độc tống tiền (ransomware) nào như lời đe dọa. Công ty cũng phân tích máy tính một số ngân hàng nhằm ra biện pháp đối phó, đồng thời cam kết bồi thường cho các nạn nhân về thiệt hại ngoài khoản hỗ trợ chung 5.000 Yen (32 USD) cho tất cả người dùng.
Kumagai tiếp tục kêu gọi các bên hỗ trợ, rằng đừng xem nhẹ tình huống là "vấn đề của người khác" hay "rắc rối của riêng một doanh nghiệp". "Giờ là lúc cần bảo vệ Nhật Bản, và cả Internet, thông qua sự hợp tác công tư", CEO GMO viết. "Bản thân Internet đang đứng trước nguy cơ sụp đổ".
Theo Kumagai, ngoài 200 chuyên gia an ninh mạng của công ty, các đơn vị bảo mật mạng và trí tuệ nhân tạo, gồm cả Trend Micro hay nhóm cựu thành viên Tổ chức Cảnh sát Hình sự Quốc tế (ICPO), hiện hỗ trợ GMO trong việc chống lại kẻ tấn công.
"Chúng tôi đang tận dụng các môi trường phân tích AI hiện đại, nhanh chóng sắp xếp lượng lớn thông tin về mối đe dọa và xác định dấu vết", ông cho biết.
Trên blog, Kumagai vẫn cập nhật tiến độ xử lý. Ngày 28/10, công ty thông báo gỡ bỏ một số website tống tiền, cũng như các biện pháp thu thập và ngăn chặn việc phát tán thông tin. Một ngày sau, ông cho biết đã có manh mối đầu tiên.
"Chúng tôi đã có được thông tin quý giá giúp xác định thủ phạm", CEO GMO thông báo ngày 29/10. "Thông tin sẽ được giao cho cảnh sát và các bên liên quan hôm nay".
Trong khi đó, nhóm hacker đứng sau vụ tấn công chưa có thêm động thái mới.
Michael Rogers, cựu chỉ huy Bộ Tư lệnh Không gian mạng Mỹ và cựu giám đốc Cơ quan An ninh Quốc gia Mỹ, đánh giá Nhật Bản đã phản ứng chậm. "Các vụ xâm nhập chỉ được biết khi chủ sở hữu mạng phát hiện, tức đã quá muộn", ông nhận xét tại một sự kiện an ninh mạng tại Đại học Keio. "Điều này phản ánh việc chúng ta chưa thực sự chưa hiểu hết mức độ và tầm quan trọng của vấn đề".
Bảo Lâm tổng hợp
