Hacker 18 tuổi tấn công Uber, nhân viên tưởng trò đùa

Theo Washington Post, tin tặc cho biết đã tấn công hệ thống của Uber với mục đích "cho vui", nhưng có thể xem xét việc tung mã nguồn có được lên mạng.

Hacker thu thập các tập lệnh PowerShell, được dùng để tự động hóa các tác vụ trên máy tính Windows, chứa thông tin xác thực quản lý truy cập trên mạng nội bộ Uber. Từ đó, người này tiếp tục xâm nhập tài khoản Amazon Web Services và Google Cloud Platform - hai dịch vụ đám mây Uber đang dùng cho hạ tầng công nghệ của mình.

Trong khi đó, các nhân viên Uber tỏ ra chủ quan trong tình huống bị tấn công. Loạt tin nhắn Slack - được cho là cuộc trao đổi giữa hacker với nhân viên hãng xe - xuất hiện trên Twitter cho thấy tin tặc đã cố thông báo việc Uber bị xâm nhập.

"Tôi là hacker và Uber đang bị đánh cắp dữ liệu", nội dung tin nhắn của hacker có đoạn.

Tuy nhiên, nhân viên Uber lại tưởng là trò đùa. Trong những tin nhắn tiếp theo, một số người gửi nội dung hài hước, các biểu tượng cảm xúc vui vẻ như còi báo động và bỏng ngô, thậm chí cả ảnh GIF với nội dung "nó đang xảy ra đấy".

Ngày 16/9, Uber thừa nhận bị tấn công, khiến họ phải ngắt một số hệ thống kỹ thuật và liên lạc nội bộ. "Chúng tôi đang ứng phó với một sự cố an ninh mạng. Chúng tôi đã liên hệ với cơ quan thực thi pháp luật và sẽ cập nhật thông tin mới nhất", đại diện Uber cho biết trên Twitter.

Trò chuyện với nhà nghiên cứu an ninh mạng Corben Leo sau đó, hacker này tuyên bố xâm nhập Uber thành công qua hình thức tấn công phi kỹ thuật (social engineering), lừa nhân viên để lấy thông tin đăng nhập mạng riêng ảo (VPN), cuối cùng có thể vào bên trong mạng nội bộ công ty.

Social engineering là hình thức hack khá phổ biến hiện nay, trong đó hacker sẽ dùng các chiêu thức tác động đến con người để phá vỡ quy trình bảo mật thông thường, sau đó đánh cắp thông tin hoặc đạt được mục đích mong muốn. Đây là cách tấn công đơn giản nhưng được giới chuyên gia đánh giá sẽ tồn tại rất nhiều năm nữa.

Thực tế, các cuộc thi hack hiện nay không đưa social engineering vào danh mục được chấp nhận. "Khi vector tấn công là con người, đơn giản là không thể 'vá' nó", JC Carruthers, Chủ tịch của công ty an ninh mạng Snowfensive, nói với The Verge.

Uber là công ty đa quốc gia của Mỹ, có trụ sở tại San Francisco, chuyên cung cấp dịch vụ giao thông vận tải thông qua ứng dụng gọi xe. Hãng từng hoạt động một thời gian tại Việt Nam trước khi được bán lại cho Grab vào năm 2018.