Dấu vết kỹ thuật chưa phải bản án
Theo bài viết của The Independent dựa trên tường thuật Kyodo, việc phân tích mã độc và các dấu vết còn lại khiến GMO nghi ngờ một nhóm có liên hệ với Triều Tiên. Kyodo cùng các chuyên gia an ninh mạng còn phát hiện năm địa chỉ IP từng liên quan đến nhóm này truy cập website nhận trách nhiệm chỉ ít lâu sau khi trang xuất hiện. Những liên kết kỹ thuật như vậy đáng để điều tra nhưng chưa đủ tự thân xác định người điều khiển chiến dịch, nhất là khi địa chỉ IP có thể bị sử dụng qua máy chủ trung gian.
Những manh mối khác lại chỉ về nhiều phía: tên miền và máy chủ đặt qua nhà cung cấp Mỹ, dấu thời gian của tệp theo múi giờ Mỹ, hệ điều hành dùng tiếng Anh, mã chứa tiếng Nhật và phần mềm có xuất xứ Trung Quốc. Chuyên gia nêu khả năng một số dấu vết được cài nhằm đánh lạc hướng. Một website thứ hai, có mã nguồn và giao diện rất giống trang nhận trách nhiệm, có thể được dùng để thu thập thêm thông tin của nạn nhân. Không có bằng chứng công khai nào trong các nguồn này đủ để kết luận chính phủ Triều Tiên trực tiếp chỉ đạo vụ tấn công.
Lỗ hổng trong dịch vụ điều khiển từ xa
Khủng hoảng bắt đầu được công khai ngày 21/10, khi GMO dừng Onamae.com Desktop Cloud sau khi phát hiện chương trình độc hại và truy cập trái phép. Đây là dịch vụ cung cấp môi trường máy tính từ xa, được một số khách hàng sử dụng để vận hành phần mềm giao dịch tài chính.
Khi môi trường đó bị xâm nhập, rủi ro không chỉ là mất dữ liệu: kẻ xấu có thể lợi dụng thông tin đăng nhập đã lưu để can thiệp tài khoản hoặc thực hiện những thao tác không được chủ tài khoản đồng ý.
Trong thông cáo ngày 24/10, GMO xác nhận tồn tại điểm yếu bảo mật, dữ liệu đã bị đưa ra ngoài và một số khách hàng báo cáo giao dịch lạ. Báo cáo tiếp theo cho biết bên tự nhận là thủ phạm đòi khoảng tám tỷ yen và đe dọa công bố thông tin. GMO tuyên bố không đáp ứng yêu sách vì việc trả tiền không bảo đảm dữ liệu sẽ bị xóa. Công ty cũng phối hợp cơ quan cảnh sát và các đơn vị an ninh tư nhân để kiểm tra thiết bị, cảnh báo hành vi lừa đảo tiếp diễn.
Lời xin lỗi và trách nhiệm doanh nghiệp
Tại cuộc họp báo ở Tokyo ngày 2/11, Tổng giám đốc Masatoshi Kumagai thừa nhận công ty từng nhận cảnh báo nội bộ về lỗ hổng nhưng phản ứng không đầy đủ. Ông xin lỗi khách hàng và chấp nhận giảm 30% lương trong ba tháng; một số lãnh đạo khác cũng bị giảm lương. Việc nhận trách nhiệm đáng chú ý, song điều khách hàng cần hơn là kết quả: khôi phục an toàn, xác minh số tiền thất thoát và quy trình giải quyết khiếu nại minh bạch.
GMO cho biết sẽ bồi thường tổn thất từ giao dịch trái phép theo điều kiện áp dụng, trả 5.000 yen cho khách hàng đang sử dụng dịch vụ và hỗ trợ phương án thay thế. Mức độ thiệt hại cuối cùng vẫn đang được xác minh. Chính vì thế, cần phân biệt số máy chủ có nguy cơ bị ảnh hưởng, số vụ việc được báo cáo, số tài khoản bị xâm nhập và số nạn nhân có tổn thất tài chính thực tế: bốn con số này không thể tự động hoán đổi cho nhau.
Vì sao vụ việc vượt ra ngoài một công ty
Vụ tấn công tác động đến các doanh nghiệp liên quan hoạt động chứng khoán và ngoại hối, làm nổi bật sự phụ thuộc của nền kinh tế vào nhà cung cấp hạ tầng số. Một sai sót của bên thứ ba có thể truyền rủi ro tới công ty tài chính, khách hàng cá nhân và các đối tác kinh doanh. Cơ chế quản lý vì thế phải quan tâm không chỉ tới từng tổ chức riêng lẻ mà cả chuỗi cung ứng dịch vụ công nghệ.
Trong bối cảnh nguy cơ tấn công mạng xuyên biên giới gia tăng, điều tra nguồn gốc phải dựa vào nhiều lớp chứng cứ và được cập nhật khi có kết quả mới. Việc gán trách nhiệm quá sớm có thể làm sai lệch dư luận, còn chậm khắc phục lỗ hổng lại khiến nạn nhân chịu thêm hậu quả. Bài học trước mắt là tăng xác thực nhiều lớp, tách biệt quyền truy cập, kiểm tra cảnh báo bảo mật và thông tin nhanh chóng cho người sử dụng.
