Lời cảnh báo về một mối đe dọa mang tốc độ máy móc
Trong bản khuyến cáo phát hành hôm thứ Tư, CERT-In cho biết nhóm Crafty Falcon dùng các công cụ AI sẵn có trên mạng để tự động hóa quá trình xâm nhập, khiến các cuộc tấn công diễn ra nhanh hơn nhiều so với khả năng phản ứng của con người. Cơ quan này mô tả mối đe dọa vẫn đang tiếp diễn và kêu gọi các tổ chức tài chính nâng mức cảnh giác.
“Mối đe dọa này đang hoạt động và vẫn tiếp diễn.” — CERT-In
CERT-In không nêu tên các công ty bị ảnh hưởng, không cho biết số tiền bị đánh cắp, cũng không chỉ ra nhóm tin tặc hoạt động ở đâu. Cơ quan này cũng không nói các cuộc tấn công được nhà nước nào hậu thuẫn. Theo Reuters, CERT-In, Trung tâm Điều phối Tội phạm mạng Ấn Độ và Bộ Công nghệ Thông tin chưa phản hồi đề nghị bình luận.
Bốn công cụ AI và những dấu vết dẫn về Trung Quốc
CERT-In nêu tên bốn công cụ: ARTEX, PentAGI, Cairn và CyberStrikeAI. Các nhà nghiên cứu bảo mật đã liên hệ ít nhất hai công cụ trong số này với Trung Quốc.
Theo hãng an ninh mạng CrowdStrike, ARTEX do Trung Quốc phát triển đã được dùng để tấn công các ngân hàng Hàn Quốc từ cuối tháng 9, đồng thời một nhóm có liên hệ với Trung Quốc từng dùng công cụ này trong chiến dịch gián điệp nhắm vào hơn 200 tổ chức tại ít nhất 14 quốc gia.
Điều đáng lưu ý là các công cụ này vốn được phát hành miễn phí trên mạng, ban đầu nhằm phục vụ kiểm thử bảo mật. Tháng trước, sau khi bị gắn với các vụ tấn công tại Hàn Quốc, nhà phát triển ARTEX đã chuyển công cụ sang chế độ riêng tư và ngừng phát hành công khai, với lý do công cụ bị lạm dụng. Theo tờ Korea JoongAng Daily, nghi phạm mà CrowdStrike xác định ở Trung Quốc đã phủ nhận liên quan và cho rằng danh tính của mình bị đánh cắp.
Đánh vào chính hệ thống thanh toán của nạn nhân
Theo CERT-In, Crafty Falcon dùng trí tuệ máy móc để khảo sát mục tiêu, sau đó chuyển tiền bằng cách kích hoạt chính hệ thống thanh toán và giải ngân của nạn nhân. Cách làm này khiến các giao dịch gian lận trông như hoạt động hợp lệ, gây khó khăn cho việc phát hiện.
Các cuộc tấn công thường được chọn vào dịp lễ, cuối tuần hoặc những thời điểm giám sát lỏng lẻo. Đáng lo hơn, một số công ty đã vá lỗ hổng sau các cảnh báo trước đó vẫn bị tấn công lần thứ hai, do việc khắc phục chưa triệt để. Bài học ở đây rõ ràng: trong cuộc đua với AI, một bản vá nửa vời cũng nguy hiểm như không vá.
Chuỗi sự cố khiến ngành tài chính Ấn Độ chao đảo
Reuters trước đó đưa tin, dẫn một đơn trình báo cảnh sát, rằng hai công ty cho vay phi ngân hàng tại Mumbai đã mất khoảng 2 triệu USD qua hơn 700 lệnh chuyển tiền tức thời trái phép từ tài khoản tại ICICI Bank, ngân hàng lớn thứ ba Ấn Độ, trong hai ngày 8 và 9/10. Tin tặc được cho là đã xâm nhập giao diện lập trình ứng dụng (API), cầu nối phần mềm giúp ngân hàng kết nối với các công ty tài chính để gửi lệnh giải ngân.
Ngân hàng State Bank of India, ngân hàng lớn nhất nước, tháng trước cũng công bố vụ rò rỉ 3.897 hồ sơ khách hàng trên web đen. Công ty Spandana Sphoorty Financial báo cáo các khoản ghi nợ trái phép hôm 1/11, còn AU Small Finance Bank cho biết đang điều tra khả năng rò rỉ dữ liệu khách hàng. CERT-In chưa cho biết sự cố nào liên quan đến Crafty Falcon, trong khi Ngân hàng Dự trữ Ấn Độ đã siết chặt các đợt kiểm tra an ninh mạng.
